分類: 資訊安全

剛剛遇到一個朋友 在MSN 叫我去的新部落格按讚 ! 第一個直覺就是有問題 !

想說跟他哈拉一下 , 套一下話 , 但是後來就都沒回了 ....

找了一下google 大神 ,  原來 www.msn1oginlive.xxx 幾乎都是假的

 

 

為了滿足我那追根究底的好奇心 ,  開了VM 給他點進網址看看

網頁很像 , 所以沒注意的人可能就把帳號密碼打進去了 !! 我悄微幫詐騙集團檢查了一下網頁

做的不太好 , 註冊按鈕功能沒做 , 要詐騙也騙個全套 .....   

 

希望不要有人被騙帳號 .....

 

1. 需要密碼才能移除時的情況

執行 Regedit.exe並到 HKEY_LOCAL_MACHINE\Software\TrendMicro\PC-cillinNTCorp\CurrentVersion\Misc
key，編輯 Allow Uninstall參數值為 1，用 OfficeScan 程式集中的捷徑解除安裝即可。

2. 強制手動移除的情況

(1) 開啟Windows「控制台」|「服務」項目。
(2) 停止「OfficeScan NT Listener」 與 「OfficeScan Real time scan」 服務 (您必須擁有管理權限來執行這項操作)。
(3) 使用登錄編輯器 (regedit.exe) 來刪除下列登錄機碼：

HKEY_LOCAL_MACHINE\Software\TrendMicro\PC-cillinNTCorp
HKEY_L0CAL_MACHINE\System\CurrentControlSet\Services\TMLISTEN
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTRTSCAN
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Service\VsapiNT
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Service\Tmfilter
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Service\TmPreFilter
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Service\tmXPfilter

(4) 刪除完畢後,請重新開機
(5) 從"開始"功能表"程式集"中,刪除掉"Trend Micro OfficeScan NT"項目

 

Dr.Web 防毒軟體線上掃描 (雖然標榜是線上掃描 , 但是我用起來像是本機掃描 , 但是免安裝)

• #Dr.Web CureIt!® 僅適用於 Windows 2000/XP/2003/Vista/2008/Windows 7 32和64位元作業系統。
• #無需安裝。
• #個人及家用使用免費

請至此處下載  http://www.drweb.tw/onlinescan  , 經常更新,可能的話,要用時就抓新版

1.下載完成後直接可執行

 

2.點選開始

 

3.按 [是] 進入快速掃描

 

4.進入後自動開始掃描

    

請注意，本解法僅適用於中了KAVO的隨身碟病毒，意即您的電腦有別的病毒它是無法清除的，故本解法完成後，請務必再執行掃毒軟體將電腦全系統掃描。

最近學校中了所謂的Kavo隨身碟病毒，這是繼上學期的Uchelp隨身碟病毒之後，又一個新的病毒，中此病毒的症狀是C、D槽點兩下打不開，隨身碟一插上此電腦馬上中毒，且電腦速度變得奇慢，OfficeScan一直偵測到c:\windows\kavo.exe有病毒訊息，但是一直刪不掉，此病毒目前有些防毒軟體還偵測不到，若有此狀況之教師，以按以下步驟以快速清除此病毒（建議先用解法二，再用解法一）。

解法一：

一、下載del_kavo.zip後解壓縮。

二、裡面有三個批次檔DEL_AutoRun.bat、解kavo步驟1.bat、解kavo步驟2.bat，其中DEL_AutoRun.bat執行後會自動清除磁碟機內被病毒寫入的autorun.inf，並產生一個autorun.inf的資料夾，以防止病毒再次寫入（參考隨身碟病毒免疫的文件）。

三、主要需先執行【解kavo步驟1.bat】，此步驟會：

執行完畢後，請重開機。

四、開機完後，執行【解kavo步驟2.bat】，此步驟會執行：

五、執行完畢後，請開啟您的防毒軟體，將系統全部掃毒，以防止有其他未被發現的病毒執行！

---

解法二（最簡單）：

一、下載EFix.exe

二、執行前請先將所有程式（如word、瀏覽器…等）關閉掉

三、執行(按二下)EFix.exe，電腦畫面會消失，並僅會出現下列畫面，表示程式已在尋找電腦內有關KAVO.exe的病毒檔

四、若您的電腦之前有執行過【解法一】中的del_kavo.zip，因為此程式會在各磁碟機建立一個autorun.inf資料夾，以避免病毒寫入，故【解法二】的程式會偵測出並誤判，然後會出現【C:\autorun.inf\*，您確定要執行嗎（Y/N)】，請填【N】，因為此autorun.inf的資料夾已被解法一的程式改為唯讀了，您填Y的話，也無法刪除的。

五、直到最後出現【請按任意鍵繼續…】，即程式執行完畢！

六、完畢時，會出現一個掃毒的記錄檔，供高手參考用。

---

 

解法三(限高手)：

一、關閉系統還原 -> 不知怎麼關閉看http://support.microsoft.com/kb/310405/zh-tw

二、使用Hijackthis選取下列項次修復 (數字項次左邊打勾後按Fix Checked)，04項看到kavo或kava就選取他按Fix checked

三、下載OTMoveIt ，或原始網站http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe

四、複製下列文字
C:\WINDOWS\system32\kavo.exe
C:\WINDOWS\system32\kavo.dll
C:\WINDOWS\system32\kavo0.dll
C:\WINDOWS\system32\kavo1.dll
C:\WINDOWS\system32\kav0.dll
C:\WINDOWS\system32\kav1.dll
C:\ntdelect.com
D:\ntdelect.com
E:\ntdelect.com
↑有幾個硬碟槽，就複製多少（X:\ntdelect.com）
注意：是ntdelect.com不是NTDETECT.COM
刪錯了就會再起不能....

五、執行OTMoveIt主程式，並在左半邊視窗按右鍵選貼上後按MoveIt!

六、系統要求重開機就重開

七、另外，再分別到各磁碟下把它自動生出來的autorun.inf給殺掉

==================================================================
備註:開啟隱藏檔的辦法:
若開啟隱藏檔功能無法運作，請修改登錄檔
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Advanced\
\Folder\Hidden\SHOWALL下，
字串(DWORD)值Checkedvalue設為1