[心得分享] XP/Win7 Defender

ny89418

最近假防毒似乎又開始崛起，單就去年12/1~12/31，工作室就接了13件案子。

為了讓大家在遇到這個病毒時有正確的應對方式，也為了降低工作室各同仁的壓力，在此將這13件案子的處理方式整理分享出來。

病毒名稱：XP Defender或Win7 Defender

病毒主檔：wgsdgsdgdsgsd.exe

病毒類型：假冒防毒

破壞力：低

影響力：中

解毒難度：易

中毒症狀：
1.無法執行任何副檔名為EXE的檔案。
2.持續跳出網路遭到攻擊的提示訊息。

使用工具：SREng


最快的處理步驟：（適用於桌機及大部分的筆電，需要有另一台桌機。）
1.開啟資料夾選項，取消勾選"隱藏已知檔案類型的副檔名"。

2.將SREng後面的EXE改成com後執行。

3.點到智慧掃瞄，只打勾"所有的啟動項目"，按下掃描。
掃描完後會產生報告，展開啟動專案再點註冊表。

找到如下的資料，記下我標紅字的路徑。
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <pcdfsvc><C:\Documents and Settings\All Users\Application Data\pcdfdata\wgsdgsdgdsgsd.exe /min>  [?????????? ??????????]

4.點到系統修復，在文件關聯中打勾所有狀態異常的副檔名，按下修復。

5.關機，拔掉硬碟接到另一台電腦上。

6.根據剛剛記下的路徑去刪檔，這邊要注意的是，檔案不可能在C磁碟槽。
舉例我目前電腦有本機磁碟C和本機磁碟D兩個磁碟槽，和光碟機E槽。
當我把另台電腦的硬碟拔下來接到這台電腦上時，原本的C槽就會變成F槽，D槽就會變成G槽。

所以請到F:\Documents and Settings\All Users\Application Data找到pcdfdata資料夾刪除掉。

7.關機，拔掉硬碟裝回原本電腦。

8.在執行輸入regedit
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
底下有個相關機碼，刪除掉。

9.重新開機，拔掉網路線再用防毒軟體做一次全系統掃瞄。


順便求檔一下，如果有人中了這個假防毒，請在進行第六步驟前將pcdfdata整個資料夾做成壓縮檔，拷貝一份給我，謝謝。

至於要拿來做什麼的，這個嘛，拿來研究順便弄出個直接解毒的程式。