TWed2k - 軟體求助討論區 - [病毒?]winupgro變種？

主題: [討論] [病毒?]winupgro變種？ [打印本頁]

發表人: Litfal 時間: 2009-7-4 12:43 PM 主題: [病毒?]winupgro變種？

曾經流行一時的winupgro.exe 我今天中了= =
據我所知這是一支老病毒，特色是
傳染力普通，但是中了就很麻煩

先會把開機程式的其中一個關閉：如防毒軟體、虛擬光碟等等，並把該軟體之執行檔覆寫成病毒
在下一次重新開機啟動時，WINDOWS就會自動執行 (因為取代了某開機程式)
並且會把防毒軟體利用驅動程式的方式(層級較高)強制關閉並破壞
之後再覆寫safeboot (安全模式的boot)使進入安全模式時會藍底白字

如果沒有備分還蠻難搞的
但若這支病毒沒有改版(?)，理論上以他的存在時期言，防毒軟體沒理由抓不到
但我用virustotal並沒有全數抓到
http://www.virustotal.com/zh-tw/ ... ca6c2885-1246679785
9/40 還蠻低的

我被覆寫的是DAEMON Tools
正當我找不到虛擬光碟時，我手動執行了daemon.exe (當時已經變成病毒了)，於是跳過了重開機啟動的程序

剛剛重灌結束，因為需要的確下載了一些程式，
但我解壓縮前都有以avast!掃描，所以他發作時我有點意外。
不過一看到DAEMON Tools沒有跑出來，而且avast!還被強制關閉時，我就覺得情況不對了。
馬上關機，使用XPE開機。
查查資料，順便用GHOST還原。
這篇文章也是在XPE下打的。
在此順便給XPE作者NoName一拜 OTZ

順便附上病毒，有人想丟到虛擬機器玩玩可以試試
http://www.mediafire.com/?zznyyitz2yz
不要在實體上測...

[hr]BLACK[/hr]
還原後於C: 搜尋不到winupgro
從備份到中毒這段時間不長，可以找找看是哪個檔案在搞鬼

[Litfal 在 2009-7-4 12:59 PM 作了最後編輯]

發表人: mmcatdog 時間: 2009-7-4 01:30 PM

sep 11.0.4000 掃描不能確定系統中尚不知程式運作方式

發表人: 陽だまり 時間: 2009-7-4 03:48 PM

這病毒看過之前的處理方式都是重灌最快 XD

歡迎光臨 TWed2k (http://twed2k.org/)