TWed2k - 軟體求助討論區 - [討論]很強的病毒reader_s.exe，已找到病毒主體(內附病毒主體，不要亂下載)

titan7185
驢手小試

．積分： 9
．文章： 20
．收花： 9 支
．送花： 6 支
．比例： 0.67
．在線： 354 小時
．瀏覽： 7730 頁
．註冊： 7328 天
．失蹤： 320 天

#1 : 2009-3-13 12:41 PM 只看本作者	送花 (4) 送出中...

最近又遇到很機車的事，搞的我暈頭轉向。
不清楚有沒人知道這款病毒"reader_s.exe"，發現時間應該是去年12月多就出現，
(GOOGLE上還滿多資料的，但沒有很明確的移除方法)
個人認為應該又變種了。
以下是它的一些資訊
1.只有上網才會讓病毒發作
2.在SYSTEM32下建立reader_s.exe
3.在WINDOWS\SYSTEM32\TEMP產生temp檔
4.建立假的SVCHOST.EXE
5.寫入機碼HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
以及HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下
6.在不連網的狀況下，你認為砍掉了，網路線一插，它又給你活過來了。

簡單講，這病毒會隱藏自己的程式，然後去下載各類的病毒，然後吃光你的頻寬。
再更簡單講，這就是一個殺不掉的木馬下載器。

看起來沒什麼，感覺起來也沒什麼，但重了以後很頭大。
我把中毒的機器c槽重作，掃d槽時c槽中標
於是把病毒弄到我的隨身碟，測試我用的防毒軟體是否能偵測，結果是我的電腦也中標。

(防毒軟體用江民，的確，我認為江民的掃毒能力不是很好，但工具很好用，這以後可以在跟大家討論)
於是請了江民防毒的人來解毒(他號稱沒有將民解不了的毒

他是這樣說啦。)下場還是打道回府。

原因在於，抓不到它的主程式到底隱藏在哪。

接著，很妙的是，中毒的那台電腦已經呈現籃底白字，連安全模式也是一樣。
用xpe頂多進到桌面，接著完全不動。(這部分是硬體問題，跟病毒無關，搞錯了，sorry)

目前尋找解決方法中....
如果大大們有興趣，對你們的防毒軟體有信心，不仿陪我玩玩看。

ps:1.如果可以把整顆硬碟殺掉我當然會殺，但是不能這樣做
2.防毒軟體，見仁見智。

病毒主體找到了，現在放上，解壓縮密碼為a

再度強調防毒軟體見仁見智。
若是私人電腦從灌無所謂，若內有公文資料呢?你願意等七天後的回信?
我只是選擇有個人可以幫我解毒的防毒軟體公司，而不是到等7天後不知道有沒解決辦法的信。
(能叫江民的人來，是因為公司跟他有合作，這就是所謂的服務。)

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

kayin
銅驢友〔初級〕

今日心情

．積分： 109
．文章： 394
．收花： 921 支
．送花： 324 支
．比例： 0.35
．在線： 1704 小時
．瀏覽： 2020 頁
．註冊： 7452 天
．失蹤： 115 天
．夢と極限

#2 : 2009-3-13 12:59 PM 只看本作者	送花 (0) 送出中...

不好意思我沒別的意思，
很感謝分享大家病毒資訊，
但我還是很好奇一件事，
防毒為何選江民，
是因為有人會到府服務？
我想板上的人不是卡巴就是NOD居多吧，
也許你換別套防毒，
你就發現這叫不出名子的病毒已經不知死哪去了~

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

陽だまり
白銀驢友

ささらの可愛さは異常

．積分： 1330
．精華： 1
．文章： 3159
．收花： 10387 支
．送花： 26639 支
．比例： 2.56
．在線： 4508 小時
．瀏覽： 30308 頁
．註冊： 7440 天
．失蹤： 1448 天
．星の彼方

#3 : 2009-3-13 01:44 PM 只看本作者	送花 (0) 送出中...

想不到現在防毒軟體服務做這麼好
還提供免費到府驅毒的服務

樓主說陪你一起玩看看
但是沒看到把病毒放出來啊
這樣怎麼陪樓主一起玩

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

DD
銀驢友〔初級〕

．積分： 454
．文章： 2100
．收花： 2665 支
．送花： 1287 支
．比例： 0.48
．在線： 5187 小時
．瀏覽： 63007 頁
．註冊： 8216 天
．失蹤： 43 天
． [W.W.E]

#4 : 2009-3-13 03:47 PM 只看本作者	送花 (0) 送出中...

大概要學江民的人到府跟樓主一起玩病毒

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

honguiji
青銅驢友

今日心情

．積分： 279
．文章： 353
．收花： 2586 支
．送花： 362 支
．比例： 0.14
．在線： 1149 小時
．瀏覽： 7581 頁
．註冊： 8211 天
．失蹤： 234 天
．地獄

#5 : 2009-3-13 04:56 PM 只看本作者	送花 (3) 送出中...

網路上流傳的病毒多不勝數
像我就同時灌了兩套防毒、防木馬的程式
(Nod32+木馬清除大師)
不過也無法保證百毒不侵
只能盡量小心，不隨便亂開檔案或亂逛網站來消極防堵罷了

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

mmcatdog
銀驢友〔高級〕

．積分： 887
．文章： 3982
．收花： 6309 支
．送花： 763 支
．比例： 0.12
．在線： 378 小時
．瀏覽： 43431 頁
．註冊： 7403 天
．失蹤： 44 天

#6 : 2009-3-13 06:00 PM 只看本作者	送花 (0) 送出中...

類似病毒到是見過主要是在登錄檔中的explorer內含有一個機碼連結只要這連結不去掉防毒也是無能為力因為開機就內含在explorer.exe中沒法清除也無法掃到到目前為止能掃到的只有nod32 3.x版(正式版) 可以朝這方面看看如果explorer.exe以被竄改無法修復記得使用系統備份的備檔還原即可(不是還原程式喔是還原單一檔案)

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

陽だまり
白銀驢友

ささらの可愛さは異常

．積分： 1330
．精華： 1
．文章： 3159
．收花： 10387 支
．送花： 26639 支
．比例： 2.56
．在線： 4508 小時
．瀏覽： 30308 頁
．註冊： 7440 天
．失蹤： 1448 天
．星の彼方

#7 : 2009-3-13 06:41 PM 只看本作者	送花 (0) 送出中...

測了一下
上面那個檔並沒有感染然後一直生出小寶寶的情況這樣
還有別的檔可玩嗎

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

titan7185
驢手小試

．積分： 9
．文章： 20
．收花： 9 支
．送花： 6 支
．比例： 0.67
．在線： 354 小時
．瀏覽： 7730 頁
．註冊： 7328 天
．失蹤： 320 天

#8 : 2009-3-13 06:45 PM 只看本作者	送花 (0) 送出中...

引用:

陽だまり寫到:

測了一下
上面那個檔並沒有感染然後一直生出小寶寶的情況這樣
還有別的檔可玩嗎

有感力，剛剛測過了(我手賤點了兩下)

[titan7185 在 2009-3-13 07:08 PM 作了最後編輯]

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

leonchian
青銅驢友

肥肥賢

．積分： 321
．文章： 665
．收花： 1743 支
．送花： 17043 支
．比例： 9.78
．在線： 3466 小時
．瀏覽： 120166 頁
．註冊： 8216 天
．失蹤： 4 天
．住在台中的某一角落^_^

#9 : 2009-3-13 07:09 PM 只看本作者	送花 (0) 送出中...

如果是這樣，就個人的掃毒步驟是:
1.只有上網才會讓病毒發作------- 在安全模式下進入
2.在SYSTEM32下建立reader_s.exe----直接先砍掉這個檔
3.在WINDOWS\SYSTEM32\TEMP產生temp檔----temp檔全部刪掉，同樣的使用者帳號下的temp檔全刪光
4.建立假的SVCHOST.EXE----這個在win下無法刪，建議可從xp光碟開機第一道修復下刪，然後用第二道修復(先確認可修復)，這個是掃完毒再來做。
5.寫入機碼HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
以及HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下------這個可以用ccleaner刪掉，但run path所執行的檔也要砍掉。
6.在不連網的狀況下，你認為砍掉了，網路線一插，它又給你活過來了。---1.2.3.5步驟做完後，我習慣是使用e-scan這種綠色掃毒軟體(須使用註刪機)，這套是用卡巴核心去寫的，掃毒效率還不錯，或者用ComboFix這個掃毒一次，要掃全電腦檔案。掃完毒再砍svchost.exe修復xp，如果不行就是掃完毒重要文件、最愛、信件備一備重灌。

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

badcat
銀驢友〔初級〕

壞喵

．積分： 541
．精華： 3
．文章： 837
．收花： 3874 支
．送花： 982 支
．比例： 0.25
．在線： 3330 小時
．瀏覽： 62312 頁
．註冊： 7455 天
．失蹤： 387 天

#10 : 2009-3-13 07:58 PM 只看本作者	送花 (6) 送出中...

建議樓主把「附件」的「病毒壓縮檔」隨便用個密碼鎖上，並在主題文將密碼標明，以免不知情的「小朋友」拿了「附件」解壓後直接執行那就中標了！(至少要看完「主題文」才能知解壓密碼。以防萬一吧？總是有「神經很大條」的人。)

如果要徹底掃瞄病毒，建議用 XPE 光碟開機後，用「光碟內的掃毒程式」來掃，絕對不要用「硬碟」內的執行檔或資料來掃毒。(確保整個系統是無毒環境來掃毒比較保險，)

若病毒已常駐在記憶體中，掃毒和殺毒都會很難進行。(難度會很高，)

曾殺過 (c)Brain 的壞喵留～

P.S. 想測試「病毒」的朋友們，建議用「虛擬電腦」來測試，並最好「不要」啟用真實網路 (用「虛擬網路」內部測試倒還可以，但用「真實網路」爬出去就麻煩了！)，以免「病毒」(這應算蠕蟲啦！) 爬到別台電腦去。
(請勿害人害己，跑到別人的電腦那就麻煩了！)

[badcat 在 2009-3-13 08:22 PM 作了最後編輯]

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

阿ya
鐵驢友〔中級〕

．積分： 58
．文章： 368
．收花： 398 支
．送花： 136 支
．比例： 0.34
．在線： 1640 小時
．瀏覽： 5430 頁
．註冊： 8172 天
．失蹤： 3908 天

#11 : 2009-3-13 11:52 PM 只看本作者	送花 (0) 送出中...

我的媽ㄚ..大家都好猛都勇於測試...那我也參一角好了...希望別真的掛了哈哈

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

mmcatdog
銀驢友〔高級〕

．積分： 887
．文章： 3982
．收花： 6309 支
．送花： 763 支
．比例： 0.12
．在線： 378 小時
．瀏覽： 43431 頁
．註冊： 7403 天
．失蹤： 44 天

#12 : 2009-3-14 01:49 AM 只看本作者	送花 (0) 送出中...

慘還沒測就被防毒清掉了防毒為sep 11.0.3001.244

找時間再用來測試新電腦
目前已無空機測試

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆

陽だまり
白銀驢友

ささらの可愛さは異常

．積分： 1330
．精華： 1
．文章： 3159
．收花： 10387 支
．送花： 26639 支
．比例： 2.56
．在線： 4508 小時
．瀏覽： 30308 頁
．註冊： 7440 天
．失蹤： 1448 天
．星の彼方

#13 : 2009-3-15 02:26 PM 只看本作者	送花 (0) 送出中...

原來會被防毒清掉
comodo掃不出來

引用:

阿ya寫到:

我的媽ㄚ..大家都好猛都勇於測試...那我也參一角好了...希望別真的掛了哈哈

測試當然是開vm測啊
要是直接執行還得了

[如果你喜歡本文章，就按本文章之鮮花～送花給作者吧，你的支持就是別人的動力來源]

本文連接

快速回覆