- 註冊時間
- 2009-7-6
- 最後登錄
- 2016-10-14
- 主題
- 查看
- 積分
- 768
- 閱讀權限
- 140
- 文章
- 595
- 相冊
- 10
- 日誌
- 17
 
狀態︰
離線 
|
最近假防毒似乎又開始崛起，單就去年12/1~12/31，工作室就接了13件案子。
為了讓大家在遇到這個病毒時有正確的應對方式，也為了降低工作室各同仁的壓力，在此將這13件案子的處理方式整理分享出來。
病毒名稱：XP Defender或Win7 Defender
病毒主檔：wgsdgsdgdsgsd.exe
病毒類型：假冒防毒
破壞力：低
影響力：中
解毒難度：易
中毒症狀：
1.無法執行任何副檔名為EXE的檔案。
2.持續跳出網路遭到攻擊的提示訊息。
使用工具：SREng
最快的處理步驟：（適用於桌機及大部分的筆電，需要有另一台桌機。）
1.開啟資料夾選項，取消勾選"隱藏已知檔案類型的副檔名"。
2.將SREng後面的EXE改成com後執行。
3.點到智慧掃瞄，只打勾"所有的啟動項目"，按下掃描。
掃描完後會產生報告，展開啟動專案再點註冊表。
找到如下的資料，記下我標紅字的路徑。
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<pcdfsvc><C:\Documents and Settings\All Users\Application Data\pcdfdata\wgsdgsdgdsgsd.exe /min> [?????????? ??????????]
4.點到系統修復，在文件關聯中打勾所有狀態異常的副檔名，按下修復。
5.關機，拔掉硬碟接到另一台電腦上。
6.根據剛剛記下的路徑去刪檔，這邊要注意的是，檔案不可能在C磁碟槽。
舉例我目前電腦有本機磁碟C和本機磁碟D兩個磁碟槽，和光碟機E槽。
當我把另台電腦的硬碟拔下來接到這台電腦上時，原本的C槽就會變成F槽，D槽就會變成G槽。
所以請到F:\Documents and Settings\All Users\Application Data找到pcdfdata資料夾刪除掉。
7.關機，拔掉硬碟裝回原本電腦。
8.在執行輸入regedit
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
底下有個相關機碼，刪除掉。
9.重新開機，拔掉網路線再用防毒軟體做一次全系統掃瞄。
順便求檔一下，如果有人中了這個假防毒，請在進行第六步驟前將pcdfdata整個資料夾做成壓縮檔，拷貝一份給我，謝謝。
至於要拿來做什麼的，這個嘛，拿來研究順便弄出個直接解毒的程式。 |
|
發表於 2013-1-5 00:41:56
x 
