TWed2k - 軟體求助討論區 - autorun.inf病毒清不掉

TWed2k » 軟體求助討論區 » autorun.inf病毒清不掉

可打印版本 | 推薦給朋友 | 訂閱主題 | 收藏主題 | 純文字版

1

2

>

bryansun
論壇第一不要臉

等級： 10

等級： 10

等級： 10

不想當帥哥很久了..

今日心情

．積分： 182
．精華： 2
．文章： 2207
．收花： 558 支
．送花： 24 支
．比例： 0.04
．在線： 1564 小時
．瀏覽： 9583 頁
．註冊： 8195 天
．失蹤： 713 天

#1 : 2010-6-23 12:52 PM 只看本作者	送花 (3) 送出中...

我想請問一下
公司好幾台電腦都中了autorun.inf 跟recycle病毒-兩個檔同時存在

有沒有清除這些病毒的方法呀？
我使用了kavo killer
還是沒有效也
要怎麽辦

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

sueice
銀驢友〔中級〕

等級： 13

等級： 13

等級： 13

等級： 13

．積分： 698
．文章： 895
．收花： 6308 支
．送花： 904 支
．比例： 0.14
．在線： 2867 小時
．瀏覽： 17992 頁
．註冊： 7217 天
．失蹤： 4403 天

#2 : 2010-6-23 01:18 PM 只看本作者	送花 (9) 送出中...

http://reinfors.blogspot.com/ EFix 台灣較常見惡意程式清除工具

貴公司使用哪套防毒軟體呢?

Dr.Web CureIT 免費掃毒軟體版本！而且是罕有的綠色軟體，免安裝！
ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe
Dr.Web CureIT!具有單機版 Dr.Web 的掃毒功能，而且不會跟其它防毒軟體發生衝突，從 Dr.Web 的 FTP下載後即是當天最新病毒庫封裝的版本
掃毒看看

Wow! USB VirusKiller 防毒軟體
http://www.openfoundry.org/index ... ng=en&task=view

Wow! 隨身碟防毒為輔助防毒軟體為主，本身不具備感染病毒後解毒的功能，而著重在前期預防。在預防重於治療層次上，補足資訊安全的不足。

新版小紅傘會把KAVO等因免疫產生的autorun.inf誤判成病毒。

http://forum.palmislife.com/archiver/tid-93293.html
74be16.exe病毒移除工具
http://www.freespycheck.com/malw ... ove-74be16-exe.html

http://www.duba.net/jijiu/index.shtml 金山急救箱(簡體)

你的隨身碟有格式化過嗎？還是單純只刪掉幾個檔案，會不會有病毒殘留？？
現在的隨身碟很少有防寫的，所以可以拿有防寫的記憶卡+讀卡機來測試，
測試到底病毒是從電腦感染到隨身碟，還是電腦被隨身碟感染？

[sueice 在 2010-6-24 05:50 PM 作了最後編輯]

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

bryansun
論壇第一不要臉

等級： 10

等級： 10

等級： 10

不想當帥哥很久了..

今日心情

．積分： 182
．精華： 2
．文章： 2207
．收花： 558 支
．送花： 24 支
．比例： 0.04
．在線： 1564 小時
．瀏覽： 9583 頁
．註冊： 8195 天
．失蹤： 713 天

#3 : 2010-6-23 01:32 PM 只看本作者	送花 (3) 送出中...

我使用了
可是還是清不掉
已開始就跳一個dos視窗
然後就自己執行
最後就說完成
可是當我把一只新的隨身碟放進去的時候
又直接有病毒了

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

bobbook
銀驢友〔中級〕

等級： 13

等級： 13

等級： 13

等級： 13

啊廢業黑化了...... 斯壞掉了(ﾟДﾟ )

十週年紀念徽章（五級）

今日心情

．積分： 664
．文章： 979
．收花： 5871 支
．送花： 5823 支
．比例： 0.99
．在線： 4923 小時
．瀏覽： 29696 頁
．註冊： 7449 天
．失蹤： 1444 天
．地球亞洲台灣

#4 : 2010-6-23 07:13 PM 只看本作者	送花 (6) 送出中...

轉載至http://slmisth.pixnet.net/blog

手動移除autorun.inf病毒清不掉

要先使用「attrib -s -a -h -r」解除檔案的屬生後，才有辦法使用del刪除檔案。

對了，我差點忘了，還有個*****.exe，你怎麼沒有提到，這個是監控程式，要先把它刪除，之後在刪post0.dll，首先切換到「cd c:\windows\system32」後，輸入「attrib -s -a -h -r ******.dll」與「attrib -s -a -h -r ******.exe」，接著輸入「taskkill /f /im explorer.exe」，然後在用del指令刪除post.exe與post0.dll，就行了。

「為什麼選完顯示隱藏文件之後,他自己會跳回去不顯示」？這是感染USB病毒後，所產生的狀況，病毒修改了登錄檔，把隱藏的功能給鎖死了(這個在上面也有說明)，所以才會這樣，在regedit裡的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows \CurrentVersion\Explorer右方有個CheckedValue項目，打開並將數值資料數字改為1，這樣就可回覆正常了。

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

龍神
銅驢友〔高級〕

等級： 10

等級： 10

等級： 10

．積分： 173
．文章： 865
．收花： 1227 支
．送花： 391 支
．比例： 0.32
．在線： 2527 小時
．瀏覽： 5621 頁
．註冊： 8209 天
．失蹤： 25 天
．台灣

#5 : 2010-6-23 09:29 PM 只看本作者	送花 (6) 送出中...

http://blog.yam.com/changshuwei/article/24454391
參考這個
隨身碟+硬碟都要做清除動作
只清其中一個,最後還是又會中的

[龍神在 2010-6-23 09:31 PM 作了最後編輯]

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

Ailio
版主

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

鸚鵡螺號艦長

十週年紀念徽章（五級）

今日心情

．積分： 2664
．文章： 6462
．收花： 22900 支
．送花： 4903 支
．比例： 0.21
．在線： 2826 小時
．瀏覽： 85748 頁
．註冊： 7449 天
．失蹤： 116 天
．莫名奇妙的商人星球

#6 : 2010-6-24 12:35 AM 只看本作者	送花 (9) 送出中...

你的隨身碟有清過嗎?

隨身碟病毒可怕之處就在於主機隨身碟 x N

如果沒清乾淨隨便一插就掛點

目前有些有變種會暗藏在其他檔案中

讓你砍了分身本體還在

一般大概就是 Efix跑一次(最好是安全模式下)

然後馬上重開機然後再跑一次Efix 另外使用dr.web 去掃windows資料夾

一般本體都是偽裝在System32 or help 資料夾底下帶有 a s h 屬性

dr.web幾乎都掃的到

有把本體掃掉的話應該就不會復發

至於隨身碟可以先安裝微軟更新程式

http://support.microsoft.com/?kbid=971029

這個更新程式會把USB的autoplay 廢掉
(插入USB只會出現瀏覽複製圖片等功能預設的執行將不會出現)

至於日後的防範目前免費版的Avast 小紅傘對於隨身碟病毒都還算蠻有效的
(前題是電腦本身的病毒本體要先處理掉)

打了很多我打個簡要步驟好了

安全模式跑efix => 重開 => 安全模式跑efix => 接著跑dr.web 指定掃描windows資料夾(含子資料夾) => 安裝更新廢掉USB autoplay => 安裝防毒避免又中獎

基本上那個更新是蠻建議裝的因為Windows7 也是用類似機制所以Win7上的隨身碟病毒

比較沒這麼嚴重(後來都演變成不是autoplay 而是偽裝成資料夾讓使用者自己去點病毒)

如果要避免新型態的建議把隱藏檔還有副檔名預設顯示

就會看到 xxx資料夾.com (或是.exe) 不然就是看到原本的檔案或資料夾都被隱藏

然後多了一堆同名的病毒假檔

如果是公用電腦平時不會讓人去裝軟體跟修改設定的話

建議可以用Returnil 這類影子系統然後把桌面我的文件我的最愛資料夾移出C槽

這樣C就不怕被病毒入侵重開機就沒事

當然隨身碟如果中鏢只要插就會中但是至少對Mis來說專注力就可以放在隨身碟

而公用電腦只要重開機就好(尤其事多台都中又沒時間馬上處理就是叫他們馬上重開然後先不要用隨身碟)

[Ailio 在 2010-6-24 12:40 AM 作了最後編輯]

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

pandacat
白銀驢友

等級： 15

等級： 15

等級： 15

等級： 15

等級： 15

送你一桶汽油嗄一粒番啊火

今日心情

．積分： 1457
．文章： 1375
．收花： 13316 支
．送花： 18814 支
．比例： 1.41
．在線： 3578 小時
．瀏覽： 45973 頁
．註冊： 6898 天
．失蹤： 2434 天

#7 : 2010-6-24 02:25 AM 只看本作者	送花 (3) 送出中...

家裡兩台電腦曾經中過，超級麻煩的..
最後也是使用efix才清掉
先清第一台，再清第二台，最後所有隨身碟都再清理一次
好麻煩 = ="

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

bryansun
論壇第一不要臉

等級： 10

等級： 10

等級： 10

不想當帥哥很久了..

今日心情

．積分： 182
．精華： 2
．文章： 2207
．收花： 558 支
．送花： 24 支
．比例： 0.04
．在線： 1564 小時
．瀏覽： 9583 頁
．註冊： 8195 天
．失蹤： 713 天

#8 : 2010-6-24 02:51 AM 只看本作者	送花 (3) 送出中...

嗯
謝謝

當我把efix放入隨身碟的時候,然後插入有毒的電腦
馬上又中毒了-autorun.inf跟recycle.exe (windows顯示這個是screen saver)
不過我知道這是毒

然後我就直接執行efix -->這種已經中毒的情況下,執行efix有用嗎？
還是要一定要進入安全模式執行efix？

至於免疫的autorun.inf
我覺得好像沒有用也
我是使用kavo killer在所有隨身碟安裝
不過好像是因爲這是針對ntfs所寫的
隨身碟好像是fat的,所以還是會中毒

另外,我都是用我的電腦windows 7 64bit的來看隨身碟有沒有毒
有這autorun.inf跟recycle病毒的,我都直接format,
這毒應該對windows 7 64bit的起不了作用
因爲我之後又把隨身碟拿到其他windows xp的電腦測試
沒有出現,所以就代表沒有問題

清的掉就算不錯了
我公司目前有6台電腦中同樣的毒

[bryansun 在 2010-6-24 02:53 AM 作了最後編輯]

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

bryansun
論壇第一不要臉

等級： 10

等級： 10

等級： 10

不想當帥哥很久了..

今日心情

．積分： 182
．精華： 2
．文章： 2207
．收花： 558 支
．送花： 24 支
．比例： 0.04
．在線： 1564 小時
．瀏覽： 9583 頁
．註冊： 8195 天
．失蹤： 713 天

#9 : 2010-6-24 10:21 AM 只看本作者	送花 (3) 送出中...

安全模式跑efix => 重開 => 安全模式跑efix => 接著跑dr.web 指定掃描windows資料夾(含子資料夾) => 安裝更新廢掉USB autoplay => 安裝防毒避免又中獎

我嘗試這個做法了
可是不知道是不是隨身碟有毒,所以一插入隨身碟
又出現了

我想請問最基本的
要如何查電腦裏面到底有沒有毒以及自己的毒是什麽

我在common下
c:dir/ash
沒有東西

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

Ailio
版主

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

鸚鵡螺號艦長

十週年紀念徽章（五級）

今日心情

．積分： 2664
．文章： 6462
．收花： 22900 支
．送花： 4903 支
．比例： 0.21
．在線： 2826 小時
．瀏覽： 85748 頁
．註冊： 7449 天
．失蹤： 116 天
．莫名奇妙的商人星球

#10 : 2010-6-24 12:26 PM 只看本作者	送花 (3) 送出中...

安全模式最主要的目的是因為避免病毒潛藏在某服務中或是在你開機的時候病毒也同時執行了

病毒其實就是一個程式

他可以不斷複製自己所以有時候砍得只是分身

至於如何知道電腦有沒有毒只能靠經驗判斷跟掃毒軟體了
(或是由一些徵兆去google)

如果真的有超有效的辦法那..防毒軟體廠商應該就不用混了

一般我個人大概都是 efix跑完 Dr.web 跑整個硬碟跑完

都沒警報就算這台沒問題了(沒其他徵兆的話)

至於隨身碟病毒建議用Linux or XPE等環境把隨身碟都放進去清一清不明執行檔

還有autorun等東西

避免一直重複感染處理到真的會崩潰

至於在跟目錄產生 autorun.inf 資料夾來防範

這招對於新型的隨身碟病毒是沒用的

新型的就是上面我提過他會把你原來的資料夾隱藏然後產生同樣名稱的病毒檔

例如你一個資料夾叫做 "會議記錄" 他會把資料夾隱藏然後產生

會議記錄.exe(檔案圖示還會故意用資料夾的樣子)

使用者下意識想點進去資料夾就中標

至於病毒喜歡躲的資料夾除了跟目錄

還要看一下 windows\system32 跟 windows\help

這兩個資料夾不會有 a s h 屬性的檔案

如果有出現 95%是病毒

[Ailio 在 2010-6-24 12:33 PM 作了最後編輯]

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

bryansun
論壇第一不要臉

等級： 10

等級： 10

等級： 10

不想當帥哥很久了..

今日心情

．積分： 182
．精華： 2
．文章： 2207
．收花： 558 支
．送花： 24 支
．比例： 0.04
．在線： 1564 小時
．瀏覽： 9583 頁
．註冊： 8195 天
．失蹤： 713 天

#11 : 2010-6-24 03:40 PM 只看本作者	送花 (0) 送出中...

所以依照我目前的情況
我是把隨身碟插入
只要出現autorun.inf跟recycle這兩個檔
就確定有病毒了
因爲我已經知道那幾台會這樣,那幾台不會

所以應該不可能是那種把原來的資料夾隱藏然後產生同樣名稱的病毒檔
所以當我執行efix跟dr. web其實都說沒毒了

實在不知道該怎麽辦了

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

Ailio
版主

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

鸚鵡螺號艦長

十週年紀念徽章（五級）

今日心情

．積分： 2664
．文章： 6462
．收花： 22900 支
．送花： 4903 支
．比例： 0.21
．在線： 2826 小時
．瀏覽： 85748 頁
．註冊： 7449 天
．失蹤： 116 天
．莫名奇妙的商人星球

#12 : 2010-6-24 05:06 PM 只看本作者	送花 (0) 送出中...

兩個檔案打包丟上來看看吧

看看掃毒軟體給他的名稱是什麼然後Google找病毒特徵

去把他清乾淨了

感覺上病毒本體沒被抓到

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

bryansun
論壇第一不要臉

等級： 10

等級： 10

等級： 10

不想當帥哥很久了..

今日心情

．積分： 182
．精華： 2
．文章： 2207
．收花： 558 支
．送花： 24 支
．比例： 0.04
．在線： 1564 小時
．瀏覽： 9583 頁
．註冊： 8195 天
．失蹤： 713 天

#13 : 2010-6-24 05:35 PM 只看本作者	送花 (0) 送出中...

感謝

我剛才使用combofix這個軟體
很神奇的

已經把病毒清掉了-隨身碟已經不會在自己產生autorun.inf跟recycled.scr這兩個資料夾

這個軟體感覺跟eFix一模一樣
只是efix居然沒有辦法清除
但是combofix可以

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

Ailio
版主

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

等級： 30

鸚鵡螺號艦長

十週年紀念徽章（五級）

今日心情

．積分： 2664
．文章： 6462
．收花： 22900 支
．送花： 4903 支
．比例： 0.21
．在線： 2826 小時
．瀏覽： 85748 頁
．註冊： 7449 天
．失蹤： 116 天
．莫名奇妙的商人星球

#14 : 2010-6-24 05:53 PM 只看本作者	送花 (0) 送出中...

應該是腳本問題吧

Efix其實就是一堆腳本(自動去某資料夾找符合條件就刪除或是移動)

之所以要Efix + dr.web就是因為怕病毒本體是在腳本以外的地方

怕有漏網之魚重開機又發作

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

bryansun
論壇第一不要臉

等級： 10

等級： 10

等級： 10

不想當帥哥很久了..

今日心情

．積分： 182
．精華： 2
．文章： 2207
．收花： 558 支
．送花： 24 支
．比例： 0.04
．在線： 1564 小時
．瀏覽： 9583 頁
．註冊： 8195 天
．失蹤： 713 天

#15 : 2010-6-25 11:20 AM 只看本作者	送花 (0) 送出中...

請問一下
無毒的情況下
使用combofix會有問題嗎？

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

發私人訊息

Blog

新增/修改爬文標記

1

2

>

所在時區為 GMT+8, 現在時間是 2024-11-22 03:33 AM	清除 Cookies - 連絡我們 - TWed2k © 2001-2046 - 純文字版 - 說明 Discuz! 0.1 \| Processed in 0.997904 second(s), 6 queries , Qzip disabled