WangLu's Notes

话说上次那次的病毒突然又复活了，今天我用电脑不久发现/bin的几个文件又被感染了，这次留了个心眼，重启之前用clamav看了下病毒名，叫做RST.B-1 之后在http://www.symantec.com/security_response/writeup.jsp?docid=2004-052312-2729-99&tabid=2 处看到了相关资料，这个病毒会感染/bin和当前目录下的可执行文件。上次我只恢复了/bin的文件，所以应该是没清干净。 于是用live cd引导，覆盖/bin的文件，然后chroot再用clamav全盘扫描，果然发现了另外几个感染的文件，删除之（我有备份），重启后正常。

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDriveTypeAutoRun"=dword:000000B5 [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDriveTypeAutoRun"=dword:000000B5

不小心中了这个流氓软件，发现还挺难杀。 参考了上面的网址，发现应该删除c:\windows\system32\drivers\acpidisk.sys及其相关注册表项。 其实我用autoruns已经看到了，只是不确定是否真是它，伪装得还不错嘛。。

同学机器中毒了,症状如下: 每个盘根目录下增加autorun.inf 和一个目录runauto.. 很多命令msconfig, cmd, regedit等不能运行. 我看了下,首先根据autorun.inf找到一个pif 然后根据文件日期又找到一堆exe,这些都好办,删掉就行了. 我记得有 c:\windows\lsass.exe c:\windows\setuprs1.pif c:\windows\cmd.exe.exe 可能不全. 不过那个runauto..目录却删不掉, 但是我发现在纯dos下可以进入(但是由于属性等问题,不好删)... 参考了http://hi.baidu.com/creative_zone/blog/item/5555efb494408d728bd4b2bb.html 发现应该用rd "runauto.../" /s /q, 然后成功删除, 这个非常奇妙,我自己试了试md "tmp.../", 然后有类似现象,是Windows的bug么? 另外需要停掉一个服务,叫做Kerberos Key Distribution Centers, 最好也从注册表里删掉 最后发现那些命令还是不能用, 然后搜了下注册表, 发现在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 下,有很多项,其中 cmd.exe, msconfig.exe 等项中均有一个键叫叫做"Debugger",值为病毒pif, 那没什么好说的,删! 于是都正常了. 最后又搜了一遍,删了几个可疑项和键值, 至此就算完成了.

最近天网老报winlogon.exe要访问网络，这显然是中招了。 在c:\windows\system32\下按时间排序发现了winlib .dll, winlib0.dll等可疑文件，用icesword+unlocker可以删除，不过重启后“死灰复燃” 用autoruns发现了c:\windows\system32\drivers下有cdnprot.sys和acpidisk.sys(也可能叫acpidisks.sys，记不清了）,很可疑啊，用U盘启动把它们删掉 最后一处是临时文件夹下有个~my1.tmp（也可能是~my6.tmp)，delete it! 总算是斩草除根了，至少看上去是这样。

又中招了，不过好久没有中感染exe文件的病毒了，这种病毒是我承认“有技术含量”的几种之一，至少我不能手工杀光。 表现是桌面很多图标消失（即变成dos程序图标），用exescope看那些exe文件，都多了些ml2**的section头。另外多了几个可疑文件：c:\windows\uninstall\rundl132.exe, c:\windows\logo1_.exe,c:\windows\richdll.dll, 刚发现这些文件时我的对策是：(呵呵，有手工软件就是好）1。杀进程2。用IceSword阻止它再运行3。用FileMon看调用者4。删文件和注册表 后来发现运行一些普通程序也会生成这些文件，再用exescope。。。明白了 在 http://hi.baidu.com/gaodi2002/blog/item/8135d6f97800ab59252df202.html 查到了这是维金病毒，正好2006电脑报合订本光盘里有金山的专杀，用起来还不错，只是一开始还得运行病毒，这个工具似乎先扫描内存，如果没毒就不扫描硬盘了。我晕。但是后来我又杀了一次，报告内存无病毒，可是这次就扫描硬盘了，我也不知道怎么回事。唉。 然后用exescope随便查看几个exe，嗯，好了。 附上金山维金专杀的链接： http://db.kingsoft.com/download/3/246.shtml

IceSword -- 杀进程,卸掉注入的DLL HijackThis -- 扫描系统 LspFix + Winsock XP Fix -- 解决关于HijackThis日志中010项(O10 Winsock LSP"浏览器绑架") KillBox -- 删除任意文件 -- 我并不觉得特别好用，推荐下面的Unlocker Unlocker -- 删除任意文件 -- 异常好使，因此也应倍加小心 Autoruns -- 详尽的可能自启动的程序列表，我第一次用时嘴巴张成O型 这个地方有介绍 http://forum.ikaka.com/topic.asp?board=28&artid=6979213 同时也推荐卡卡社区 http://forum.ikaka.com/board.asp?id=3