討論 - 好像中毒了，hijack this掃不出來的樣子

[oxyn]

症狀是電腦跑得慢，會自動重新開機，avg掃毒說是中了叫hijack agent ai 的毒，但avg本身還是掃不掉，怎麼辦呢?還是附上hijack this的檢查結果，好像和沒中毒前的掃毒結果是一樣的，也許我自己看不出來吧。多謝幫忙了。

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 下午 12:46:04, on 2008/1/8
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Softwin\BitDefender10\bdagent.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\Program Files\Common Files\EPSON\EBAPI\SAgent2.exe
C:\Program Files\Common Files\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Program Files\Common Files\Softwin\BitDefender Scan Server\bdss.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\PROGRA~1\COMMON~1\MICROS~1\Msinfo\OFFPROV.EXE
C:\Documents and Settings\user\桌面\HiJackThis.exe

O4 - HKLM\..\Run: [BDAgent] "C:\Program Files\Softwin\BitDefender10\bdagent.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [ctfmon.exe] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [ctfmon.exe] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Common Files\EPSON\EBAPI\SAgent2.exe
O23 - Service: F-Secure Installer restarter (FSIHS) - Unknown owner - C:\DOCUME~1\user\LOCALS~1\Temp\Installer\00000001\bootstrap\fsihs.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - SOFTWIN S.R.L. - C:\Program Files\Common Files\Softwin\BitDefender Update Service\livesrv.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\system32\S24EvMon.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Program Files\Softwin\BitDefender10\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - SOFTWIN S.R.L - C:\Program Files\Common Files\Softwin\BitDefender Communicator\xcommsvr.exe

--
End of file - 4844 bytes

[古里特]

C:\WINDOWS\system32\S24EvMon.exe

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\system32\S24EvMon.exe


以上兩個的位置都非常可疑
System32底下不應該會有這個S24EvMon.exe



O23 - Service: F-Secure Installer restarter (FSIHS) - Unknown owner - C:\DOCUME~1\user\LOCALS~1\Temp\Installer\00000001\bootstrap\fsihs.exe (file missing)

另外這個檔案已經遺失了
可能是有中毒，然後你的防毒軟體有掃掉


這三個先勾選修復看看


中毒的幾個大步驟
IE暫存檔、prefetch暫存都清光
在登錄檔裡面看看RUN底下有無甚麼可疑的
這就可以解決大部分的病毒

若還不放心再用防毒軟體和掃木馬程式掃描看看

[oxyn]

C:\WINDOWS\system32\S24EvMon.exe

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\system32\S24EvMon.exe


以上兩個的位置都非常可疑
System32底下不應該會有這個S24EvMon.exe



O23 - Service: F-Secure Installer restarter (FSIHS) - Unknown owner - C:\DOCUME~1\user\LOCALS~1\Temp\Installer\00000001\bootstrap\fsihs.exe (file missing)

另外這個檔案已經遺失了
可能是有中毒，然後你的防毒軟體有掃掉


這三個先勾選修復看看


中毒的幾個大步驟
IE暫存檔、prefetch暫存都清光
在登錄檔裡面看看RUN底下有無甚麼可疑的
這就可以解決大部分的病毒

若還不放心再用防毒軟體和掃木馬程式掃描看看
____________________________________________________
我用hijack this修復這三個程式，可是勾選修復後，再掃一次，這三個程式還是存在，沒辦法刪掉，那我應該怎麼把這三個程式刪掉呢?可以請你告訴我比較詳細的操作方法嗎，因為我是那種蠻不懂電腦的人，像是IE暫存檔、prefetch和登錄檔這些我都不知道在哪裡，要怎麼用，可以再麻煩你一下嗎，感激不盡

[古里特]

開一個網頁，上面有一個[工具]--[網際網路選項]
會有兩個選項[刪除cookie]和[刪除檔案](點下去[刪除所有離線內容]要勾選)

prefetch是一個資料夾
在C槽windows資料夾底下，可以看到一個prefetch的資料夾
底下的暫存檔全選，然後刪除


接下來就是用防毒軟體和掃木馬軟體再去掃描一次
做最後的確認

[oxyn]

開一個網頁，上面有一個[工具]--[網際網路選項]
會有兩個選項[刪除cookie]和[刪除檔案](點下去[刪除所有離線內容]要勾選)

prefetch是一個資料夾
在C槽windows資料夾底下，可以看到一個prefetch的資料夾
底下的暫存檔全選，然後刪除


接下來就是用防毒軟體和掃木馬軟體再去掃描一次
做最後的確認
__________________________________________________________

在（刪除檔案）時，有顯示說windows下的system32的某檔刪不掉這些檔案(無法初始化)，然後就當機了，cookie已經刪好了，prefetch我會再試試看(怕又當機，所以先上來這裡)，謝謝你的解說。
還有一個檔我也覺得可疑，是檢查報告中倒數第八的epson檔，先前因為下面有sagent2.exe和avg說我中了agent ai的毒的檔名很像，因為epson印表機我現在也沒用了，所以就到我的電腦-c槽-programe file-common file去刪它，結果顯示有一個EBAPI的檔在運作(epson下的檔)，沒法刪除，可是那時我連網頁都沒開，一開機就先去刪它，之前用hijack this也刪不掉，也說是現在有程式在運作中…
有沒有繞過windows來刪這些檔的辦法，還是有其它的辦法呢……

[oxyn]

幾乎全部的檔都變成了無法開啟的檔，除了一個叫layout的檔以外…
所以也沒法刪了

[oxyn]

然後，再用avg掃了一次，顯示hijacker.agent ai病毒檔還是存在…

[古里特]

作者: oxyn

開一個網頁，上面有一個[工具]--[網際網路選項]
__________________________________________________________

在（刪除檔案）時，有顯示說windows下的system32的某檔刪不掉這些檔案(無法初始化)，然後就當機了，cookie已經刪好了，prefetch我會再試試看(怕又當機，所以先上來這裡)，謝謝你的解說。
還有一個檔我也覺得可疑，是檢查報告中倒數第八的epson檔，先前因為下面有sagent2.exe和avg說我中了agent ai的毒的檔名很像，因為epson印表機我現在也沒用了，所以就到我的電腦-c槽-programe file-common file去刪它，結果顯示有一個EBAPI的檔在運作(epson下的檔)，沒法刪除，可是那時我連網頁都沒開，一開機就先去刪它，之前用hijack this也刪不掉，也說是現在有程式在運作中…
有沒有繞過windows來刪這些檔的辦法，還是有其它的辦法呢……

programe file底下的資料夾居多都是應用程式
最好不要直接砍掉，還是透過新增/移除去刪比較好


你的AVG只是個掃木馬的程式
你是用甚麼防毒軟體去掃的? 有掃出來的結果嗎?

[古里特]

你有用防毒軟體掃過系統嗎?
是哪個防毒軟體?


因為從你的LOG檔案看起來
除了那三個地方以外沒甚麼特別


你電腦是怎麼樣的狀況底下會自動重開?
剛開機沒多久?打電動的時候?一上網就重開?
還是系統有重度負擔的時候就重開?

[oxyn]

作者: 古里特

你有用防毒軟體掃過系統嗎?
是哪個防毒軟體?


因為從你的LOG檔案看起來
除了那三個地方以外沒甚麼特別


你電腦是怎麼樣的狀況底下會自動重開?
剛開機沒多久?打電動的時候?一上網就重開?
還是系統有重度負擔的時候就重開?

我是用ewido線上掃毒掃出來的，另外也有用AVG anti-spyware這個軟體(電腦裡的)
這是之前掃出來的報告
---------------------------------------------------------
AVG Anti-Spyware - Scan Report
---------------------------------------------------------

+ Created at: 下午 05:31:06 2008/1/5

+ Scan result:



C:\Documents and Settings\user\Local Settings\Temporary Internet Files\Content.IE5\6123ST2V\click[1].htm -> Hijacker.Agent.ai : Cleaned with backup (quarantined).


::Report end
你跟我講了方法後，我比較了解了，它的意思好像說暫存檔裡有毒，我照你建議的刪 了暫存檔後，今天再用ewido掃，說還有這個病毒。
我上次重開機，好像是因為負擔太重的關係…

[oxyn]

如果是防毒軟體的話，我最近下載的avast昨天掃的結果是沒毒。
sorry我不曉得防木馬和防毒不一樣

[古里特]

作者: oxyn

我是用ewido線上掃毒掃出來的，另外也有用AVG anti-spyware這個軟體(電腦裡的)
這是之前掃出來的報告
---------------------------------------------------------
AVG Anti-Spyware - Scan Report
---------------------------------------------------------

+ Created at: 下午 05:31:06 2008/1/5

+ Scan result:



C:\Documents and Settings\user\Local Settings\Temporary Internet Files\Content.IE5\6123ST2V\click[1].htm -> Hijacker.Agent.ai : Cleaned with backup (quarantined).


::Report end
你跟我講了方法後，我比較了解了，它的意思好像說暫存檔裡有毒，我照你建議的刪 了暫存檔後，今天再用ewido掃，說還有這個病毒。
我上次重開機，好像是因為負擔太重的關係…

在你開啟網頁上方的[工具]--[網際網路選項]
大約下方有一個[紀錄]--畫面保留天數預設值是20天
我自己習慣都是存放3~5天，以避免暫存檔越來越多

所以你的電腦是沒甚麼大問題
那次重開可能是因為電腦負荷太重而過熱重開

[oxyn]

謝謝 ，現在一切看起來都很好了也學到好用的去毒方法呢