Board logo

主題: [求助] autorun.inf病毒清不掉 [打印本頁]
發表人: bryansun    時間: 2010-6-23 12:52 PM     主題: autorun.inf病毒清不掉

我想請問一下
公司好幾台電腦都中了autorun.inf 跟recycle病毒-兩個檔同時存在

有沒有清除這些病毒的方法呀？
我使用了kavo killer
還是沒有效也
要怎麽辦
發表人: sueice    時間: 2010-6-23 01:18 PM

http://reinfors.blogspot.com/   EFix 台灣較常見惡意程式清除工具

貴公司使用哪套防毒軟體呢?

Dr.Web CureIT 免費掃毒軟體版本！而且是罕有的綠色軟體，免安裝！
ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe
Dr.Web CureIT!具有單機版 Dr.Web 的掃毒功能，而且不會跟其它防毒軟體發生衝突，從 Dr.Web 的 FTP下載後即是當天最新病毒庫封裝的版本
掃毒看看

Wow! USB VirusKiller 防毒軟體
http://www.openfoundry.org/index ... ng=en&task=view
Wow! 隨身碟防毒為輔助防毒軟體為主，本身不具備感染病毒後解毒的功能，而著重在前期預防。在預防重於治療層次上，補足資訊安全的不足。

新版小紅傘會把KAVO等因免疫產生的autorun.inf誤判成病毒。



http://forum.palmislife.com/archiver/tid-93293.html   
74be16.exe病毒 移除工具
http://www.freespycheck.com/malw ... ove-74be16-exe.html

http://www.duba.net/jijiu/index.shtml 金山急救箱(簡體)

你的隨身碟有格式化過嗎？還是單純只刪掉幾個檔案，會不會有病毒殘留？？
現在的隨身碟很少有防寫的，所以可以拿有防寫的記憶卡+讀卡機來測試，
測試到底病毒是從電腦感染到隨身碟，還是電腦被隨身碟感染？

[sueice 在  2010-6-24 05:50 PM 作了最後編輯]
發表人: bryansun    時間: 2010-6-23 01:32 PM

我使用了
可是還是清不掉
已開始就跳一個dos視窗
然後就自己執行
最後就說完成
可是當我把一只新的隨身碟放進去的時候
又直接有病毒了
發表人: bobbook    時間: 2010-6-23 07:13 PM

轉載至http://slmisth.pixnet.net/blog

手動移除autorun.inf病毒清不掉  

要先使用「attrib -s -a -h -r」解除檔案的屬生後，才有辦法使用del刪除檔案。

對了，我差點忘了，還有個*****.exe，你怎麼沒有提到，這個是監控程式，要先把它刪除，之後在刪post0.dll，首先切換到「cd c:\windows\system32」後，輸入「attrib -s -a -h -r ******.dll」與「attrib -s -a -h -r ******.exe」，接著輸入「taskkill /f /im explorer.exe」，然後在用del指令刪除post.exe與post0.dll，就行了。

「為什麼選完顯示隱藏文件之後,他自己會跳回去不顯示」？這是感染USB病毒後，所產生的狀況，病毒修改了登錄檔，把隱藏的功能給鎖死了(這個在上面也有說明)，所以才會這樣，在regedit裡的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows \CurrentVersion\Explorer右方有個CheckedValue項目，打開並將數值資料數字改為1，這樣就可回覆正常了。
發表人: 龍神    時間: 2010-6-23 09:29 PM

http://blog.yam.com/changshuwei/article/24454391
參考這個
隨身碟+硬碟都要做清除動作
只清其中一個,最後還是又會中的

[龍神 在  2010-6-23 09:31 PM 作了最後編輯]
發表人: Ailio    時間: 2010-6-24 12:35 AM

你的隨身碟 有清過嗎?

隨身碟病毒可怕之處就在於  主機 隨身碟 x N

如果沒清乾淨 隨便一插就掛點

目前有些有變種 會暗藏在其他檔案中

讓你砍了分身 本體還在

一般大概就是 Efix跑一次(最好是安全模式下)

然後馬上重開機 然後再跑一次Efix 另外使用dr.web 去掃windows資料夾

一般本體都是偽裝在System32 or help 資料夾底下 帶有 a s h 屬性

dr.web幾乎都掃的到

有把本體掃掉的話應該就不會復發

至於隨身碟 可以先安裝 微軟更新程式

http://support.microsoft.com/?kbid=971029

這個更新程式 會把USB的autoplay 廢掉
(插入USB只會出現 瀏覽 複製圖片 等功能 預設的執行 將不會出現)

至於日後的防範 目前免費版的Avast 小紅傘 對於隨身碟病毒 都還算蠻有效的
(前題是 電腦本身的病毒本體要先處理掉)

打了很多 我打個簡要步驟好了

安全模式跑efix => 重開 => 安全模式跑efix => 接著跑dr.web 指定掃描windows資料夾(含子資料夾) => 安裝更新廢掉USB autoplay => 安裝防毒避免又中獎

基本上那個更新是蠻建議裝的 因為Windows7 也是用類似機制 所以Win7上的隨身碟病毒

比較沒這麼嚴重(後來都演變成不是autoplay 而是偽裝成資料夾 讓使用者自己去點病毒)

如果要避免新型態的 建議把 隱藏檔還有副檔名 預設顯示

就會看到 xxx資料夾.com (或是.exe) 不然就是看到原本的檔案或資料夾都被隱藏

然後多了一堆同名的病毒假檔

如果是公用電腦 平時不會讓人去裝軟體跟修改設定的話

建議可以用Returnil 這類影子系統 然後把桌面 我的文件 我的最愛 資料夾 移出C槽

這樣C就不怕被病毒入侵 重開機就沒事

當然 隨身碟如果中鏢 只要插就會中 但是至少對Mis來說 專注力就可以放在隨身碟

而公用電腦 只要重開機就好(尤其事多台都中又沒時間馬上處理 就是叫他們馬上重開 然後先不要用隨身碟)

[Ailio 在  2010-6-24 12:40 AM 作了最後編輯]
發表人: pandacat    時間: 2010-6-24 02:25 AM

家裡兩台電腦曾經中過，超級麻煩的..
最後也是使用efix才清掉
先清第一台，再清第二台，最後所有隨身碟都再清理一次
好麻煩 = ="
發表人: bryansun    時間: 2010-6-24 02:51 AM

嗯
謝謝

當我把efix放入隨身碟的時候,然後插入有毒的電腦
馬上又中毒了-autorun.inf跟recycle.exe (windows顯示這個是screen saver)
不過我知道這是毒   

然後我就直接執行efix    -->這種已經中毒的情況下,執行efix有用嗎？
還是要一定要進入安全模式執行efix？

至於免疫的autorun.inf
我覺得好像沒有用也
我是使用kavo killer在所有隨身碟安裝
不過好像是因爲這是針對ntfs所寫的
隨身碟好像是fat的,所以還是會中毒

另外,我都是用我的電腦windows 7 64bit的來看隨身碟有沒有毒
有這autorun.inf跟recycle病毒的,我都直接format,
這毒應該對windows 7 64bit的起不了作用
因爲我之後又把隨身碟拿到其他windows xp的電腦測試
沒有出現,所以就代表沒有問題

清的掉就算不錯了
我公司目前有6台電腦中同樣的毒

[bryansun 在  2010-6-24 02:53 AM 作了最後編輯]
發表人: bryansun    時間: 2010-6-24 10:21 AM

安全模式跑efix => 重開 => 安全模式跑efix => 接著跑dr.web 指定掃描windows資料夾(含子資料夾) => 安裝更新廢掉USB autoplay => 安裝防毒避免又中獎

我嘗試這個做法了
可是不知道是不是隨身碟有毒,所以一插入隨身碟
又出現了

我想請問最基本的
要如何查電腦裏面到底有沒有毒以及自己的毒是什麽

我在common下
c:dir/ash
沒有東西
發表人: Ailio    時間: 2010-6-24 12:26 PM

安全模式最主要的目的 是因為 避免病毒潛藏在某服務中 或是在你開機的時候 病毒也同時執行了

病毒其實就是一個程式

他可以不斷複製自己 所以有時候砍得只是分身

至於如何知道電腦有沒有毒 只能靠經驗判斷 跟 掃毒軟體了
(或是由一些徵兆 去google)

如果真的有超有效的辦法 那..防毒軟體廠商應該就不用混了

一般我個人大概都是 efix跑完 Dr.web 跑整個硬碟 跑完

都沒警報 就算這台沒問題了(沒其他徵兆的話)

至於隨身碟病毒 建議用Linux or XPE等環境 把隨身碟都放進去 清一清不明執行檔

還有autorun等東西

避免一直重複感染 處理到真的會崩潰

至於在跟目錄產生 autorun.inf 資料夾 來防範

這招對於新型的隨身碟病毒是沒用的

新型的就是上面我提過 他會把你原來的資料夾 隱藏 然後產生 同樣名稱的病毒檔

例如你一個資料夾叫做 "會議記錄" 他會把資料夾隱藏 然後產生

會議記錄.exe(檔案圖示還會故意用資料夾的樣子)

使用者下意識想點進去資料夾 就中標

至於病毒喜歡躲的資料夾 除了跟目錄

還要看一下 windows\system32 跟 windows\help

這兩個資料夾 不會有 a s h 屬性的檔案

如果有出現 95%是病毒

[Ailio 在  2010-6-24 12:33 PM 作了最後編輯]
發表人: bryansun    時間: 2010-6-24 03:40 PM

所以依照我目前的情況
我是把隨身碟插入
只要出現autorun.inf跟recycle這兩個檔
就確定有病毒了
因爲我已經知道那幾台會這樣,那幾台不會

所以應該不可能是那種把原來的資料夾 隱藏 然後產生 同樣名稱的病毒檔
所以當我執行efix跟dr. web其實都說沒毒了

實在不知道該怎麽辦了
發表人: Ailio    時間: 2010-6-24 05:06 PM

兩個檔案 打包 丟上來看看吧

看看掃毒軟體 給他的名稱是什麼 然後Google找病毒特徵

去把他清乾淨了

感覺上 病毒本體沒被抓到
發表人: bryansun    時間: 2010-6-24 05:35 PM

感謝

我剛才使用combofix這個軟體
很神奇的

已經把病毒清掉了-隨身碟已經不會在自己產生autorun.inf跟recycled.scr這兩個資料夾

這個軟體感覺跟eFix一模一樣
只是efix居然沒有辦法清除
但是combofix可以
發表人: Ailio    時間: 2010-6-24 05:53 PM

應該是腳本問題吧

Efix其實就是一堆腳本(自動去某資料夾 找符合條件就刪除 或是移動)

之所以要Efix + dr.web就是因為 怕病毒本體是在腳本以外的地方

怕有漏網之魚 重開機又發作
發表人: bryansun    時間: 2010-6-25 11:20 AM

請問一下
無毒的情況下
使用combofix會有問題嗎？
發表人: Ailio    時間: 2010-6-25 12:34 PM

理論上不會

因為就像上面有說過 System32下面不會有 ash屬性的檔案

引此腳本可以判斷有 a s h就砍掉

所以除非真的很剛好有某程式 符合腳本的內容

不然應該是不會有問題的

但是因為沒人敢打包票不會誤刪檔案

所以combofix 跟 efix 都打了一些很嚇人的 警告標語



歡迎光臨 TWed2k (http://twed2k.org/) Powered by Discuz! 4.1.0