我msn 中毒呀! 中左性感相冊 !邦下忙 唔該

個案1：photosXXXX.zip、albumXXXX.zip、summer2008.zip、pictureXXXX.zip 之類的檔案

1. 使用安全模式登入Windows，進入regedit。開始 > 執行 > regedit > 找出以下機碼：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
右邊的機碼包括 (任何一個)
printers
system32
syshosts
systrays
rdshost
rdfhost
rdihost
systesrt32
prodigy1
prodigy323
prodigys323
= 一串CLSID

先抄下那串CLSID，然後刪除個機碼。

2. 在[HKEY_CLASSES_ROOT\CLSID\]下，刪除剛才抄下的機碼folder。

3. 刪除 [HKEY_CURRENT_USER\Software\Microsoft\一堆隨機字母] (暫時唔肯定有冇呢個，有就刪除)

4. 重新啟動電腦，在控制台 > 資料夾選項入面選 "顯示所有檔案" 及不選"隱藏受保護的系統檔" ，刪除以下檔案 (如有的話) ，這是目前已知的檔案：

C:\Windows\System32 入面的
printers.exe
msn.exe
intlprinters.exe
libcintles3.dll
libwinets_dll
notiffy.dll
notice.dll
msn.dll
rafba.dll
winlog32.dll
firewallav.dll
systesrt32.dll
prodigy323.dll
prodigys323.dll
newsystem25.dll

C:\Windows\一個以photo, album, image, picture 等字頭的檔案
C:\Documents and Settings\用戶名\new.txt

4. 成功！可重啟msn了！ (最好set番不顯示隱藏檔及隱藏受保護的系統檔)



個案2：imgXXXX.zip、pic.zip 等檔案

1. 先關閉msn，進入regedit。開始 > 執行 > regedit > 刪除以下機碼 (如有的話)：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 右邊的可能是 (唔一定有)
[Microsoft Genuine Logon]
[Microsoft Visual Application]
[Windows Population Logger]
[MSN]
[ehsched]

所指住的檔案可能係
msnmsg.exe
system.exe
vpcrtf.exe
winsyshp.exe
svchost.exe (記住真正的svchost.exe是在C:\Windows\system32入面，一般會有5-6個在運行。)
msnmsgr.exe
winpo32.exe
\system\ehsched.exe (img204，會破壞firewall settings)

2. 跟住reboot，同樣到控制台 > 資料夾選項 選 "顯示所有檔案" 及不選"隱藏受保護的系統"，刪除C:\Windows\所指住的檔案 (以上其中一個) 及 C;\Windows\pic.zip 或 imgXXXX.zip 等檔案即可。

** 如果你用combofix scan 過report，system32以外的svchost.exe或會被自動刪除。


由於病毒仍不停變種，你可能找不到以上提及的檔案，但解毒方法大致相同。如果需要進一步求助，你必須上傳combofix report

ComboFix http://www.sendspace.com/file/l6emhj

已證實為 Win32/IRCBot.VX (7/2)
這個比舊的更可怕
一按就自動下載 + 執行
NOD32 的 2039版本已可偵測到

"Heeey! I saw a picture online and im definately sure its you , the one on the left rite??
h t t p://ww.xxxxxxxx.com/picdata/39ak4f2/picture(DL).php

如收到以上信息,請勿按下連結!!!!!!!!

在今日(5/2)下午三時開始好多人的 MSN 收到

"Heeey! I found a picture of you online , Haha look at your face http://www.xxxxxxxxxx.com/PIC/DATA/14/PartyG/pic(xxxx).php"

按了連結後會要求下載一個檔案，如果你已下載並開啟，表示你已經中了毒
病徵：Mouse 及 Keyboard 沒有反應，被迫手動重新開機
　　　自動透過MSN傳送以上訊息
　　　螢幕１８０度調轉
解決方法１：
1.按 ctrl + alt + de 叫出工作管理員 或於執行打 TASKMGR.EXE ---> Enter
2. 在工作管理員中按處理程式後停止 msync.exe 和 crsss.exe(不是 csrss.exe) (如果存在)
3. 刪除 C:\Windows\system32\msync.exe 和 c:\crsss.exe (如果存在)

*如不能手動刪除以上兩個檔案,請開啟NOTEPAD 輸入以下文字
----------------------------Start---------------------------
del C:\Windows\system32\msync.exe /f
del c:\crsss.exe /f
pause
---------------------------End-----------------------------
儲存成Delete.bat 存檔類型一定要是任何檔案
執行Delete.bat

4. 在開始 -> 執行 輸入 "msconfig" -> enter, 在啟動中找到"Syncronization"後請untick在旁的小格.

# 如果在 msconfig 中的啟動未能夠尋找到 "Syncronization", 你可嘗試在 "位置" 中找尋有沒有一個指著 C:\Windows\system32\msync.exe
# 如果有請untick在旁的小格, 如果沒有理論上你 reboot 後也不會再受這隻病毒影響, 除非你中的是這病毒的變種.

之後 reboot, 但請下次小心不要亂開 MSN 中的 URL.

解決方法２：

1.下載Hijackthis http://www12.discuss.com.hk/viewthread.php?tid=1741311)
2.按 ctrl + alt + de 叫出工作管理員 或於執行打 TASKMGR.EXE ---> Enter
3. 在工作管理員中按處理程式後停止 msync.exe 和 crsss.exe(不是 csrss.exe) (如果存在)
4. 刪除 C:\Windows\system32\msync.exe 和 c:\crsss.exe (如果存在)

*如不能手動刪除以上兩個檔案,請開啟NOTEPAD
輸入以下文字
----------------------------Start---------------------------
del C:\Windows\system32\msync.exe /f
del c:\crsss.exe /f
pause
---------------------------End-----------------------------
儲存成Delete.bat 存檔類型一定要是任何檔案
執行Delete.bat

5. 關閉你的IE,用HijackThis,按 Do a system scan only,如找到以下項目,請選取,按 Fix checked 修復
O4 - HKLM\..\Run: [Syncronization] C:\WINDOWS\system32\msync.exe

之後 reboot, 但請下次小心不要亂開 MSN 中的 URL.

FAQ :

1.我重新開完機就有個系統設定公用程式,點算好?

因為你已改動msconfig
所以會有一個alertbox出來提你
只要你在按確定之前tick了那個check box之後再按確定
系統設定公用程式就不會再彈出來

2.我搞掂之後唔見咗d 連絡人,點算好?

1.開 windows messenger 最舊果個
2登入後按檔案 --->儲存連絡人清單
3.自行決定名字及位置後儲存
4.關閉windows messenger
5.開啟Windows Live Messenger
6.按連絡人--->匯入即時通訊的連絡人-->選擇剛剛儲存的檔案---> ok

3.msconfig入面仲有msync.exe / Syncronization , 點算好???

想永久刪除msconfig入面的 Syncronization，登入regedit：開始 -> 執行 -> regedit，找[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]，直接刪除右邊那個 Syncronization 的字串，跟住Reboot
4.我個mon仲係180度調轉咗呀,點算好???
進入圖像卡的控制台(如ATi的Catalyst)
找找有沒有旋轉或類似的字眼,
如有請查看是否設定為正常,若非當然設回正常

第1隻
微軟即時傳訊MSN Messenger遭到嚴重病毒攻擊，災情已從亞洲擴大到全球。台灣微軟網路服務呼籲用戶，接收檔案前，先詢問對方確認檔案性質，再按「接收」。

大部分的防毒軟體將 Bropia 病毒歸為威脅性低的病毒。該病毒並非針對攻擊任何安全性漏洞。Bropia 病毒的傳播讓透過用戶接收並執行檔案後傳播給聯絡人。MSN 建議用戶不要接收目的不明的檔案。

有關 Bropia 的資訊請參閱防毒軟體服務網站：
TrendMicro
Symantec
Computer Associates
MSN病毒又來了！這次不是以傳檔案方式，而是一個超連結病毒，基於上次烤雞病毒以檔案對傳方式傳播，用戶多半有警惕心，這次搖身一變以url顯示，使用者很容易掉以輕心！

第2隻
趨勢科技7日表示，一隻新的超連結病毒WORM_KELVIR.A 目前利用微軟MSN Messenger即時傳訊軟體流竄於網路，這一隻病毒會以好朋友名義陸續傳送好玩的檔案，若不慎點選這個超連結就會馬上感染中毒，並迅速發送 MSN談話視窗給MSN通訊錄中的好友，藉此來進一步散播病毒造成更大規模的感染。

由於此病毒會夾帶另外一隻病毒WORM_SDBOT同時發作感染，開啟後門供駭客伺機利用以竊取個人機密資料，並在網路芳鄰上尋找其他電腦主機，伺機猜密 碼入侵感染病毒，因而造成較大規模的感染災情。此蠕蟲病毒會感染所有Windows作業平台使用 MSN Messenger即時傳訊軟體用戶，包括Windows 95, 98, ME, NT, 2000, 2003和XP等系統。

首先在亞洲的中國、台灣與韓國發現並迅速傳播開來，歐美地區也出現許多感染案例，目前在台灣地區已經有數百感染案例，而且傳播速度驚人。

趨勢科技防毒研究中心 TrendLabs 分析指出，這一隻病毒相當聰明，善用 MSN Messenger 平台即時傳訊的特性，以好朋友名義陸續傳送好玩的檔案引誘網友開啟（以超連結的形式出現），一般人在毫無預警的情況下，不慎點選即引發中毒。此病毒還會伺 機夾帶另外一隻病毒WORM_SDBOT來造成更大的破壞與散播，由於該WORM_SDBOT 病毒會利用微軟的兩個重要弱點（MS03-026 及 MS04-011）來造成病毒發作，並開啟後門來伺機入侵受感染的電腦，因此中毒之後除了會進一步感染好朋友的電腦以外，也會造成電腦速度變慢，並且病毒 會進一步尋找網路芳鄰上的其他電腦主機，以預備好的密碼名單來進行入侵，引發網路上的流量變大。

而賽門鐵克則指出，若是不幸中毒，受害者MSN的聯絡人都會收到「omg this is funny (我的老天，這很有趣。)」的訊息，並附上jose.rivera4.home.at t.net的連結。如果使用者開啟連結，Kelvir.A就會下載patch.exe的執行檔，並連上home.comcast.net，下載變種後門程 式。該程式會於每次電腦開始啟動時執行。

趨勢科技針對此病毒建議用戶，暫時關閉MSN，如果一定要開啟，不要點選任何MSN Messenger上的超連結，立刻更新防毒引擎與病毒碼，平日應養成隨時問的習慣，對於朋友傳來的檔案或連結，一定要確認，如果不慎中毒，可以使用趨勢提供的清除工具：http://www.trendmicr o.com/download/dcs.a sp
參考資料:
自己+YAHOO

如果有人send咗條link話見到你張相係某個網止`你禁咗完後中毒`用以下方法 x]]

1.按 ctrl alt del 叫出工作管理員 或於執行打 TASKMGR.EXE --- Enter
1. 在工作管理員中按處理程式後停止 msync.exe 和 crsss.exe (不是 csrss.exe, 如果存在)
2. 刪除 C:\Windows\system32\msync.exe 和 c:\crsss.exe (如果存在)
*如不能手動刪除以上兩個檔案,請開始NOTEPAD
輸入以下文字
補充時間：2007-06-16 21:13:23


----------------------------Start---------------------------
del C:\Windows\system32\msync.exe /f
del c:\crsss.exe /f
pause
---------------------------End-----------------------------
補充時間：2007-06-16 21:13:44


儲存成Delete.bat 存檔類型一定要是任何檔案
執行Delete.bat
3. 在開始 - 執行 輸入 "msconfig" - enter, 在啟動中刪除 "Syncronization".

之後 reboot, 但請下次小心不要亂開 MSN 中的 URL
補充時間：2007-06-16 21:13:58

# 如果在 msconfig 中的啟動未能夠尋找到 "Syncronization", 你可嘗試在 "位置" 中找尋有沒有一個指著 C:\Windows\system32\msync.exe
# 如果有請刪除它, 如果沒有理論上你 reboot 後也不會再受這隻病毒影響, 除非你中的是這病毒的變種.
補充時間：2007-06-16 21:14:04


新的MSN病毒Photos.zip(Photo Album-2007-05-26.scr)

暫評定4星(5星最高)[原因 煩到阿媽都唔認得] 廣告病毒 後門程式
由於係今日2007-06-01新鮮出爐 卡巴斯基已有更新 成功掃瞄出
大小:468KB
佢先會話(同步先岩)
That's new photo for me=)!
Here are my pictures from my vacation
之後send俾你
入面係個叫photos album-2007-5-26.scr
木馬程式 Backdoor.Win32.IRCBot.aaq

開左之後 會慢慢控制你MSN
之後會畫面會勁閃
工作管理員暫時將MSN關閉
補充時間：2007-06-16 21:14:57

"MSN照片"蠕蟲目前正通過MSN瘋狂傳播,由於該蠕蟲是一個全新的變種,並且在計算機系統運行後無進程,大大加大了發現的難度,所以目前大多數殺毒軟件都對此毫無反應.
中毒用戶會向MSN好友發送「hey you got a photo album? anyways heres my new photoalbum ?或者「OMG just accept please its only my photoalbum!!(請接收我的照片)」等英文消息,並會傳送「photo album.zip」壓縮文件.如果用戶接收並運行該文件,就會中毒
補充時間：2007-06-16 21:15:11

解決方法
開始 regedit
HKEY_CLASSES_ROOT/APPID/{5123EB69-F99E-461C-B6C3-CE6E825813E8}
HKEY_CLASSES_ROOT/APPID/RDShost.EXE
HKEY_CLASSES_ROOT/CLSID/{5EA6F67B-7713-45F3-B535-0E03DD637345}
補充時間：2007-06-16 21:15:37
http://www3.discuss.com.hk/viewthread.php?tid=4391779
http://www3.discuss.com.hk/viewthread.php?tid=4391779

解決方案:
1.MSN用戶不要輕易接受來歷不明的檔，尤其是副檔名為*.exe,*.com,*.bat,*. scr,*.zip,*.rar?等格式的檔，遇到有人發來以上格式的檔請直接拒絕即可。
2.每天定時升級KV2007殺毒軟體，並開啟所有監控功能。
3.江民KV2007已經緊急升級了病毒庫，kv用戶及時升級殺毒軟體即可有效地攔截此病毒。
4.沒有安裝KV2007殺毒軟體的用戶，可以免費下載江民MSN"性感相冊"蠕蟲專殺工具對該病毒進行查殺。
性感相冊”蠕蟲專殺工具 軟體名稱：“msn性感相冊”蠕蟲專殺工具
軟體大小：113KB 作業系統：Win2003/XP/2000/NT/9 x/ME

技術支援：[email protected]

圖片參考：http://dl.jiangmin.com/download/images/down.jpg