[中毒] bb.exe會一直產生，刪也刪不掉

[leeilu (您好)]

Po文請使用下列格式並將有要求的檔案附上，資料詳細才有辦法幫您處理：

1.問題描述：
    請在下面說明碰到的中毒情形，越詳細越好(可貼圖說明)：
  已用防毒軟體是賽門鐵克的，掃描的時候有掃到病毒但是名稱是z1.exe z2.exe
  一直延續下去，自己看是藏在temp檔案下，這也是刪掉過不久又出現了，
  病毒不確定再哪裡，但是他會影響系統的日期時間，都會改為2000年，其他方面
  有聽到其他同事說會自動關機以及不能上網的情況，因為辦公室有一半都感染了
  似乎是利用網路傳播的，現在搜尋google也都沒有相關的解決方式，似乎有相關的
  也都是找不到病毒的源頭。防毒軟體判斷是病毒的都砍過，但是重開機後還是會出現
  實在沒辦法了，看來是bb.exe變種吧！po上來給各位看看囉！

2.掃毒報告：
    請先使用掃毒軟體執行全機掃描後將掃毒結果傳到置底空間
    如會掃描很久請最少掃描以下位置：
      C:\Windows\System32  C:\Windows  C:\Program Files

    請務必補上掃毒報告，如無法掃描請務必註明，也可使用線上掃毒掃描報告
    線上掃毒使用方式請看精華區
  賽門鐵克我找不到那裡可以取log檔，所以另外用線上掃毒網佔去掃（卡巴）
  貼在下方了

3.系統輔助分析軟體掃描報告(請依照COMBOFIX→Hijackthis→SRENG排序執行)：
  請將掃描結果上傳至置底空間，置底空間無法使用者請改用http://www.kotuha.com
  使用方式：
      Combofix：   http://reinfors.googlepages.com/Combofix
      Hijackthis： http://reinfors.googlepages.com/Hijackthis
      SRENG：      http://reinfors.googlepages.com/SRENG
  如無法使用網路請看精華區 1 - 8 使用方式 

4.報告連結：
  請將掃描報告(log)貼於下方 (上面的全要)
      Combofix  ：http://sun.cis.scu.edu.tw/~92a39/upload/30012.txt
      Hijackthis：http://sun.cis.scu.edu.tw/~92a39/upload/30011.txt
      SRENG     ：http://sun.cis.scu.edu.tw/~92a39/upload/30014.txt
      掃毒報告  ：http://sun.cis.scu.edu.tw/~92a39/upload/30018.txt

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 211.72.106.26
※ 編輯: leeilu          來自: 211.72.106.26        (05/30 13:29)
※ 編輯: leeilu          來自: 211.72.106.26        (05/30 13:31)
推 junorn:又是explorer.exe被替換的...
推 junorn:看有沒有辦法將c:\windows\explorer.exe壓縮起來傳到免空
→ junorn:貼連結上來，然後到正常的電腦找explorer.exe將他覆蓋掉
→ lcjjaff:J老闆阿～他的這個數位簽章有過,md5不同,大小一樣XD
→ lcjjaff:這個也是被置換過的喔＠＠? //不過這篇真嚴重XD
推 junorn:他數位簽章不太對...有過但沒公司資訊。
推 nezumi24:請問正常的MD5值?
推 junorn:那要看windows語系版本，都不一樣
推 alex817:今天我才在公司自已處理完呢,跟我中一樣的毒,bb.exe會一直
→ alex817:跑出來,後來也來個aa.exe 囧rz
→ alex817:後來我用XPE光碟，把explorer和windows/system32/winlog32
→ alex817:.exe蓋過去在用hijackthis修一下就好了
→ alex817:搞了我一整天....一直生出來爬文也沒人中過= =
→ alex817:你的hijackthis的F2也要修哦，他的explorer.exe也會呼叫
→ alex817:gprXXX.exe ,XXX是數字,一直叫,這病毒真的很強
→ alex817:主要是登入時你的explorer裡面就有他的病毒，所以你殺了又
→ alex817:生，生了又殺，跑Z1.exe~Z30.exe，按了我好幾百次的防護了
→ alex817:光防毒的防護都快按死了，好顯這病毒不會去破壞其他檔案
→ leeilu:就如alex大說的，那是要去safe mode去蓋explorer.exe了
推 alex817:safe mode 無法蓋掉，因為你進去win就是會載入explorer
→ alex817:要用開機片開機後覆蓋
→ alex817:上面有打錯是winlogon.exe，win的登入程式
推 goodsnk:我也中這隻毒..好煩..
※ ychsiao:轉錄至看板 STU                                          06/10 22:32