【問題】小紅傘擋的住 21cnyl.com 這隻病毒/蠕蟲 嗎？

[noeleon930]

Antivir果然優秀!
從國小三年級開始用到現在國中二年級，電腦未中毒過(是有搭配ad-ware啦~)
當我使用VMware測試"電腦瀏覽21cnyl.com時有什麼情況"時，這個病毒真的暗渡陳倉，跑進電腦裡呢。但使用Linux就沒有問題了，病毒既使跑進來也無起作用，好開心!!(本人現在正使用著Linux...)

[不潔之力]

作者: noeleon930

Antivir果然優秀!
從國小三年級開始用到現在國中二年級，電腦未中毒過(是有搭配ad-ware啦~)
當我使用VMware測試"電腦瀏覽21cnyl.com時有什麼情況"時，這個病毒真的暗渡陳倉，跑進電腦裡呢。但使用Linux就沒有問題了，病毒既使跑進來也無起作用，好開心!!(本人現在正使用著Linux...)

不知您是否有下載arlona大所上傳的lsass.exe檔案並連點執行?
我用windows xp sp2 也是直接跑去瀏覽vod.21cnyl.com網域的網站..
完全沒任何有問題的現象出現~
但點擊該檔案後~一打開網頁就開始大亂了~

[noeleon930]

作者: 不潔之力

不知您是否有下載arlona大所上傳的lsass.exe檔案並連點執行?
我用windows xp sp2 也是直接跑去瀏覽vod.21cnyl.com網域的網站..
完全沒任何有問題的現象出現~
但點擊該檔案後~一打開網頁就開始大亂了~

其實，"完全沒任何有問題的現象出現~"就是病毒暗渡陳倉。

[不潔之力]

這邊po一下個人試驗機的解毒過程~

此病毒一中毒後~會在登錄檔新增以下項目

機碼一:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Documents and Settings^使用者名稱^「開始」功能表^程式集^啟動^~.pif]

"path"="C:\\Documents and Settings\\使用者名稱\\「開始」功能表\\程式集\\啟動\\~.pif"
"backup"="C:\\WINDOWS\\pss\\~.pifStartup"
"location"="Startup"
"command"="C:\\Documents and Settings\\使用者名稱\\「開始」功能表\\程式集\\啟動\\~.pif"
"item"="~"


也就是在MSCONFIG的啟動裡面新增一個"~"的項目~
並在C:\Documents and Settings\使用者名稱\「開始」功能表\程式集\啟動\建立"~.PIF"檔
同時將C:\Documents and Settings\Administrator\「開始」功能表\程式集\"啟動"資料夾及"~.PIF"檔隱藏起來~
(這會讓桌面\開始\程式集裡面的啟動不見 感覺比較敏銳的 人會注意到這個~並發現解毒法...
個人是在第二次~也就是5天後去處理同一台電腦才發現到的...orz)
在C:\WINNT\SYSTEM32\DRIVERS裡建立"LSASS.EXE"病毒檔案~

另外因為msconfig的變動~
在C:\WINNT\PSS資料夾裡會有"~.pifstartup"檔新增~
這個也是要刪的~


機碼二:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder <----這邊要空的~下面沒東西~右邊也沒東西
此機碼是用來消除MSCONFIG~啟動選項裡的"~"


個人是在安全模式下~刪除假的lsass.exe檔~機碼一、機碼二~
並打開顯示所有隱藏檔及系統檔~
將C:\Documents and Settings\使用者名稱\「開始」功能表\程式集的啟動資料夾解隱藏屬性~
把裡面的~.pif刪除~還有c:\winnt\pss裡的~.pifstartup也要刪~

重開機應該就好了~




該毒特色:
1.瀏覽網頁時會一直跑出網域是vod.21cnyl.com的廣告網頁~
2.已安裝的防毒軟體失效~
3.移除防毒後~無法安裝新的防毒~會被病毒阻擋~
4.系統日期被修改? (未確定)

[arlona]

作者: 不潔之力

這邊po一下個人試驗機的解毒過程~
恕刪..

好詳細的過程..
感謝您的分享...
不過.. 我好奇的是... 在已中毒的狀況下..
只刪除這些檔案就好了嗎 @_@??
剩下的 A~Z槽所有被感染的EXE執行檔..是靠掃毒軟體清掉嗎...?? 還是說有其它手動的方式可以清?? 不過手動的話~ 應該會清到爆炸吧...

雖然說電腦會中毒多半是使用者的習慣不好以及警覺性不夠高...
但是... 感覺VISTA還有IE7在這方面好像沒有比較安全啊...
希望IE8 正式版..可以有所改善..

[不潔之力]

A~Z槽所有被感染的EXE執行檔...
這部份~我用您上傳的檔案去試~也有注意檔案被修改的日期..
並沒有傳染的現象~

會不會是有另外的病毒做怪?
我的試驗系統是xp sp2




有關21cnyl.com~我有上網查...
主要是大陸那邊才會中毒~
有人作過追蹤檢查~
這邊是我看到的文章~ "dns劫持"
http://www10.tianya.cn/New/PublicFor...strItem=itinfo

注意一下他po的日期~你會發現...好像我們這邊流行的病毒幾乎都是比大陸慢一年-二年...
不知是不是因為這樣~所以有的大陸防毒拿到台灣來用會特別好用?
像kavo早在2年前~我這邊的客戶就很多人有中了~
只是當時不會解~只能重灌~等過了半年(也就是一年半前)我們才找到解法~
5-10分鐘就解完了~

[Adonisy]

請問...中毒的檔只能刪了嗎?

以前不是還可以救嗎?

[arlona]

作者: 不潔之力

A~Z槽所有被感染的EXE執行檔...
這部份~我用您上傳的檔案去試~也有注意檔案被修改的日期..
並沒有傳染的現象~

嗯..也有可能是我的觀察有誤...
因為我第一次中毒後.. 發現有異.. 使用小紅傘做一次全系統掃描..(可能就是在這個時候造成全部的磁碟槽的exe檔被感染)
不堪其擾~ 就用 vista 還原光碟做還原..
此時c槽是乾淨的，但是我又使用在d槽內已被感染的小紅傘安裝檔(exe檔)..
小紅傘安裝完畢之前系統已被感染..當然也就掃不到這隻...
於是改用nod32 才發現 a~z槽的exe檔都被感染了...

不潔之力前輩... 不知有無嘗試過~ 在中毒狀態下，去執行exe檔或用小紅傘掃描整台電腦.. 是不是會造成二次感染呢 @_@?

本想親自測試.. 但..最近突然變好懶 /_\

ps：別再叫我大大了.. 在pczone裡，大大=便便.. 別老是叫我大大~ 一天二次就算多了..

[不潔之力]

作者: Adonisy

請問...中毒的檔只能刪了嗎?

以前不是還可以救嗎?

我在清毒只能靠軟體~
如果防毒清不掉~也只有刪除一途了~
但要是本身就是病毒檔的話~
應該沒的清吧~

作者: arlona

嗯..也有可能是我的觀察有誤...
因為我第一次中毒後.. 發現有異.. 使用小紅傘做一次全系統掃瞄..(可能就是在這個時候造成全部的磁碟槽的exe檔被感染)
不堪其擾~ 就用 vista 還原光碟做還原..
此時c槽是乾淨的，但是我又使用在d槽內已被感染的小紅傘安裝檔(exe檔)..
小紅傘安裝完畢之前系統已被感染..當然也就掃不到這隻...
於是改用nod32 才發現 a~z槽的exe檔都被感染了...

不潔之力... 不知有無嘗試過~ 在中毒狀態下，去執行exe檔或用小紅傘掃瞄整台電腦.. 是不是會造成二次感染呢 @_@?

第一次在客戶那邊看到這病毒時~
我有移掉他的小紅傘~然後點安裝我所帶過去的其他防毒....
很詭異~沒一套能出現安裝畫面的~
我就跟客人說準備重灌好了~
但我才離開不久~客戶就打電話說他的小紅傘能安裝到結束?!!
見鬼了..=.=|||
回店裡後~我有查大陸那邊的說法~
有看到說21cnylc.com會阻檔防毒軟體的安裝... (心中只有一個囧rz阿...

我沒辦法知道是nod32誤判還是檔案真的有被感染~
這個你可能要看一下檔案的修改/建立日期...
防毒軟體我只當輔助~沒有注意很多細節@@

ps:大大叫慣了~以前在正揚論壇都是這樣的~"~
您的註冊比我還早...2001年~想當初我還只是一個在天堂打混的小咖...