專家實戰錄：遭遇狡猾病毒不斷改名逃避查殺

News

最新消息

About

關於我們

Recovery

Service

Information

Contact

歡迎鎖定資料救援中心公佈的最新消息，我們將不定期做更新．

成功案例 │

軟體損壞資料救援
誤分割、誤格式化、誤ghost、駭客攻擊、PQ調整失敗等...
硬體損壞資料救援
電路板芯片燒壞,不認碟、碟體書寫錯誤等...
伺服器資料救援
磁碟陣列RAID0 、RAID1、RAID1+0、NAS、SAN 、JBO
筆電資料救援
東芝、日立、邁拓、三星、富士通、昆騰、筆記型等...
RAID資料救援
對RAID0、RAID1、RAID1E、RAID5E、RAID6等救援...
硬碟資料救援
IDE、SCSI、S-ATA介面的IBM、易拓,昆騰硬碟,移動硬碟...

目前位置: 首頁 > 新聞中心 > 病毒防護

新聞中心

專家實戰錄：遭遇狡猾病毒不斷改名逃避查殺

【賽迪網-IT技術報道】【編者按：首先非常感謝鐵軍同志！朋友的電腦出了問題，Mcafee總是提示有病毒清除不了，公司不方便遠程操作，只好找到鐵軍幫忙。可惜最後兩個文件遠程操作無法刪除，手頭還沒有WinPE盤。看來為了應對越來越狡猾的病毒，準備一個WinPE已經勢在必行。】

下午李磊給我一個LOG，看了看發現幾個可疑文件

c:/windows/system32/mssrv32.exeC:/WINDOWS/system32/tmp.exeC:/WINDOWS/system32/com/laaegiyboccw.dllc:/windows/system32/usmt/wvrqtmsth.dllC:/WINDOWS/system32/winini.exec:/windows/system32/Drivers/Tjm15.sysC:/WINDOWS/system32/gtwkvegqpm.dllC:/WINDOWS/system32/wsxafnkqsdevx.dllC:/WINDOWS/system32/oegqglvyni.dll

先寫個批處理嘗試拷貝樣本，從傳過來的文件看，少了tjm15.sys。

遠程連接過去，裝上清理專家，發現6個惡意軟體。

清除這幾個之後重啟，發現有兩個東東死賴著不走。

c:/windows/system32/wlctrl32.dll c:/windows/system32/drivers/khk41.sys

嘗試用文件粉碎器刪除，重啟又來了，粉碎後立即拔電源也沒搞定。

看來只有一條路，WinPE引導後刪除，這已經沒辦法遠程操作。

這個sys文件每次重啟會改名。

(

回上頁回首頁

免費客服專線

0800-600-386

【直營地點】
台北資料救援：115台北市南港區三重路19-11號E棟(南港軟體園區)
新竹資料救援：300新竹市東區光復路二段156號
新竹科學園區資料救援：新竹科學工業園區新安路5號4樓 (鴻海大樓裡面)
台南資料救援：700台南市中西區北門路一段57號 TEL:06-505-0005