2008-2-24 [心得] 週六晚上與木馬「Wintems」(SROSA/W32.Beagle.GM)奮戰...
最近我的差批經常出現藍白畫面，偏偏硬體檢查過又沒事
（我竟然先檢查硬體，真是昏倒）
然後發現隨身碟插進USB都變成「未格式化」
今天傍晚發現：咦？我的防毒軟體呢？
經驗告訴我是被病毒給關掉了
打開工作管理員，發現一個不認識的 process：「wintems.exe」
而且 Kill 不掉，幹...
Google 一下，原來這隻是德國人寫的
會註冊RootKit原件以服務方式來隱藏自己
讓你在工作管理員看得到卻抓不到檔案在哪
而且會 Disable 許多知名防毒軟體，甚至複製後取而代之 偽裝成防毒軟體
會改登錄表讓開機讀自己或去讀已被感染的防毒程式
一旦發現防毒軟體關鍵字的程式，立刻殺掉取而代之並在登錄表中寫入開機啟動連結
網友有利用 RegRun 試用版，在開機時一步一步擋住
%System%\drivers\hidr.exe (或hidrrr.exe)
%System%\drivers\srosa.sys
這兩個該死的檔案
多開機幾次就可以殺得掉
不過大部分人的情況是殺完又會出現
這時必須考慮到舊的防毒軟體目錄那邊是不是還遺留著偽裝的病毒及其DLL檔案
如果有要一起殺掉
偏偏那個 RegRun 我不小心按錯 誤刪了我的 dmadmin.exe (邏輯磁碟管理服務)
結果本來是重開機時要刪掉的病毒
當時的磁碟機代號就變成無法辨識
變成這隻必須在開機時殺的病毒，我就怎麼都沒辦法用 RegRun 殺掉
我只好利用 WinPE 進去
利用 Regedit 去刪一些 %system%\driver 以及登錄裡面的東西
刪完好像乾淨了
可是回到 XP，第一次開機沒事，第二次開機還是一樣又出現
幹.....
偏偏防毒軟體這時又裝不上去，開安全模式又會當機
幹XX....
最後我是利用 W...
2008-2-24 01:19 AM - Observer - 6727 觀看 - 10 評論 - 心得教學區