close
最近公司內部網路中毒,導致伺服器每個資料夾塞滿「_deskt
op.ini」的紀錄檔,即使使用者電腦已有基本防護,終究還是
出了差錯,這隻小工具是我第一次利用批次檔工作,紀念囉!

這隻病毒發生在2006年的六月份左右,直到現在還是沒有完整
、方便的清理工具,由於公司內部動畫專案所使用到的資料相
當重要,且又被這種纏上「執行檔」型的病毒,搞得雞飛狗跳
,按照道理來說?應該是要弄個完整系統幫大家還原的,但在
不停工且要系統穩定的條件下,只好透過網路找尋解決方案。
假若?處理不好,可能要乖乖地自行在假日道公司加班,發現
病毒且全面緊急處理後,下班後,利用了時間稍微分析這隻病
毒的行徑,做出以下簡單的處理方式。

病毒特色:
發生於 Windows作業平台,執行文件感染、網路感染、下載網
路木馬或其它病毒的複合型病毒,修改登錄檔,使開機自動執
行,據說,其病毒技術可繞過防火牆,連結網站直接下載病毒
,且透過內部網路感染,主要是以預設共享、或共用文件大量
散佈感染,且造成機器執行緩慢等狀況發生。

病毒徵狀:

※ 將複製病毒於 %windir% rundl132.exe,
  同步複製 Logo1_.exe、Dll.DLL檔。
※ 病毒感染後,將會在所屬資料夾下產生「_desktop.ini」。
※ 修改登錄檔,於開機立即執行「rundl132.exe」。
※ 且會關閉特定防毒軟體,並停止工作行程。
※ 以ICMP探測,連接\\IPC$、\admin$等共享目錄,連接成功
  後進行網路感染。
※ 嘗試將病毒vdll.dll加入Explorer、Iexplore工作行程。

清理方式:

我試著將執行步驟先條列列出來,再針對每個執行的動作,以
選擇性的方式執行,原本預想是點兩下全部清理完畢,後來覺
得期間執行中斷要重新執行反而麻煩,所以改以選單方式逐項
進行清理與防護的動作,這隻清理工具小弟使用了兩天,大致
上已經將功能補齊,可能朋友們會有更多好的建議,也歡迎提
出一起討論。^^~

按照網友們的處理方式,小弟將功能做了以下的區分:

0‧更新病毒碼、關閉磁碟預設共用。
1‧關閉目前病毒常駐行程。
2‧刪除病毒執行檔。
3‧清理註冊檔殘留資訊。
4‧還原 HOST 設定值。
5‧清除 C、D、E、Z 磁碟 _desktop.ini 檔。
6‧預防 Viking 病毒再次發作。
7‧設定群組原則。
8‧安裝微軟 Windows XP 作業系統修補程式。
9‧離開,立即重開機!

這隻工具 Windows 2000、XP 都適用,因為在software加了不
少XP的工具,方便大量處理類似機器狀況。

在此說明,該隻工具裡,software裡的檔案都是由乾淨無毒的
系統內取出,用來修正或加強工具的使用。如各位不放心,也
可從您的電腦中 system32 底下抓出以下工具,再執行批次清
毒的工作喔。

hosts - system32\drivers\etc\ 無更改過的設定檔。
pskill.exe - 強制停止工作行程的工具。(微軟 PStool 取出)
reg.exe - Windows XP 底下方便登錄檔的工具。
shutdown.exe - Windows XP 底下自動關機的工具。
Windows2000-KB917537-x86-CHT.EXE - Win2k KB917537 修正檔
WindowsXP-KB917537-x86-CHT.exe - WinXP KB917537 修正檔
WindowsServer2003-KB917537-x86-CHT.exe - Win2003 KB917537 修正檔

這工具分成兩個批次執行檔,由於資料夾內塞滿_desktop.ini
,為了省時間,將同時執行兩隻工具,以最短時間恢復正常為
主。

「clear.bat」

@echo off
echo.
echo 目前正在清除 _desktop.ini〈清除完畢將會自動關閉〉
del C:\_desktop.ini /f/s/q/a
del D:\_desktop.ini /f/s/q/a
del E:\_desktop.ini /f/s/q/a
del Z:\_desktop.ini /f/s/q/a
del F:\_desktop.ini /f/s/q/a
del G:\_desktop.ini /f/s/q/a
del H:\_desktop.ini /f/s/q/a
del Y:\_desktop.ini /f/s/q/a
del P:\_desktop.ini /f/s/q/a
echo 清除完畢!
del /F /Q clear.bat
echo.
end


「DelViking.bat」





CLS
@echo off
title CG‧DelViking-TOOL V0.1 By paul
echo.
:Start
CLS
echo.
echo --------------------------------------------------------------------
echo    DelViking-TOOL V0.1 http://www.wretch.cc/blog/paulnet
echo --------------------------------------------------------------------
echo    注意:執行該程式,請確認是否為 Administrator 權限!
echo.
echo    請按順序執行更新,輸入後按 ENTER。
echo.
echo    0‧更新病毒碼、關閉磁碟預設共用。
echo    1‧關閉目前病毒常駐行程。
echo    2‧刪除病毒執行檔。
echo    3‧清理註冊檔殘留資訊。
echo    4‧還原 HOST 設定值。
echo    5‧清除 C、D、E、Z 磁碟 _desktop.ini 檔。
echo    6‧預防 Viking 病毒再次發作。
echo    7‧設定群組原則。
echo    8‧安裝微軟 Windows XP 作業系統修補程式。
echo.
echo    9‧離開,立即重開機!
echo    n‧版本解釋  r‧錯誤回報
echo.
echo --------------------------------------------------------------------
echo.
echo.
SET select=
SET /P select=   選擇:
echo.
IF /I '%select%'=='0' GOTO 0
IF /I '%select%'=='1' GOTO 1
IF /I '%select%'=='2' GOTO 2
IF /I '%select%'=='3' GOTO 3
IF /I '%select%'=='4' GOTO 4
IF /I '%select%'=='5' GOTO 5
IF /I '%select%'=='6' GOTO 6
IF /I '%select%'=='7' GOTO 7
IF /I '%select%'=='8' GOTO 8
IF /I '%select%'=='9' GOTO 9
IF /I '%select%'=='n' GOTO n
IF /I '%select%'=='r' GOTO r
echo "%select%" 選擇錯誤,請重新選擇!
echo.
GOTO Start

:0
echo.
echo 0‧更新病毒碼 + 關閉磁碟預設共用。
Move /Y software\LPT$VPN.147 "C:\Program Files\Trend Micro\OfficeScan Client"
Move /Y software\reg.exe %windir%\system32
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters" /v AutoShareWks /t REG_DWORD /d "0" /f
net share C$ /d
net share D$ /d
net share E$ /d
net share admin$ /d
net share Z$ /d
net share F$ /d
net share G$ /d
net share H$ /d
net share Y$ /d
net share P$ /d
echo.
echo 完成!
echo.
pause
Goto Start


:1
echo.
echo 1‧正在關閉病毒常駐行程。
Move /Y software\pskill.exe %windir%\system32
replace pskill.exe "C:\windows\system32" /a >nul 2>nul
pskill Logo1_.exe
pskill rundll32.exe
pskill rundl132.exe
echo.
echo 完成!
echo.
pause
Goto Start

:2
echo.
echo 2‧刪除病毒執行檔。
del %windir%\Logo1_.exe
del %windir%\rundl132.exe
del %windir%\rundll32.exe
del %windir%\vDll.dll
del %windir%\Dll.DLL
del %windir%\kill.exe
del %windir%\sws32.dll
del %windir%\0sy.exe
del %windir%\1sy.exe
del %windir%\2sy.exe
del %windir%\3sy.exe
del %windir%\4sy.exe
del %windir%\bootconf.exe
del %windir%\system32\Logo1_.exe
del %windir%\system32\rundl132.exe
del %windir%\system32\bootconf.exe
del %windir%\system32\kill.exe
del %windir%\system32\sws32.dll
del %windir%\system32\ShellExt\svchs0t.exe
del C:\Program Files\Internet Explorer\0SY.exe
del C:\Program Files\Internet Explorer\1SY.exe
del C:\Program Files\Internet Explorer\2sy.exe
del C:\Program Files\Internet Explorer\3sy.exe
del C:\Program Files\Internet Explorer\4sy.exe
del C:\Program Files\Internet Explorer\5sy.exe
del C:\Program Files\Internet Explorer\6SY.exe
del C:\Program Files\Internet Explorer\7sy.exe
del C:\Program Files\Internet Explorer\8sy.exe
del C:\Program Files\Internet Explorer\9sy.exe
echo.
echo 清除完畢!
echo.
pause
Goto Start

:3
echo.
echo 3‧清理註冊檔殘留資訊。
reg delete "HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW" /v "auto" /f
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v load /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "load" /f
reg delete "HKEY_USERS\.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows" /va /f
echo.
echo 清除完畢!
echo.
pause
Goto Start

:4
echo.
echo 4‧還原 HOST 設定值。
Move /Y software\hosts %windir%\system32\drivers\etc\
echo.
echo 完成!
echo.
pause
Goto Start

:5
echo.
echo 5‧清理磁碟,正在清除 _desktop.ini。
del C:\_desktop.ini /f/s/q/a
del D:\_desktop.ini /f/s/q/a
del E:\_desktop.ini /f/s/q/a
del Z:\_desktop.ini /f/s/q/a
del F:\_desktop.ini /f/s/q/a
del G:\_desktop.ini /f/s/q/a
del H:\_desktop.ini /f/s/q/a
del Y:\_desktop.ini /f/s/q/a
del P:\_desktop.ini /f/s/q/a
echo 清除完畢!
echo.
pause
Goto Start

:6
echo.
echo 6‧預防 Viking 病毒再次發作!
md %windir%\Logo1.exe
attrib +h %windir%\Logo1.exe
echo.
echo 完成!
echo.
pause
Goto Start

:7
echo.
echo 7‧開啟群組原則,使用者設定→系統→不要執行已指定的 Windows 應用程式。
echo  加入相關執行檔,如:logo_.exe、rundll32.exe、vDll.dll 等。
START gpedit.msc
echo.
echo 設定完成!
echo.
pause
Goto Start

:8
echo.
echo 8‧安裝微軟 Windows XP 作業系統修補程式。
START software\WindowsXP-KB917537-x86-CHT.exe
echo.
echo Windows 2000、2003 OS,請至 software 資料夾,安裝 Win2000 版本 HOSTFix。
echo.
pause
Goto Start

:n
echo 目前使用版本為 v0.1,中毒、解毒一次就夠了,
echo 絕對不會再有機會中毒,因而使用到這隻更新程式!
echo.
echo DelViking-TOOL v0.1 釋出日期:2006.12.27。
echo.
pause
Goto Start

:r
echo 請拿起電話,撥打系統部門分機!
echo 或按「#11」廣播系統部人員,將會幫您處理。謝謝!
echo.
pause
Goto Start

:9
echo.
echo 9‧已完成掃毒工作,將於三秒後重新重新開機!
Move /Y software\shutdown.exe %windir%\system32
START shutdown.exe -r -t 6 -f
echo.
echo Goodbye!
RMDIR /S /Q software
del /F /Q DelViking.bat
end


以上,就是小弟這禮拜辛苦的經驗分享,還記得那天是週二下
班的晚上,買了樂透〈雖然這週都跟四百元擦身而過〉,但心
情還不錯的鑽進了工具的撰寫,因為只先訂定了清除步驟,批
次檔的相關應用都還不會,第一次用批次檔寫了這個小小的工
具,也逐漸有了成就感,至少這週可以不用再到公司加班,可
以在家安心的跨年,即使辛苦,我想?應該很值得,畢竟小小
的系統工程師,終於發揮了點用處,不過?代價卻是..感冒了
。>"<~~~~~

只是,那天寫著寫著,沒想到就已是凌晨五點多,隔天一早七
點多又爬起來,當然,這一兩天還是有那麼一點的挑戰,畢竟
是個生手,難免過程中有些錯誤得停下來修正,例如:這次我
才知道,很多工具在 Windows2000是沒有的。那天,還好小健
有分享我他慘痛的經驗,要不然我還不知道,要是微軟的修正
檔沒有自行判斷,裝了不對版本的修正檔,可能造成系統損毀
的狀況哩!在此,也要謝謝小健每次提供我不少經驗,要不然
我這個剛到公司沒多久的新人,一口氣搞壞50台的機器,導致
我們家動畫師們沒事做,那可非同小可的嚴重哩!

最後,假如有朋友們需要,可以點選以下載點,已經內附了微
軟的更新檔,當然,這只適用繁體語系的作業系統,其他語系
可能您就需要致微軟官方網站下載囉!


【DelViking-TOOL V0.1】

DelViking-TOOL V0.1載點


※ 此篇文章同步張貼於「夢想的天空」。


                         Paul

                      2006.12.30
arrow
arrow
    全站熱搜

    paul 發表在 痞客邦 留言(12) 人氣()