紅豬部落: 防毒教室

顯示具有 防毒教室 標籤的文章。顯示所有文章

電腦中毒的後遺症

密碼 - 多少罪名因你而生

現在的病毒說穿了主要就是要盜你的帳號/密碼，至於拿到了帳號/密碼之後要作什麼用？當然是繼續「下一攤」的犯罪行為囉！以下是我觀察到的一些行為模式，你可以想想看是不是在你的身上也發生過類似的情形...

首先要了解的是為什麼中毒密碼版會被盜？這是因為現在的毒以「木馬程式」為最大宗，所謂的「木馬程式」就是一隻潛伏在你電腦中的惡意程式，它會利用「鍵盤側錄」、「封包監聽」等方式隨時注意你的上網活動是不是有「user:/password:」這樣子的字眼出現，一旦攔截到的話就是將這些「帳號/密碼」記錄下來，然後伺機傳回木馬程式所設定的地方，這些地方可能是網路上的一個主機或是一個Email信箱。

而收集到這些帳號/密碼之後，可能有的是用程式來執行，但是也有可能是利用人工的方式來使用這些帳號及密碼，而針對不‘同性質的帳號/密碼會有不同的處理方式。

信箱帳號/密碼被盜

這是最常見的一種盜用方式，相信每一個上網的人應該會使用電子郵件才對，而這些郵件帳號中，Yahoo!奇摩的帳號更是最多人使用，也是犯罪集團的最愛，所以你一定曾經收到過從Yahoo!奇摩的信箱寄出的「病毒信」 - 裡面帶有奇怪的附加檔案，或者是一個奇怪的連結，而你點選這個連結就會中毒（如果防毒程式不夠強的話）。

換你中毒之後，你的信箱又變成下一階段散播病毒的兇手，會有人（或程式）登入你的信箱，然後對你通訊錄裡面的每一個人發一封「病毒信」，周而復始，所以現在的電腦病毒很難根絕這個就是主因。

或許你會認為這樣子對你並沒有很大損害，但是在免費信箱的個人資料都要你輸入姓名、地址、電話等資料，你說你的帳號密碼被盜了，這些個人資料犯罪集團不會拿去用嗎？

網拍帳號/密碼被盜

免費信箱的帳號可能跟網拍的帳號是一樣的，所以用相同的帳號/密碼就可以登入網拍，登入之後呢，一種是利用你的帳號來「假下標」增加另外一個人頭帳號的評價，或者就拿你的帳號來賣東西，到時候受害者向警方檢舉的時候，第一個會找的一定是帳號的擁有者 - 你，這可是攸關刑責的，要時候你還要舉證你也是受害人，就算你沒事也會浪費許多時間的。

遊戲帳號/密碼被盜

其實散播病毒最愛的帳號是線上遊戲的帳號/密碼，你可以從最早期的盜帳號木馬是針對「天堂」這個線上遊戲為目標就可以看出端倪，但是現在的木馬技術已經進步許多了，所以只要你中了木馬，那所有的線上遊戲帳號/密碼應該都會被盜。

高登就曾遇過一個案例，使用者在半年之前中毒過，我也幫他把毒都解掉了，但是他少作了一件事：「變更遊戲密碼」，結果就在他新儲值的第二天，所有儲值的金額都被轉走了，我也去幫他查了一下確定當時的電腦是沒有中毒的，可見一直有人在監視他的遊戲帳號，一發現有利可圖就下手了。

網購帳號/密碼被盜

還有你在各種網路購物平台的帳號/密碼也是散播病毒者的最愛，一旦帳號被盜隨時就會有人監視這個帳號，一旦你有什麼網購的舉動，詐騙集團的電話就馬上報到，因為你在網購平台一定會輸入正確無誤的個人資料，甚至連信用卡號都有，而詐騙集團就是用這些資料來取信於你。

所以網購遇到詐騙集團來電話，你第一個應該想到的是你的電腦是不是中毒了，當然也有可能是網購賣家的資出安出了問題而被盜取了你的個人資料，但是那種情形的規模就會很多人同時受害，應該可以輕易的判斷才對。

網路銀行帳號/密碼被盜

網路銀行的安全性本人還是持高度的懷疑，所以我到現在都還沒有開通網路銀行的帳號，因為現在國內的網路銀行很多家少了一個重要的「插拔卡機制」，就是你在登入網路銀行的時候，你的金融卡也要同時插在晶片讀卡機上，這樣子才有辦法登入網路銀行，少了這道手續就很不安全。

還好現在銀行轉帳有「約定帳號」的限制，所以就算帳號/密碼被盜也不能一次轉出你全部的錢，但是如果你沒有發覺，一天三萬元慢慢轉也會損失很多的。

還有另一種的帳號也算在銀行帳號這邊：你的「股票線上下單帳號」，這個是高登一直很注意的一件事，因為可能有一天會有什麼事件發生（但願不要）。

信用卡號被盜

雖然線上刷信用卡都有「SSL安全認證機制」的保護，但是以現在木馬用「鍵盤側錄」的方式來盜取資料的話，不管什麼安全機制都是無效的！而有使用過線上刷卡的人就知道：線上刷卡只要你的卡號、姓名、有效期限和信用卡後面的暗碼對了就可以刷過，到現在也還沒看到有刷信用卡要插卡的機制出現，真不知道全世界的政府都是在幹什麼的？

而如果不幸你的信用卡號被盜的話，損失可能會相當嚴重，千萬不可掉以輕心！

網站帳號/密碼被盜

不管是公司網站或是個人部落格的後台管理帳號/密碼也有可能被盜，你可能會以為盜這個沒用，但是就在不久之前有一位女生被木馬程式入侵，不但偷偷啟動視訊攝影機偷拍，而且還公布在當事人的個人部落格上，還記得嗎？

網站後台帳號密碼被盜的話，歹徒也就可以登入你的網站後台，甚至在你的網站加上木馬程式（俗稱掛馬），讓瀏覽你網站的人也中毒，你說後遺症是不是很大？

如何自保

看了以上的說明，你還對「中毒」這一件事漠不關心嗎？那要如何自保呢？幾個簡單的原則你可以參考：

隨時注意電腦的使用狀況，一發覺有異常第一個懷疑的就是有沒有中毒（事實上你的電腦送修，一般的工程師也會第一個想到這個原因）。
使用有效的防毒程式，而且有上網就要先更新病毒碼，因為現在病毒更新的速度比防毒程式還快，舊一點的防毒程式可都抓不到新的病毒（有時候就算防毒程式是最新的也抓不到）。
中毒之後當然是要把毒解乾淨，解完毒的第一件事就是更換你的所有密碼（毒沒解掉的話你換一百次也沒有用）。
多吸收防毒的知識，以及如何安全地使用電腦的知識（本站就有很多）。
不要用電腦了。

閱讀全文...

隨身碟的正確使用方法

電腦流感

現在的電腦病毒主要的傳播途徑除了利用帶有病毒檔案或是連結的Email之外，另一個就是利用隨身碟來感染你的電腦，這就好像是電腦的流行性感冒一樣，會一個接著一個的傳播下去，而根本的解決之道就是打流感疫苗正確的防毒觀念及步驟。

以下的方法是教你在電腦沒有中毒的情況下，如何避免被隨身碟病毒入侵，那如何能夠確認電腦是不是中毒了呢？有一個很簡單的指標：「隱藏檔」，如果你的電腦無法開啟隱藏檔選項看到隱藏檔的話，很可能就是中毒了，所以接下來高登請大家先確認隱藏檔是否看得到。

開啟隱藏檔選項

首先請由【我的電腦】→功能表【工具】→【資料夾選項】開啟這個資料夾選項的視窗，接下來選取〔檢視〕的標籤頁，找到「隱藏保護的作業系統檔案(建議使用)」這一項，將前面的打勾拿掉（接下來會有下一張圖中的警告視窗，按「是(Y)」繼續），再接下來將「隱藏檔案和資料夾」改選為「顯示所有檔案和資料夾」，然後按【確定】關閉這個視窗。

完成之後再重覆上述的步驟，看這兩個選項有沒有設定成功，如果又被改成「不顯示隱藏的檔案和資料夾」的話，請先套用這一個「隱藏檔選項復原登錄檔」，再執行上述的步驟一次，還是不行的話你的電腦確定是中毒了，那就不用再往下看了，先找我站裡面的手動解毒文章將毒解掉了再回來看這一篇了。

沒有問題的話請你開啟【我的電腦】的系統磁碟機（一般是C磁碟），你應該可以看到下一張圖中這些顏色比較淡的隱藏檔：

同時最好記一下這些正常檔案的檔名，一般而言位於「根目錄」就是這些，以後如果有什麼奇怪的檔案出現，那就要小心了！

隨身碟正確的使用方法

以下的隨身碟使用方式不管是「隨身碟」、「記憶卡」、「MP3/MP4隨身聽」、「手機」、「相機」、「攝影機」和「外接式硬碟」等都適用，只要是插入電腦的USB連接埠會出現一台「卸除式磁碟機」的裝置都是相同的使用方式。

最重要的一件事是當你插入這些USB裝置的仔時候，請先按住鍵盤的【Shift】鍵（一直按著不要放開）。

如果這個裝置是第一次插入你的電腦的話，就會在右下角的系統圖示列出現以下的「找到新硬體」的提示，這個時候還是不要放掉【Shift】鍵。

※小提示：因為右邊的【Shift】鍵按8秒鐘內定會出現「篩選鍵」的選項，所以還是按左邊的【Shift】鍵吧！

等到右下角的安全地移除硬體圖示出現後，你才可以放掉【Shift】鍵。

至於為什麼要按住【Shift】鍵？這是因為如果隨身碟有中毒的話，裡面會有一個「auturun.inf」的自動執行檔，按住【Shift】鍵就是不讓它自動執行，但是這樣子只是避免了你插入隨身碟的時候病毒就自動執行，並不會殺掉病毒，而且如果你的操作步驟不對，還是會執行到這一個「autorun.inf」，因此下面的步驟才是最重要的。

接下來的步驟你應該把它當成以後使用隨身碟的「標準程序SOP」，這樣子要不管是病毒多厲害，要進到你的電腦的機會就很小了。

你還是可以從【我的電腦】來開啟隨身碟，但是請記住：「不要直接在隨身碟的磁碟機點二下來開啟它」，這樣子還是會執行「autorun.inf」裡面所設定的病毒程式，安全的作法是請先點選上方的「資料夾」工具列，這時候左邊就會多出來一個「資料夾」的視窗，請你由左邊的視窗點選你的隨身碟磁碟機代號（在這個例子中是G磁碟）。

看到沒？我這一支隨身碟是用來收集病毒用的，所以裡面有許多的病毒檔在裡面（而且為了抓圖我把防毒程式都關了），但是用這種的方式的話，病毒都不會進到你的電腦，你這時候如果看到有病毒檔的話，直接按滑鼠右鍵【刪除】就沒事了！

如果有病毒檔案的話，殺掉之後還要先用右下角系統圖示列中的「安全地移除硬體」這一個功能將隨身碟移除。

接下來選擇要移除的硬體，然後按【停止】

最後再按【確定】（不好意思步驟寫的有些太詳細了，但是可能真的有人這些都不知道喔）。

等到出現「可以放心移除硬體」的提示出現之後才能拔出隨身碟。

移除之後將隨身碟拔出，再來一樣按住【Shift】鍵再重覆上面的步驟，如果有問題的話那些殺掉的檔案會再生出來，如果沒有問題你就可以快樂地使用你的隨身碟了！

最後提醒您：

現在病毒的更新速度比防毒程式還快，所以沒有一種防毒程式能有效的防毒。
隨時注意你電腦的「隱藏檔選項」，這是一個很有效的指標。
隨身碟在別的電腦使用過之後，一定要再三檢查確認無毒。
電子郵件的毒也要小心，就算是朋友寄來的也很可能有毒，下載任何附加檔案或是點選連結之前請三思。
中毒的嚴重性比你想像中的還要大很多，這個找時間再來談中毒的後遺症。

閱讀全文...

新的隨身碟病毒uret463.exe

太相信防毒程式的下場

今天客戶有一台電腦的Avira小紅傘出現不能更新的狀況，查了一下防毒程式的記錄有抓到一隻隨身碟病毒，由於又送去一台新裝程式的電腦，所以就用新的電腦教客戶如何正確使用隨身碟：

先按住【Shift】鍵再插入隨身碟或讀卡機。
打開「我的電腦」在隨身碟的代號按滑鼠右鍵選擇〔Scan selected files with AntiVir〕用小紅傘掃毒。
果不其然嗶嗶叫了幾聲：有抓到毒了。
掃完了之後移除隨身碟再重新插入（一樣按著Shift鍵）。
點擊隨身碟的磁碟代號，結果電腦停了一下子，然後小紅傘出現了以下的警告：抓到了一隻藏在「c:\windows\system32\drivers\klif.sys」這個檔案的病毒「RKIT/Agent4160」：

再點擊C磁碟、D磁碟都出現相同的警示，看來小紅傘這次又破功了，所以正確的隨身碟使用步驟請參考本文最後面的說明，現在就先來看一下這隻毒到底是怎麼入侵的...

找尋病毒本尊

首先由【開始】→【所有程式】→【附屬應用程式】→【命令提示字元】開啟一個「DOS視窗」，輸入以下的指令：

c:
cd \
dir /ah

點圖可放大

在這裡看到了兩個有問題的檔案，日期是昨天和今天，檔名是「6vu680.com」和「autorun.inf」，再輸入

type autorun.inf

看到了autorun.inf裡面就是去執行6vu680.com，所以你點擊C磁碟就中毒了！但這不是病毒的本尊，因為這只是一個用來下載最新病毒的下載程式(Downloader)，或是是Rootkit隱身的檔案，所以防毒程式抓不到！

註：autorun.inf裡面所執行的程式檔名不會固定，就是在open=後面的檔名，所以請你記住你所看到的檔名作為下面刪除的依據。

一般的病毒都喜歡藏身在「c:\windows\system32」之下，所以在用以下的指令找找看：

c:
cd \windows\system32
dir /ah

看到了沒？兩個新的檔案：「uret463.exe」和「lhgjyit0.dll」，這才是真正在記憶體中的病毒程式。

點圖可放大

再確認一下，在DOS視窗鍵入regedit開啟「登錄編輯程式」，依序找到「HCU\Software\Microsoft\Windows\CurrentVersion\Run」這裡有「dorfgwe」機碼在開機時去自動執行上面找到的「uret463.exe」，至於其他的地方在沒有藏病毒檔呢？我找了一下沒發現，應該就是這兩個而已，不過那個.dll檔可能會有lhgjyit1.dll,lhgjyit2.dll...會衍生出來。

點圖可放大

難看的防毒成績單

還是先照「將可疑檔案上傳至virustotal.com分析」這一篇的方法將開始觸發的病毒檔「6vu680.com」傳上去分析，結果還是有大半的防毒程式都還不知道這隻毒！

點圖可放大

比較奇怪的是小紅傘知道是毒，但是擋不掉Orz！

手動解毒

如果你是第一次來到本站，建議你先看看「DOS指令 - 懷舊篇」以免誤殺無辜！

電腦重開機，在開機時趕緊按【F8】選擇第一個「安全模式」（如果安全模式進不去那只能有正常模式解，還是可以解掉，不過要解兩次）。
由【開始】→【所有程式】→【附屬應用程式】→【命令提示字元】開啟一個「DOS視窗」。

鍵入下列指令：

c:
cd \windows\system32
attrib -s -h -r uret*.exe
del uret*.exe
attrib -s -h -r lhg*.dll
del lhg*.dll
cd \
attrib -s -h -r autorun.inf
del autorun.inf
attrib -s -h -r 6vu*.com
del 6vu*.com
〔還有你找到的其他病毒檔案也用相同方法刪除〕
d: 同以上c:作法刪除autorun.inf和6vu680.com
e: f: g: 如果還有的話也一樣

註：因為在安全模式無法上網，所以請將上面的指令先存成純文字檔備用，另外這裡的檔名只是範例，請你先找出你的病毒檔名，用你找到的檔名來替換本例中的名稱。

用「regedit」開啟「登錄編輯式」，依序找到「HCU\Software\Microsoft\Windows\CurrentVersion\Run」，在「dorfgwe」這個機碼按右鍵〔刪除〕機碼。
重開機進入正常模式。

還沒完喔！隨身碟裡面的罪魁禍首還沒除掉呢！

隨身碟解毒

先聲明：隨身碟的解毒是要在你的電腦沒中毒之下才有用，如果你的電腦還是在中毒狀態下的話，是解不掉的！

先按住【Shift】鍵再插入隨身碟或讀卡機，等到「安全地移除硬體」圖示出現後再放掉【Shift】鍵。
打開「我的電腦」找到隨身碟的代號，我這裡用「G」來示範。
由【開始】→【所有程式】→【附屬應用程式】→【命令提示字元】開啟一個「DOS視窗」。
鍵入以下指令：
```
g:
dir /ah
```
看看有什麼隱藏檔，一般的隨身碟不應該有隱藏檔，如果有像下面的autorun.inf或是副檔名是.exe, .com, .bat, .cmd的隱藏執行檔，應該都是病毒檔。

用下列的指令刪除病毒檔：

attrib -s -h -r autorun.inf
del autorun.inf
attrib -s -h -r 6vu680.com
del 6vu680.com
還有其他的檔案...

用「安全地移除硬體」移除隨身碟，再重覆1-4的步驟，如果隱藏檔還在那就是毒還沒解掉。

點圖可放大

最後再匯入這個「恢復顯示隱藏檔」的登錄檔，完了之後看是不是可以顯示隱藏檔了（在「五個步驟，檢查你是否中了kavo病毒」有詳細的說明），如果看到了隱藏檔毒應該是解乾淨了！

至於另外一台小紅傘不能更新病毒碼的電腦也是中了相同的毒，同樣手動解毒之後，再移除小紅傘重裝就正常了。

最後再提醒大家：目前沒有一套防毒能有效防止新病毒的！本站有許多觀念性的文章你應該要好好看一看喔！（就在防毒教室最舊的那幾篇）

2009/02/23補充：如何使用隨身碟而不怕中毒請看「隨身碟的正確使用方法」

2009/03/13補充：今天客戶有一台電腦看到新的檔名，以下是autorun.inf的內容：

[AutoRun] ;idaaak73lwmsda2Ki5fJoSq0q open=xe9fdii1.cmd ;k7ZoJJie4kDssjqS330kO shell\open\Command=xe9fdii1.cmd

就是這個xe9fdii1.cmd，請大家注意

另外已經很久沒用的Symantec防毒，昨天就有一台電腦還是用這個防毒，本來以為這一台一定中毒很深，結果沒有中半隻毒，所以結論還是：「防毒觀念比防毒程式有效」。

閱讀全文...

強制移除avast防毒程式

無法移除的avast

今天客戶送來一台中毒的電腦，裡面原來是裝avast家庭版，本來這一台電腦不久前就中過毒，高登手動幫他解掉也請他考慮是否換小紅傘Avira，但是客戶說小紅傘沒中文版的，所以還是堅持用avast!

但是高登這一次就堅持幫他換小紅傘防毒，因為avast現在真的不行了！於是先到控制台去移除avast，結果「新增/移除」按下去，什麼事也沒發生，於是又進「安全模式」去移除看看，還是不能移除！

avast! uninstall utility

記得之前有看過強制移除avast的程式，於是上網找了一下，找到了：

avast官網：avast! uninstall utility

請依照官網的指示操作：

將aswClear.exe下載至你的桌面。
電腦重新開機進「安全模式」。
執行aswClear.exe程式。
確認你的程式安裝目錄，如果不是預設的目錄請自行指定，然後按〔Uninstall〕。

確認像圖中一樣顯示：「Program was successfully removed」，然後關閉程式。

按〔是(Y)〕確認重開機。

這樣子就可以乾淨的移除Avast防毒程式了。

閱讀全文...

金石堂個資外洩？有那麼嚴重嗎？

網購的隱憂

看到網友「旭日之丘」發了一篇「敢騙我？金石堂個資外洩」，高登忍不住要跳出來告訴他：可能不是金石堂的錯喔！

首先高登聲明金石堂跟我一點關係都沒有，倒是跟博客來有一些關係，因為我自己的書推薦的網購就是連到博客來網路書店，也不是說博客來就比較安全，事實上以現在的詐騙集團的手法，所有的網購都不安全，但是你是可以預防的。

精細分工的詐騙集團

如果你還沒有看過高登的這一篇「散播病毒已經成為一種賺錢的行業」，那應該很正常，因為當時高登工作室也只是一個剛開的新站引不起你的注意，就算你看過了可能也只是想：「真的嗎？」，但是事實證明我的觀察是沒有錯的，今天網路詐騙集團的手法真的就是照我劇本在演的。

你以為真的有那麼閒的人沒事在那裡放毒？要不是有很大的誘因現在的電腦病毒也不會更新的這麼頻繁，所以你更要看一下這一篇「病毒現在也每天更新！」，這樣子你就會更小心防毒了。

注意自己的資安

說實在的以現在詐騙集團放毒盜取帳號密碼的手法，不管你是在哪一家網購都是極度不安全，甚至連所有的加密連線SSL也破功，因為洩密的管道不在傳輸的過程，而是在你輸入資料的源頭，所以在你輸入資料的過程中帳號密碼就被「側錄」了，根本的解決之道還是要加強防毒的觀念，還有請各家的網路業者提出對策，尤其是「病毒是有針對性的」這一家，如果他們都不改善的話，建議就不要用他們的免費信箱了，說真的現在的免費信箱那麼多，為什麼還有一堆人明明知道一天到晚收到病毒信還是堅持用他們的，不懂？

趕緊檢查一下吧！

還有高登在八個月前所寫的這一篇「五個步驟，檢查你是否中了kavo病毒」這個方法到現在還是有效喔，不過請不要像一堆無頭蒼蠅一樣，明明告訴他毒要先解掉才可以讓隱藏檔正常顯示，但是常常就是有人不聽還在問一些重覆的問題，相關文章太多了，請自己在「防毒教室」裡慢慢挖寶吧！

閱讀全文...

Avira小紅傘殺不掉的Bitkv0.dll

小紅傘真的殺不掉

開機時一直跑出來「c:\windows\system32\Bitkv0.dll」中毒的視窗，刪了還是一直跑出相同的視窗，所以就改用XPE光碟開機，進去手動殺掉一堆的病毒檔，殺掉的有：

c:\,d:\根目錄下一堆的.com,.cmd,.exe,.bat還有autorun.inf，真的很多而且看看檔案日期應該中毒有二個月了。
c:\windows\system32下的kxvo.exe,kxvo*.dll,j3ewro.exe,jwe*.dll還有Bitkv0.dll，上網查了一下有的還會有jvvo.exe,jvvo*.dll。
c:\windows\Help下的EB6*.exe和EB6*.dll（這個應該是很久之前就中的）

殺完重開機，心想可以收工了，但是...那可惡的Bitkv0.dll又現身了，這下難搞了不知道新的變種又有什麼新花招。

小紅傘無法更新

開啟小紅傘Avira的主程式，竟然發覺小紅傘的更新日期沒有顯示，就是就小紅傘不知道已經多久沒更新了？難怪完全擋不住新病毒！

這次改用開機按F8進「安全模式」，進入Windows之後「我的電腦」的「C磁碟」按右鍵〔Scan selected files with AntiVir〕掃毒，想不到竟然小紅傘的「update.exe」還有另一個執行檔（沒記下來）竟然中毒！

這下真的無言了，小紅傘竟然被搞成這副德行！這下先不要指望小紅傘先找病因吧。

一堆服務無法啟動

於是「我的電腦」右鍵〔管理〕去看「事件檢視器」在「系統」這一項看到了「事件ID: 7026」的錯誤，底下一堆的服務無法啟動，計有：

AFD avgio avipbb Fips intelppm IPsec MRxSmb NETBios netBT rasacd rdbss ssmdrv 還有最重要的tcpip 這些系統檔都被動了手腳

這下子就算毒解了也不可能正常了！

EFix我愛你

最壞的打算就是重灌囉，但是就是不死心上網用「Bitkv0.dll」找了一下，排名第一的就是「EFix，於是死馬當活馬醫就下載來試試看囉！

可能你的電腦還是不能上網，先找別台上網去抓吧。

執行EFix的時候記得先關閉防毒程式，尤其是卡巴，不關會干擾喔！

沒想到死馬真的活過來了，小紅傘不會一直叫了，但不是這樣就收工喔。

EFix下載位置

善後處理

小紅傘要重裝，因為更新程式掛了。

那些受損的系統檔都在「c:\windows\system32\drivers」底下，這個好辦，找一台正常的電腦將這些檔案CO過來覆蓋就可以，為了應大家的需要我打包了一個放給大家下載，這個是XP SP3的版本，其他的版本自己想辦法，Vista的就不要找我了，原因大家自己在我網站找。

下載回來將檔案解壓縮到上述的目錄，如果有用卡巴的一樣請你先關閉防毒一下。

drivers檔案下載連結 好了收工！

閱讀全文...

刪除8tss2gwq.bat病毒的方法

正流行的8tss2gwq.bat

最近幾天總是有近百個搜尋「 8tss2gwq.bat」而找到高登工作室的流量，而我並沒有教大家怎麼殺這隻毒啊？原來是有人在這一篇小紅傘AntiVir使用篇 Part I的留言裡面留了這個檔名，所以搜尋引擎就「自然產生」這個「關鍵字」了，而每天有這麼多人有這樣子的需求表示這隻毒很猖狂，所以我特別找了一下資料，希望大家可以很順利的把這隻毒清掉。

這隻毒目前網友回報許多防毒程式都無法有效清除，這也是「 kavo」系列的變種病毒，而事實上「 8tss2gwq.bat」這個檔案只是中毒之後病毒所生出來的，並不是病毒檔的木本尊，而防毒程式抓不到本尊當然就會一直出現「 8tss2gwq.bat」中毒的警示了，我們就來看一下本尊到底藏在哪裡？

本尊現身

我們還是一樣的老方法：用「DOS dir/ah」來找，找一下「c:\windows\system32」裡面有: c:\windows\system32\jwedsfdo1.dll c:\windows\system32\kxvo0.dll c:\windows\system32\kxvo.exe c:\windows\system32\j3ewro.exe 然後在每一台磁碟機的根目錄下會再生出來 autorun.inf 8tss2gwq.bat 都是一樣的原理啦，所以清除的步驟也一樣，我就寫了一個批次檔你將這些文字複製起來，然後在「DOS視窗」的標題列按【編輯】→【貼上】就OK啦，殺完記得重開機再執行一次（一定要兩次才殺的乾淨喔），看還會不會有警告視窗出現，如果沒有就是清掉了。

c: cd \windows\system32 attrib -s -h -r kxvo*.* del kxvo*.* attrib -s -h -r jwed*.* del jwed*.* attrib -s -h -r j3*.* del j3*.* cd \ attrib -s -h -r autorun.inf del autorun.inf attrib -s -h -r 8t*.bat del 8t*.bat attrib -s -h -r *.cmd del *.cmd d: cd \ attrib -s -h -r autorun.inf del autorun.inf attrib -s -h -r 8t*.bat del 8t*.bat attrib -s -h -r *.cmd del *.cmd

善後處理

無法顯示隱藏檔請看：中毒後無法顯示隱藏檔
清除垃圾檔及登錄機碼中的病毒殘留請看：CCleaner 電腦清道夫
隨身碟拒絕存取請看：USB隨身碟讀不到，怎麼辦？

就這樣，有新狀況再來回報。

閱讀全文...

如何申請小紅傘Avira AntiVir Premium試用KEY

小紅傘付費版本與免費版本的差別

本人一直在推薦的德國小紅傘防毒程式共分為三個版本，付費的版本主要是多了郵件程式(Outlook,Outlook Express,Windows Mail)的即時防護功能，以及加強了了防木馬的功能，最高階的又包含了防火牆的功能。如果你覺得只用免費版不安心，又不想花錢買專業版，那以下的方法你可以試試看，保證讓你不花一毛錢，就能擁有Avira AntiVir Premium。

申請TrashMail

在小紅傘官網的遊戲規則就是：「一個Email帳號只能申請一次試用」，所以就算你有再多組的Email帳號，還是會有用完的一天，所以就要藉著TrashMail這種用完即丟的Email帳號來申請，你喜歡申請幾次都可以。

要申請TrashMail很簡單，你只要進入TrashMail官網，在下列表單中填入你的Email，記得要把「Number of Forwards」欄位改成10以下（這樣才是免費的，以上的就要收費），然後按下「Create disposable email address」按鈕

你就有一組丟棄式的Eamil可以來申請小紅傘試用了，請將這個Email位址「複製」起來

申請Avira AntiVir Premium試用

接著到小紅傘官網申請試用頁面，填入你的性別(Salutatin)、名字(First name)、姓(Last name)和剛才申請的Email address，最後選取國家(Country)，再按下「Request license now」，就可申請到一組試用KEY了。

這是申請成功的畫面，你可以到你的Email信箱收信，或是直接按「License Overview」

這裡就有程式下載和KEY下載的網址，框起來部份左邊就是程式下載，右邊就是KEY下載的網址。

如果你不曾安裝過那就要下載程式，如果你已經安裝過但是期限到了，只要把下載的「HBEDV.KEY」這個檔案複製到「Program Files\Avira\AntiVir PersonalEdition Premium」將原檔案覆蓋，然後電腦重開機就可以了。

閱讀全文...

我出書了

今天出刊的Download網路密技王No.5，裡面的COVER STORY：「空手解病毒」就是本人的傑作啦！以一個從未有過任何出版品的我，第一次就能以一本雜誌的主打項目出書自然是興奮莫名，但這也反應了大家被電腦病毒、木馬程式害慘了，所以才會有這樣子的市場需求。

本來防毒並不是我的專業，而這些防毒觀念是寫給我的客戶看的，而解毒的方法只是自己工作上的一個「工作日誌」而已，但是自從這一篇「新病毒通報：jvvo.exe」發文之後，就開始有許多從Yahoo奇摩和Google搜尋而來的流量（題外話：這就是SEO的重要性），發覺到這個現象之後我在這個主題上陸陸續續發了20幾篇的文，現在是發文量最多的分類項目，這同時也就引起了「PCuSER電腦人」編輯的注意而來邀稿寫了這個專題。

為什麼會找上我？理由很簡單：你找找看網路上有多少人在教解毒的？不多是吧！而且就我這邊的資料最詳細，所以你有什麼靈感被啟發了嗎？前幾天才和友站的ＭＥＳＯＮ手札在討論PR值，ＭＥＳＯＮ說道：

要得到高的PR值除了持續發好文更要能夠是發出在某個特殊領域的好文成為某個領域的Expert 當上了該領域的意見領袖 Track Back 連結就會跟著來.. Page Rank 的值想不高都很難

真是一針見血啊！

在此當然要感謝「PCuSER電腦人」雜誌，讓我有這個機會把一些零零散散的文章重新整理，並且加了許多的新內容，成為一篇比較有系統、由淺入深的解毒方法以及防毒觀念的介紹，有深受這方面困擾的人一定要去買來看喔！按一下加邊欄的就可以連到博客來網路書店直接購買，那裡有更詳細的介紹，另外FunP紅利商品也有2000點可以兌換一本，數量不多動作要快！

現在來瞇一下雜誌的內客，這是封面：最大的字就是「空手解病毒」

COVER STORY

內容之一

內容之二

閱讀全文...

新型的病毒執行檔.jar

大家注意病毒信又有不一樣的檔名出現了，這是今天收到的信，裡面的內容和之前提過的差不多，收件者現在都只有一位了，但是比較特別的是附加檔案的檔名是以前都沒出現過的.jar，同樣的Yahoo奇摩的防毒還是告訴你沒有發現病毒（建議這個功能不要用了，丟人現眼！）

同樣送到virustotal.com分析，16/34還是差不多一樣的結果

如果你有安裝Java Runtime的話，檔案的圖示就會像這樣：要特別注意的是.jar是一種執行檔，所以如果你像.rar的方式去處理它（點兩下開啟），是會執行這個程式的，結果可能就是中毒了！

正確的處理就是不要下載或開啟這個檔案，直接刪除信件就沒事了。

閱讀全文...

隨身碟解毒程式有效嗎？

針對現在最流行的kavo,taso,jvvo,kxvo系列隨身碟病毒，網路上有一堆所謂的解毒程式可以下載，很多人用了之後是可以解掉，但是有更多人卻解毒無效為什麼呢？且聽以下的分析：

常見的隨身碟解毒程式有kavo killer，DelAutorun-Virus，kavo解毒包，USBCleaner，iClean等等一般有一個特點：「就是程式設定會去清除特定磁碟機和目錄中解毒程式已知的病毒檔案」，而如果你所中的病毒正好是在這些程式的名單裡面，那恭喜你真的可以藥到病除！但是散播病毒的人真的那麼笨嗎？當然是不可能的，所以每天出來的新病毒都會有不同的檔名或存放位置，解毒程式更新沒那麼快就沒辦法完全清的乾淨。

看了以下幾個說明你就知道到底隨身碟解毒程式有沒有效了：

病毒真正存放的位置：一般都在系統資料夾中，而且檔名也比較固定像是kavo.exe,jvvo.exe,jvvo0.dll等，所以基本上比較好清除，但是當你的電腦是在中毒的狀態下，病毒本身會保護自己的病毒檔，所以要用一些特殊的方法才可以清除檔案。
在其他的資料夾中的檔案：例如在Windows\Help中的檔案也還OK，因為也都有特定的檔名所以一般的解毒程式都可以清除掉。
位於系統暫存檔或是瀏覽器暫存檔資料夾中的病毒檔：這個就很難完全清乾淨了，因為檔名一直在變，解毒程式只要漏掉一個病毒就有可能復發。
位於磁碟機根目錄的病毒檔案：這也是會有一直更新的檔名，唯一可以確定的就是autorun.inf一定可以清掉，其他的就不一定了。
真正病毒自動執行的源頭：藏身在登錄機碼的病毒自動執行機制一直有新的方法，所以連防毒程式都束手無策，更何況是簡單的隨身碟解毒程式，只要沒有把病毒自動執行斷頭，病毒一定會再復出。
打預防針的效用：我們在隨身碟如何防毒那一篇中曾提到，你可以在病毒要放的位置先以一個空的目錄佔位以防止病毒檔的寫入，但是之前的觀察發現，病毒是很聰明的例如你用jvvo0.dll目錄佔位，它就會自己改用jvvo1.dll，你再用jvvo1.dll目錄佔位，它又變成用jvvo2.dll，這樣下去到底要用到jvvo?.dll呢，我可沒興趣試下去，因為沒有意義，不過autorun.inf這支預防針目前還是有效，但如果以程式設計師的觀點，要殺掉一個目錄用檔案取代這個太容易了，所以可能在不久的將來這一招一樣會失靈。
軟的不行來硬的：軟體的防護無效，最有效的防護就是硬體的防護 - 「SD記憶卡的防寫開闢」，這個肯定是有效的，但是當你要寫入資料時還是要把防寫打開，只要這一下子就夠病毒寫入了。
解毒程式的來源：許多的解毒程式都是在網路論壇上發表的，作者真的有心寫出解毒程式來幫大家，可是也會被放毒人士利用，把加料過的解毒程式放在網路上讓你下載，我在kavo一開始出現時曾下過一個kavo_killer，結果不解還好一執行反而多出一大堆病毒，從此之後我就再也不用所謂的解毒程式了。

看了以上的說明你明白了解毒程式為什麼無效的道理了嗎？不過別灰心，本站教你的DOS解毒法還是可以很有效的清除病毒，只是我怕有一天連DOS模式都被病毒搞掛的時候，可能又要有不同的方法來解毒了。

閱讀全文...

病毒信又昇級了

這是一個規則破壞的年代，所有的法則一再地被打破，所以我們之前所講的如何判斷病毒信的法則又不一樣了，大家千萬要小心！首先請看之前的病毒信長這個樣子：

我一再的告誡大家收件者一大堆人的信千萬不要開，你可能沒聽進去但是有人聽進去了，所以最新的病毒信已經進化成這個樣子：

收件者只剩下一個，這全都拜奇摩的「密件副本」所賜，所以現在的遊戲規則修正為：「就算是收件者只有一位，請仔細看那是不是你，如果不是你那一定還是病毒信！就算收件者是你，但是信件沒寫什麼內容只有一個附件，那還是病毒信！」總之處處要小心就是了。

閱讀全文...

將可疑檔案上傳至virustotal.com分析

如果你懷疑某一個檔案是否為病毒檔或是已經受病毒感染時，最簡便的方法就是將將檔案上傳至http://www.virustotal.com/去讓它分析。

首先到virustotal的網站，點選〔瀏覽〕然後選擇你要上傳的檔案，接下來點選〔發送檔案〕的按鈕，檔案就可以上傳了。

等一下子之後就可以得到像下面的一張報告，告訴你有那些防毒程式判定這個檔案有問題，還有這些防毒程式的病毒碼的日期，如果像我上傳的這個檔案33個防毒程式有18個判定為病毒，那不用懷疑一定就有毒啦！

你還可以選點〔格式化文字〕來選擇你要的格式，複製到其他地方使用

如果點選〔HTML〕按鈕就可以得到HTML語法用來貼在網頁上

事實上virustotal只是幫你的檔案用各家防毒程式掃一篇而已，而且有些防毒程式還不是最新的，像Avira小紅傘8.1版已經出來好幾個月了，virustotal竟然還在用7.6版而已，但是各防毒程式的病毒碼應該都是最新的，所以準確度還是很高的，附帶一提的是各家防毒會從virustotal取得最新的病毒樣本，所以你在virustotal上傳檔案事實上也是幫各家防毒程式一個忙，而且只要上傳一次就好了，而不用每家防毒都上傳是不是很方便呢？

但是如果你的電腦是在中毒狀態下無法顯示隱藏檔，那你就沒辦法瀏覽到隱藏檔上傳的，解決的方法就是用我之前發的另一篇「DOS指令 - 懷舊篇」裡面的ATTRIB指令將檔案變成非隱藏檔就可以上傳了。

閱讀全文...

DOS指令 - 懷舊篇

DOS指令能作什麼？如果你看過之前的防毒教室文章，你會發現我大部份會教你用DOS指令來解毒，因為病毒喜歡把自己藏起來，甚至動手腳讓你看不到隱藏檔，這樣子你連看都看不到了更別想把病毒檔殺掉，就算你用【搜尋】開啟「隱藏檔選項」的方式也找不到，不過還是有辦法看到隱藏檔的，那就是最古早的DOS指令，請由【開始】→【所有程式】→【附屬應用程式】→【命令提示字元】開啟這個DOS視窗。

如果你不曾用過DOS指令的話，就要仔細看了，如果你會用DOS指令也請看一下我們的操作方式和你之前用的DOS指令有何不同，我們在這裡用到的指令只有「CD」、「DIR」、「DEL」、「ATTRIB」這四個指令，要注意所有DOS指令都是英文「半型」，可不要打到英文「全型」了，打錯了就會出現像這樣的錯誤

還有在WINDOWS系統的DOS指令是大小寫不分的，所以「CD \WINDOWS\SYSTEM32」和「cd \windows\system32」是相同的，現在就讓我們更深入的了解這４個DOS基本指令吧

CD

CD指令是用來改變目前目錄（Change Directory或者是Current Directory），「\」代表根目錄就是你從我的電腦打開磁碟機看到的目錄，我們在C磁碟可以看到「WINDOWS」這個目錄，所以鍵入「CD \WINDOWS」就會進入到WINDOWS這個目錄，我們更可以鍵入「CD \WINDOWS\SYSTEM32」直接進入WINDOWS下面的SYSTEM32目錄，如果在 CD後面的目錄最前面沒有加上「\」就叫「相對目錄」，所以我們也可以「CD \WINDOWS」再「CD SYSTEM32」同樣可以進到WINDOW下面的SYSTEM32目錄。要回上一層的目錄就要用「CD..」，同理一次回上二層就要用「CD..\..」。

DIR

DIR列出目前目錄中的檔案，這個指令有許多的參數可以加，不知道可以加那些參數你可以鍵入「DIR /?」看到可以加的參數

共有/A、/B、/C、/D、/L、/N、/O、/P，其中/A參數後面一定要再加D、R、H、A、S等參數，所以我們要看「隱藏檔」要用「/AH」參數，如果要看C:\WINDOWS\SYSTEM32下的隱藏檔首先要「CD \WINDOWS\SYSTEM32」再來「DIR /AH」就可以看到隱藏檔了。

如果檔案列表超出一頁的話可以加「/P」參數，要讓檔案依日前期排列可以加「/OD」參數，其他的參數你也可以試試喔！

DEL

DEL指令是用來刪除檔案，直接鍵入「DEL 檔名」就可以刪除檔案，也可以加「*」這個萬用字元，例如我們要一次刪除jvvo.exe、jvvo0.dll、jvvo1.dll和jvvo2.dll這四個檔案就要鍵入「DEL JVVO*.*」就可以把所有檔名為JVVO開頭的檔案通通都刪了，可是如果你下這個指令得到的結果卻是：「找不到C:\WINDOWS\system32\JVVO*.*」，第一個原因就是真的沒有這些檔案，另一個原因是這些檔案被隱藏起來了，你可以用上面的「DIR /AH」指令來確認，如果是被隱藏起來的話還要用下面一個指令ATTRIB來處理才可以刪掉。

＊＊＊注意「DEL *.*」代表所有的檔案，「DEL *abc.*」也是代表所有的檔案，也就是說「*」在最前面就是代表所有的檔案，千萬不要用這樣的語法否則檔案不見了不要說我沒事先警告喔！＊＊＊

ATTRIB

ATTRIB指令可以變更檔案屬性，如果我們要看JVVO檔名開頭的檔案屬性，請鍵入「ATTRIB JVVO*.*」你會看到：

這四個檔案都被設為系統（S），隱藏（H）及唯讀（R），另外第二個和第四個保存（A）屬性並不重要，那是給備份程式看的，我們要替檔案加上隱藏屬性就要用「ATTRIB +H」指令，相反的要將檔案的隱藏屬性移除就要用「ATTRIB -H」指令，因此如果我們要將JVVO*.*檔案的系統、隱藏和唯讀屬性都去掉就要鍵入「ATTRIB –S –H -R」指令，所以下「ATTRIB –S –H –R JVVO*.*」就可以讓病毒檔現出原形了，接下來看得到才有刪掉的可能。

看到這裡對我們之前所用的一些DOS指令，現在都知道它的原理的吧？

閱讀全文...

當Avira小紅傘,avast都無效時只有手動解毒一途

很不幸的告訴大家：最新的kavo變種病毒jvvo.exe,kxvo.exe今天用Avira小紅傘和avast都不能完全解掉，原因很簡單 - 現在病毒也每天更新！但是不要灰心只要幾個基本的步驟還是一樣可以手動解毒，而這些步驟在kavo,taso,jvvo,kxvo病毒一次解決中都已經提過了，所以那些方法依然有效只是你要針對最新的病毒檔名自己變通一下，我只是告訴你基本原則一切就看你的臨場反應了。

今天去解了一台中毒的電腦，原先是裝小紅傘免費版，但是一直出現C,D根目錄的dy????.cmd有毒，但是一直出現表示小紅傘無能為力了，而安全模式又進不去（其實就算進入到安全模式也不可能完全解毒），進DOS視窗去查在c:\windows\help下有EB6C4499B05F.exe和同名的.dll檔，在c:\windows\system32下有jvvo.exe,jvvo0.dll,jvvo1.dll,kxvo.exe及kxvo0.dll，都是典型的kavo變種病毒的檔名，但小紅傘卻連半隻也抓不到，所以正式宣告小紅傘在這一波病毒/防毒的攻防戰中已經陣亡，於是把希望寄託在上一次測試結果還不錯的avast家用版身上，看能不能扳回一城

首先移除小紅傘，移除完也不用重開機（浪費時間），直接下載安裝avast家用版，裝完先不要重開機直接更新病毒碼，更新完之後再重開機進入開機掃描，掃了快半個小時，還是只抓到了c:\windows\help下的那兩隻毒，但對c:\windows\system32下的毒卻一點反應也沒有，所以avast也陣亡了（相信其他的防毒程式戰況應該也相似才對），所以不管你是用小紅傘或avast也不用換防毒程式了，因為一樣沒用只有自力救濟手動解毒了，方法再重覆一次，要多用心想喔！

請你從附屬應用程式->命令提示字元開啟一個DOS視窗，依照下面的方法輸入指令，請確定沒有打錯字，如果打錯字了會出現不是內部或外部命令、可執行的程式或批次檔。至於會出現找不到或是jvvo0.dll或kxvo0.dll無法刪除就先不管它，因為我們要殺的是.exe的執行檔（小提示：你可以將紅色的指令選取右鍵->複製，然後到DOS視窗的標題列右鍵->編輯->貼上就可以了）

cd \windows\system32 attrib -s -h -r kavo*.* del kavo*.* attrib -s -h -r jvvo*.* del jvvo*.* attrib -s -h -r kxvo*.* del kxvo*.* attrib -s -h -r taso*.* del taso*.* cd \windows\help attrib -s -h -r F3*.* del F3*.* attrib -s -h -r B4*.* del B4*.* attrib -s -h -r EB6*.* del EB6*.*

執行完了關閉DOS視窗重開機，然後再開啟DOS視窗上面的指令再重打一遍，這時候應該不會再出現jvvo0.dll或kxvo0.dll無法刪除了，最後關掉DOS視窗再重開（因為這樣你才會在你的使用者名稱的目錄下，鍵入紅色的指令

C:\Documents and Settings\你的使用者名稱>cd locals~1\temp attrib -s -h -r *.* del . /s/q c: cd \ attrib -s -h -r autorun.inf del autorun.inf d: cd \ attrib -s -h -r autorun.inf del autorun.inf e: f: g:...相同步驟

至於vga.sys先不用理它了，因為試過成功的機率不高，安全模式進不去也不是什麼大問題其實還有一個地方的檔案要清，那就是瀏覽器的暫存檔，但是由於瀏覽器的暫存檔手動不好清只好借助CCleaner了，你可以先下載來試看看，我會再發一篇文的

一．前言

「Ubuntu 是一句代表「以人道待人」以及「群在故我在」的非洲語，Ubuntu 發行版將這個精神帶入電腦軟體的國度。」這是Ubuntu中文官網對Ubuntu這個字的解釋，而Ubuntu這個字原來是非洲土語，它的唸法: oo-Boon-too我比較喜歡“烏邦土”這個音，因為還帶有“烏托邦”、“世界大同”的含義在裡面，也比較文雅。 Ubuntu是新一代的Linux發行版本，和之前的其他發行版本相比完成度更高，舉凡上網、收發郵件、文書處理、簡報、影像處理甚至多媒體播放等功能一應俱全，可說是一個可以完全取代Windows的作業系統，更重要的是完全免費，不用再被媒體上的「員工使用盜版軟體老闆也有罪」的聳動廣告嚇得不知所措，大家就給它放心的用下去吧！

二．下載程式

你可以到Ubuntu正體中文站去下載程式，目前的版本為8.04 LTS有分桌面版本和伺服器版本，如果你只是要單機作業下載桌面版本就可以了，下載回來的檔案是.iso映像檔，如果你是要直接安裝請先用燒錄程式將映像檔燒成光碟片，或者你可以像本文的方式用VirtualBox虛擬主機來裝，那就不用燒成光碟片可以直接拿ISO檔來安裝了。

三．VirtualBox的準備

本文介紹大家一個一機兩用的使用方式：在你的Windows下面用VirtualBox來安裝Ubuntu，這樣你原來其他和上網無關的程式還是可以沿用，但是上網就改到Ubuntu系統中，這樣就不會因為上網而中毒了（不過隨身碟的毒還是有可能會中，除非你全部改用Ubuntu）。你可以參考用VirtualBox來架Linux網站這篇來下載並安裝VirtualBox，目前最新的版本是1.6.2，安裝完後就是下面的主畫面：請按新增按鈕來新增一台虛擬機器