卡饭论坛 » 病毒救援区 » 中了引导区病毒

lyqq7206 发表于 2008-9-1 22:19

中了引导区病毒

1.由于用U盘启动所致(U盘启动DOS镜像有引导区病毒);
2.用咖啡对硬盘杀毒没有发现病毒;
3.但每次插入上次那个带毒U盘,咖啡监控即报警如下信息:
 名称:"磁盘1的MBR",检测结果:"STONE",应用程序:"c:\windows\systems32\svchost.exe"
4.咖啡日志中有如下信息:
''2008-9-1        21:36:13        已由访问保护规则禁止         NT AUTHORITY\SYSTEM        C:\WINDOWS\System32\svchost.exe        G:\Autorun.inf        用户定义的规则:【系统文件保护类】禁止在任何盘符根目录生成 autorun.inf 文件        已阻止的操作: 读取
2008-9-1        21:36:13        已由访问保护规则禁止         5EED7FE083C240E\LLL        C:\WINDOWS\Explorer.EXE        G:\AutoRun.inf        用户定义的规则:【系统文件保护类】禁止在任何盘符根目录生成 autorun.inf 文件        已阻止的操作: 读取
2008-9-1        21:36:14        已由访问保护规则禁止         NT AUTHORITY\SYSTEM        C:\WINDOWS\System32\svchost.exe        G:\Autorun.inf        用户定义的规则:【系统文件保护类】禁止在任何盘符根目录生成 autorun.inf 文件        已阻止的操作: 读取
2008-9-1        21:36:14        已由访问保护规则禁止         5EED7FE083C240E\LLL        C:\WINDOWS\Explorer.EXE        G:\AutoRun.inf        用户定义的规则:【系统文件保护类】禁止在任何盘符根目录生成 autorun.inf 文件        已阻止的操作: 读取
2008-9-1        21:42:07        已由访问保护规则禁止         NT AUTHORITY\SYSTEM        C:\WINDOWS\System32\svchost.exe        \Device\Harddisk1\DP(1)0-0+f\Autorun.inf        用户定义的规则:【系统文件保护类】禁止在任何盘符根目录生成 autorun.inf 文件        已阻止的操作: 读取
2008-9-1        21:42:07        已由访问保护规则禁止         5EED7FE083C240E\LLL        C:\WINDOWS\Explorer.EXE        G:\AutoRun.inf        用户定义的规则:【系统文件保护类】禁止在任何盘符根目录生成 autorun.inf 文件        已阻止的操作: 读取
'

风雪 发表于 2008-9-1 22:32

U盘启动DOS镜像有引导区病毒，U盘的PE引导盘么？PE系统中有什么特别的功能插件？感觉怀疑系统应该没有问题。

鱼怪 发表于 2008-9-1 22:49

C:\PROGRAM FILES\CERIENCE\REPLIGO\REPLIGOMON.EXE
除了这个程序好查查外，其它没发现异常。
建议用在PE下查杀，或进入安全模式下查杀。
看症状很诡异，继续关注中。

lyqq7206 发表于 2008-9-2 07:22

1.当时不是用的PE启动,是在网上下的一个DOS启动IMG文件制作成启动盘,然后从U盘启动后就出现了上述问题,特别是上面咖啡日志中的几条信息.
2.REPLIGOMON.EXE没问题,是一个文本打印软件监控.
3.只有在插入前面那个带毒U盘才有报毒,插入别的U盘不报毒.
4.昨天我又重新用UltraISO9的新功能对另一个U盘制作了PE启动U盘(上次制作DOS启动时也是用的UltraISO9),结果同样报毒.用FLASHBOOT制作PE启动U盘却不报毒,能够正常从U盘启动.
5.我用的是萝卜的SP3系统,目前运行无异常

lyqq7206 发表于 2008-9-2 07:24

请老手关注一下前面的咖啡日志,很诡异

鱼怪 发表于 2008-9-2 14:03

还有记不清了，PE中文件老是被误杀报毒，其实是没毒的，经验之谈[:15:]

查看完整版本: 中了引导区病毒