打印

[原創] 現在有個新版的KAVO要特別小心 j3ewro.exe 破壞卡巴...

krichard2007

香菇小精靈☆

金牌會員

Rank: 6 Rank: 6

帖子: 330
精華: 0
威望: 1731
黃金: 4181
來自: Philippines-Manila
註冊時間: 2007-11-30

1^# 大中小發表於 2008-8-2 12:57 只看該作者

現在有個新版的KAVO要特別小心 j3ewro.exe 破壞卡巴...

在下上次測試j3ewro.exe...
發現它會導致卡巴無法更新....
它會修改 klif.sys <= 這檔案跟卡巴有關...
KAVO會把它破壞掉...
導致卡巴無法更新...被他害死了..

有時候是 tdi.sys 有時候是 klif.sys
請大家要特別小心...

人生....就是要活的快樂且要有意義......
大自然呀......你真是奇妙....

TOP

upside

反病毒反詐騙反虐犬

Moderator

Rank: 7 Rank: 7 Rank: 7

帖子: 1019
精華: 4
威望: 4242
黃金: 1845
註冊時間: 2006-12-24

2^# 大中小發表於 2008-8-2 14:16 只看該作者

嗯這一隻的確利害
卡巴不能更新是其次可以改用手動更新
這一隻卡巴已經可以刪除
但問題在我遇到兩次是網路驅動程式被破壞
不管怎麼修改還是會出現驚嘆號
看不出有其他病毒或硬體上問題
但都是有中一堆隨身碟病毒包括這一隻
在時間與狀況考量下只能建議客戶重灌較快
在商言商我也沒辦法

以技術為本造福他人為眾人所幸
以技術為惡危害他人為眾人所指
解決問題的順序：
1. 先檢查硬體(有沒有超頻/記憶體模組/周邊網路設備的好壞等等)
2. 檢查 系統的登錄檔，尤其是 Run 的內容
3. 不要急，先翻書瞭解相關問題的原理，再設法解決
4. 利用關鍵字，在論壇內或 www.google.com.tw 搜尋是否有人已經遇過類似的問題
5. 都沒有辦法了，再在討論區以明確的標題來發問

TOP

krichard2007

香菇小精靈☆

金牌會員

Rank: 6 Rank: 6

帖子: 330
精華: 0
威望: 1731
黃金: 4181
來自: Philippines-Manila
註冊時間: 2007-11-30

3^# 大中小發表於 2008-8-2 15:36 只看該作者

抱歉....
手動更新無效..
會變成...
按更新完全沒有回應....
有開更新視窗但是什麼都沒有...

人生....就是要活的快樂且要有意義......
大自然呀......你真是奇妙....

TOP

卡巴斯基

金牌會員

Rank: 6 Rank: 6

帖子: 381
精華: 0
威望: 4456
黃金: 108
註冊時間: 2008-6-22

4^# 大中小發表於 2008-8-2 17:39 只看該作者

其實可不可以叫卡巴的HIPS保護自己的klif.sys,這樣就不怕KAVO攻破卡巴的自我防護!

還有,各位大大,可否列出需要保護的卡巴元件?

TOP

ㄚ一

我愛小紅獅

AV Expert

Rank: 8 Rank: 8

小紅獅親衛隊隊長

帖子: 4886
精華: 18
威望: 30320
黃金: 3518
來自: 台灣台北
註冊時間: 2006-12-22

5^# 大中小發表於 2008-8-2 17:59 只看該作者

我對於有KAV還會被破壞而感到懷疑
除非你不聽勸阻放行驅動安裝，要不然你不可能在自我保護開啟的情況下刪除KAV任何文件

Lawliet's blog
Folding@home with GPGPU集中討論串，大家一起來努力朝著全球制霸的目標邁進！

TOP

卡巴斯基

金牌會員

Rank: 6 Rank: 6

帖子: 381
精華: 0
威望: 4456
黃金: 108
註冊時間: 2008-6-22

6^# 大中小發表於 2008-8-2 18:04 只看該作者

其實是不是惡意程式一但安了驅動就好可能攻破卡巴?

卡巴的自我保護好似是世界數一數二!我想如果不是驅動級的惡意程式和靠卡巴的BUG,我想都好難攻破卡巴的自我保護!

[ 本帖最後由卡巴斯基於 2008-8-2 18:07 編輯 ]

TOP

pingu

中級會員

Rank: 3 Rank: 3

帖子: 66
精華: 0
威望: 160
黃金: 188
註冊時間: 2007-4-23

7^# 大中小發表於 2008-8-2 18:17 只看該作者

真相如何，拿一隻試試看就好了，不過誰要做先鋒

TOP

ㄚ一

我愛小紅獅

AV Expert

Rank: 8 Rank: 8

小紅獅親衛隊隊長

帖子: 4886
精華: 18
威望: 30320
黃金: 3518
來自: 台灣台北
註冊時間: 2006-12-22

8^# 大中小發表於 2008-8-2 18:41 只看該作者

引用:

原帖由 pingu 於 2008-8-2 18:17 發表
真相如何，拿一隻試試看就好了，不過誰要做先鋒

我早就試過了，根本不會不能上網

Lawliet's blog
Folding@home with GPGPU集中討論串，大家一起來努力朝著全球制霸的目標邁進！

TOP

卡巴斯基

金牌會員

Rank: 6 Rank: 6

帖子: 381
精華: 0
威望: 4456
黃金: 108
註冊時間: 2008-6-22

9^# 大中小發表於 2008-8-2 19:28 只看該作者

ㄚ一大大和各位大大,小弟有一個卡巴自我保護的問題想問?

其實在Windows中,有無方法設定當某進程被終止,自動去執行某些動作?
例如當卡巴的進程死了,自動重新啟動C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe?

請ㄚ一大大和各位大大指教!

[ 本帖最後由卡巴斯基於 2008-8-2 19:30 編輯 ]

TOP

SPeter

金牌會員

Rank: 6 Rank: 6

帖子: 1135
精華: 0
威望: 6820
黃金: 6882
註冊時間: 2007-3-13

10^# 大中小發表於 2008-8-2 20:39 只看該作者

回復 9# 的帖子

應該沒必要，通常它有自動重起動，至少Symantec的SEP11會（這是因為他自己一直當……）。

不然像這邊提的辦法應該也適用：http://www.avpclub.ddns.info/discuz/thread-12033-1-1.html

問題是，到底你要相信自己舊有的瘋狂理論，還是你那雙會說謊的眼睛？
～艾倫‧葛林斯潘，《THE AGE OF TURBULENCE》

「他看見了我的靈魂、我的恐懼、我的脆弱、我無能面對一個我假裝很在行的世界，而我對這個世界一無所知。」
～保羅‧科爾賀，《愛的十一分鐘》（Onze Minutos）

TOP

ㄚ一

我愛小紅獅

AV Expert

Rank: 8 Rank: 8

小紅獅親衛隊隊長

帖子: 4886
精華: 18
威望: 30320
黃金: 3518
來自: 台灣台北
註冊時間: 2006-12-22

11^# 大中小發表於 2008-8-2 20:59 只看該作者

KIS 8測過就不再貼一次了
KIS 7一樣防的住，重新開機後一樣能夠上網

引用:

CreateRegValue \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\KAVsys\ImagePath
CreateRegValue \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\KAVsys\Start
CreateRegValue \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\KAVsys\ErrorControl
CreateRegValue \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\KAVsys\Type
CreateRegKey \REGISTRY\MACHINE\System\CurrentControlSet\Services\KAVsys
ModifyFile C:\WINDOWS\system32\drivers\tdi.sys

引用:

CreateRegValue \REGISTRY\USER\S-1-5-21-1343024091-630328440-839522115-500\Software\Microsoft\Windows\CurrentVersion\Run\jvsoft
CreateFile C:\WINDOWS\system32\jwedsfdo0.dll
CreateFile C:\WINDOWS\system32\j3ewro.exe
DeleteRegKey \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\KAVsys
CreateRegValue \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\KAVsys\ImagePath
CreateRegValue \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\KAVsys\Start
CreateRegValue \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\KAVsys\ErrorControl
CreateRegValue \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\KAVsys\Type
CreateRegKey \REGISTRY\MACHINE\System\CurrentControlSet\Services\KAVsys
ModifyFile C:\WINDOWS\system32\drivers\tdi.sys

Lawliet's blog
Folding@home with GPGPU集中討論串，大家一起來努力朝著全球制霸的目標邁進！

TOP

upside

反病毒反詐騙反虐犬

Moderator

Rank: 7 Rank: 7 Rank: 7

帖子: 1019
精華: 4
威望: 4242
黃金: 1845
註冊時間: 2006-12-24

12^# 大中小發表於 2008-8-3 21:30 只看該作者

引用:

原帖由 krichard2007 於 2008-8-2 15:36 發表
抱歉....
手動更新無效..
會變成...
按更新完全沒有回應....
有開更新視窗但是什麼都沒有...

手動更新不可能無效除非卡巴無法執行
你確定你有試過手動更新嗎並非靠本機網路去連線下載
而是從別台下載來替代舊病毒碼

以技術為本造福他人為眾人所幸
以技術為惡危害他人為眾人所指
解決問題的順序：
1. 先檢查硬體(有沒有超頻/記憶體模組/周邊網路設備的好壞等等)
2. 檢查 系統的登錄檔，尤其是 Run 的內容
3. 不要急，先翻書瞭解相關問題的原理，再設法解決
4. 利用關鍵字，在論壇內或 www.google.com.tw 搜尋是否有人已經遇過類似的問題
5. 都沒有辦法了，再在討論區以明確的標題來發問

TOP

000110

AV Expert

Rank: 8 Rank: 8

帖子: 1946
精華: 9
威望: 8610
黃金: 2114
註冊時間: 2007-1-17

13^# 大中小發表於 2008-8-3 22:01 只看該作者

引用:

原帖由 卡巴斯基 於 2008-8-2 18:04 發表
其實是不是惡意程式一但安了驅動就好可能攻破卡巴?

卡巴的自我保護好似是世界數一數二!我想如果不是驅動級的惡意程式和靠卡巴的BUG,我想都好難攻破卡巴的自我保護!

如果是驅動級的惡意程式, 在安裝時卡巴已有提示

TOP

sylovanas

金牌會員

Rank: 6 Rank: 6

帖子: 198
精華: 0
威望: 2073
黃金: 2401
註冊時間: 2007-1-22

14^# 大中小發表於 2008-8-4 10:46 只看該作者

引用:

原帖由 upside 於 2008-8-2 14:16 發表
嗯這一隻的確利害
卡巴不能更新是其次可以改用手動更新
這一隻卡巴已經可以刪除
但問題在我遇到兩次是網路驅動程式被破壞
不管怎麼修改還是會出現驚嘆號
看不出有其他病毒或硬體上問題
但都是有中一堆隨身 ...

這邊似乎也碰到不少這樣的案例

如果說有碰到的話下次可以試看看將
TCPIP.SYS
TDI.SYS
PSCHED.SYS
這三個檔案另外找正常電腦的檔案覆蓋過去看看

我那邊有回報覆蓋後重開機網路就正常的

本帖最近評分記錄

upside 威望 +30 確實有效已經修復完成不用再建議客戶重灌 ... 2008-8-4 22:02
upside 黃金 +30 確實有效已經修復完成不用再建議客戶重灌 ... 2008-8-4 22:02

TOP

upside

反病毒反詐騙反虐犬

Moderator

Rank: 7 Rank: 7 Rank: 7

帖子: 1019
精華: 4
威望: 4242
黃金: 1845
註冊時間: 2006-12-24

15^# 大中小發表於 2008-8-4 21:39 只看該作者

引用:

原帖由 sylovanas 於 2008-8-4 10:46 發表

這邊似乎也碰到不少這樣的案例

如果說有碰到的話下次可以試看看將
TCPIP.SYS
TDI.SYS
PSCHED.SYS
這三個檔案另外找正常電腦的檔案覆蓋過去看看

我那邊有回報覆蓋後重開機網路就正常的

原來如此我已經碰到第三例網路驅動被破壞造成無法連線的狀況

最近越來越忙了都沒辦法好好去分析
感謝提供快速解決方案不然光是毒刪除掉但不能連線等於沒修一樣

以技術為本造福他人為眾人所幸
以技術為惡危害他人為眾人所指
解決問題的順序：
1. 先檢查硬體(有沒有超頻/記憶體模組/周邊網路設備的好壞等等)
2. 檢查 系統的登錄檔，尤其是 Run 的內容
3. 不要急，先翻書瞭解相關問題的原理，再設法解決
4. 利用關鍵字，在論壇內或 www.google.com.tw 搜尋是否有人已經遇過類似的問題
5. 都沒有辦法了，再在討論區以明確的標題來發問

TOP

upside

反病毒反詐騙反虐犬

Moderator

Rank: 7 Rank: 7 Rank: 7

帖子: 1019
精華: 4
威望: 4242
黃金: 1845
註冊時間: 2006-12-24

16^# 大中小發表於 2008-8-5 11:42 只看該作者

嗯關於此案例
目前我的解法是
1.手動刪除病源或執行其他專殺程式 (手動刪除比較快)
2.安裝防毒程式並做全系統掃瞄 (我是安裝KAV7)
3. 全系統掃瞄後發現一些殘留的生成物 (但因為病毒碼無法更新只到今年2008 3月31日)
但仍然可以清除大部份病毒)
4. 自動更新失敗手動更新失敗該更新位置顯示灰色 (一例可以手動更新另一例就無法更新)
5. 移除防毒程式重新安裝即恢復正常可以正常自動更新
6. 若發現如無法連線上網請至正常電腦取出 TCPIP.SYS TDI.SYS PSCHED.SYS 三個檔案覆蓋回去即可
位置於 C:\WINDOWS\SYSTEM32\drivers

[ 本帖最後由 upside 於 2008-8-5 11:45 編輯 ]

以技術為本造福他人為眾人所幸
以技術為惡危害他人為眾人所指
解決問題的順序：
1. 先檢查硬體(有沒有超頻/記憶體模組/周邊網路設備的好壞等等)
2. 檢查 系統的登錄檔，尤其是 Run 的內容
3. 不要急，先翻書瞭解相關問題的原理，再設法解決
4. 利用關鍵字，在論壇內或 www.google.com.tw 搜尋是否有人已經遇過類似的問題
5. 都沒有辦法了，再在討論區以明確的標題來發問

TOP

jolan

中級會員

Rank: 3 Rank: 3

帖子: 31
精華: 0
威望: 326
黃金: 244
註冊時間: 2008-3-27

17^# 大中小發表於 2008-9-13 17:27 只看該作者

新變種出現!

TOP

jolan

中級會員

Rank: 3 Rank: 3

帖子: 31
精華: 0
威望: 326
黃金: 244
註冊時間: 2008-3-27

18^# 大中小發表於 2008-9-13 18:06 只看該作者

這支新變種我把其他增生檔案送上去檢查會有增生檔都掃得到，原生檔卻掃不到的奇特現象!
難怪常有掃不乾淨的問題會出現!

[ 本帖最後由 jolan 於 2008-9-13 18:10 編輯 ]

TOP

blueway

註冊會員

Rank: 2

帖子: 2
精華: 0
威望: 30
黃金: 22
註冊時間: 2008-4-22

19^# 大中小發表於 2008-10-17 15:09 只看該作者

基本上這隻病毒(j3ewro.exe)我也遇過很多次，
不過倒是沒有遇見有發生會無法上網的情況…

但似乎還真的會是干擾到防毒更新的運作，
真的很機車…
原來有灌卡巴的環境下仍然會被破壞掉，
那也太猛了

TOP

tdnj

註冊會員

Rank: 2

帖子: 2
精華: 0
威望: 30
黃金: 6
註冊時間: 2008-11-15

20^# 大中小發表於 2008-11-15 10:13 只看該作者

有病毒樣本供測試嗎???

TOP

帶您瞭解卡巴斯基2009防禦體系	還有大廠在使用檔案大小判毒	KIS 2009 評測	GDATA 2009中文化簡評
使用過一些防毒軟體之後的心得	Comodo Internet Security Beta	GDATA 2009 行為監控簡評	敢相信掃毒軟體和VT嗎?