Board logo

主題: [討論] [討論]很強的病毒reader_s.exe，已找到病毒主體(內附病毒主體，不要亂下載) [打印本頁]
發表人: titan7185    時間: 2009-3-13 12:41 PM     主題: [討論]很強的病毒reader_s.exe，已找到病毒主體(內附病毒主體，不要亂下載)

最近又遇到很機車的事，搞的我暈頭轉向。
不清楚有沒人知道這款病毒"reader_s.exe"，發現時間應該是去年12月多就出現，
(GOOGLE上還滿多資料的，但沒有很明確的移除方法)
個人認為應該又變種了。
以下是它的一些資訊
1.只有上網才會讓病毒發作
2.在SYSTEM32下建立reader_s.exe
3.在WINDOWS\SYSTEM32\TEMP產生temp檔
4.建立假的SVCHOST.EXE
5.寫入機碼HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
以及HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下
6.在不連網的狀況下，你認為砍掉了，網路線一插，它又給你活過來了。

簡單講，這病毒會隱藏自己的程式，然後去下載各類的病毒，然後吃光你的頻寬。
再更簡單講，這就是一個殺不掉的木馬下載器。

看起來沒什麼，感覺起來也沒什麼，但重了以後很頭大。
我把中毒的機器c槽重作，掃d槽時c槽中標
於是把病毒弄到我的隨身碟，測試我用的防毒軟體是否能偵測，結果是我的電腦也中標。
(防毒軟體用江民，的確，我認為江民的掃毒能力不是很好，但工具很好用，這以後可以在跟大家討論)
於是請了江民防毒的人來解毒(他號稱沒有將民解不了的毒
他是這樣說啦。)下場還是打道回府。
原因在於，抓不到它的主程式到底隱藏在哪。

接著，很妙的是，中毒的那台電腦已經呈現籃底白字，連安全模式也是一樣。
用xpe頂多進到桌面，接著完全不動。(這部分是硬體問題，跟病毒無關，搞錯了，sorry)

目前尋找解決方法中....
如果大大們有興趣，對你們的防毒軟體有信心，不仿陪我玩玩看。
ps:1.如果可以把整顆硬碟殺掉我當然會殺，但是不能這樣做
      2.防毒軟體，見仁見智。

病毒主體找到了，現在放上，解壓縮密碼為a

再度強調防毒軟體見仁見智。
若是私人電腦從灌無所謂，若內有公文資料呢?你願意等七天後的回信?
我只是選擇有個人可以幫我解毒的防毒軟體公司，而不是到等7天後不知道有沒解決辦法的信。
(能叫江民的人來，是因為公司跟他有合作，這就是所謂的服務。)
發表人: kayin    時間: 2009-3-13 12:59 PM

不好意思我沒別的意思，
很感謝分享大家病毒資訊，
但我還是很好奇一件事，
防毒為何選江民，
是因為有人會到府服務？
我想板上的人不是卡巴就是NOD居多吧，
也許你換別套防毒，
你就發現這叫不出名子的病毒已經不知死哪去了~
發表人: 陽だまり    時間: 2009-3-13 01:44 PM

想不到現在防毒軟體服務做這麼好
還提供免費到府驅毒的服務

樓主說陪你一起玩看看
但是沒看到把病毒放出來啊
這樣怎麼陪樓主一起玩
發表人: DD    時間: 2009-3-13 03:47 PM

大概要學江民的人 到府跟樓主一起玩病毒
發表人: honguiji    時間: 2009-3-13 04:56 PM

網路上流傳的病毒多不勝數
像我就同時灌了兩套防毒、防木馬的程式
(Nod32+木馬清除大師)
不過也無法保證百毒不侵
只能盡量小心，不隨便亂開檔案或亂逛網站來消極防堵罷了
發表人: mmcatdog    時間: 2009-3-13 06:00 PM

類似病毒到是見過 主要是在登錄檔中的explorer內含有一個機碼連結 只要這連結不去掉 防毒也是無能為力 因為開機就內含在explorer.exe中 沒法清除也無法掃到 到目前為止能掃到的只有nod32 3.x版(正式版) 可以朝這方面看看 如果explorer.exe以被竄改無法修復 記得使用系統備份的備檔還原即可(不是還原程式喔 是還原單一檔案)
發表人: 陽だまり    時間: 2009-3-13 06:41 PM

測了一下
上面那個檔並沒有感染然後一直生出小寶寶的情況這樣
還有別的檔可玩嗎
發表人: titan7185    時間: 2009-3-13 06:45 PM


引用:
陽だまり寫到:
測了一下
上面那個檔並沒有感染然後一直生出小寶寶的情況這樣
還有別的檔可玩嗎


有感力，剛剛測過了(我手賤點了兩下)

[titan7185 在  2009-3-13 07:08 PM 作了最後編輯]
發表人: leonchian    時間: 2009-3-13 07:09 PM

如果是這樣，就個人的掃毒步驟是:
1.只有上網才會讓病毒發作------- 在安全模式下進入
2.在SYSTEM32下建立reader_s.exe----直接先砍掉這個檔
3.在WINDOWS\SYSTEM32\TEMP產生temp檔----temp檔全部刪掉，同樣的使用者帳號下的temp檔全刪光
4.建立假的SVCHOST.EXE----這個在win下無法刪，建議可從xp光碟開機第一道修復下刪，然後用第二道修復(先確認可修復)，這個是掃完毒再來做。
5.寫入機碼HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
以及HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下------這個可以用ccleaner刪掉，但run path所執行的檔也要砍掉。
6.在不連網的狀況下，你認為砍掉了，網路線一插，它又給你活過來了。---1.2.3.5步驟做完後，我習慣是使用e-scan這種綠色掃毒軟體(須使用註刪機)，這套是用卡巴核心去寫的，掃毒效率還不錯，或者用ComboFix這個掃毒一次，要掃全電腦檔案。掃完毒再砍svchost.exe修復xp，如果不行就是掃完毒重要文件、最愛、信件備一備重灌。
發表人: badcat    時間: 2009-3-13 07:58 PM

建議樓主把「附件」的「病毒壓縮檔」 隨便用個密碼鎖上，並在主題文將密碼標明，以免不知情的「小朋友」拿了「附件」解壓後直接執行那就中標了！(至少要看完「主題文」才能知解壓密碼。以防萬一吧？總是有「神經很大條」的人。)

如果要徹底掃瞄病毒，建議用 XPE 光碟開機後，用「光碟內的掃毒程式」來掃，絕對不要用「硬碟」內的執行檔或資料來掃毒。(確保整個系統是無毒環境來掃毒比較保險，)

若病毒已常駐在記憶體中，掃毒和殺毒都會很難進行。(難度會很高，)

曾殺過 (c)Brain 的 壞喵 留～


P.S. 想測試「病毒」的朋友們，建議用「虛擬電腦」來測試，並最好「不要」啟用真實網路 (用「虛擬網路」內部測試倒還可以，但用「真實網路」爬出去就麻煩了！)，以免「病毒」(這應算 蠕蟲 啦！) 爬到別台電腦去。
(請勿害人害己，跑到別人的電腦那就麻煩了！)

[badcat 在  2009-3-13 08:22 PM 作了最後編輯]
發表人: 阿ya    時間: 2009-3-13 11:52 PM

我的媽ㄚ..大家都好猛都勇於測試...那我也參一角好了...希望別真的掛了哈哈
發表人: mmcatdog    時間: 2009-3-14 01:49 AM

慘 還沒測就被防毒清掉了 防毒為sep 11.0.3001.244
找時間再用來測試新電腦
目前已無空機測試
發表人: 陽だまり    時間: 2009-3-15 02:26 PM

原來會被防毒清掉
comodo掃不出來


引用:
阿ya寫到:
我的媽ㄚ..大家都好猛都勇於測試...那我也參一角好了...希望別真的掛了哈哈

測試當然是開vm測啊
要是直接執行還得了



歡迎光臨 TWed2k (http://twed2k.org/) Powered by Discuz! 4.1.0