Zi 字媒體

歡迎來到電癮院 這裡是一個特別的地方，一個對我意義非凡的地方，一個讓我全心全力付出的地方，在這裡我分享了多年來玩電腦的心得，也分享許多我覺得很棒的電影。 堅持要和別人不同，從開始就要和別人做的不一樣，仔細的交待每個操作的過程，分享基本但卻很重要的電腦知識，希望這個部格格的文章，能教會不懂電腦的人一些實用且基本的技能。 我喜歡我的「電癮院」，希望大家也會喜歡電癮院。除了解毒的文章之外，還有更多實用的文章都可以在「網站地圖」找到哦！ 解毒文章整理 P.S：這篇文章是在Windows XP那時代寫的，所以目前還在修正這篇文章的一些內容，儘量符合目前的狀況。 　　電腦中毒怎麼辦？是什麼原因造成電腦中毒？如何判斷電腦有沒有中毒？萬一電腦中毒了要怎麼處理？電腦病毒、蠕蟲(Computer Virus、Worm)、木馬程式(Trojan horse)、惡意、廣告程式(Malware、adaware))要怎麼移除？有沒有需要重灌？那要怎麼重灌電腦？這些是許多人心中的疑問，更是大家想要了解的，針對這些問題，我花了很多心思寫了一系列有關的解毒的文章，如下： 解毒的方法： 電腦中毒了要怎麼辦？處理流程教學總整理 電腦中毒怎麼辦？手動解毒移除教學 電腦中毒怎麼辦？工作管理員的解毒方法 免費防毒軟體下載總整理 減少中毒的觀念： 改變你上網的習慣，杜絕木馬上身 遊戲帳號及雅虎奇摩拍賣帳號被盜事件 怎麼又中毒了？怎麼電腦常常在修理？”>怎麼又中毒了？怎麼電腦常常在修理？ 電腦如何重灌： 電腦重灌前與後的資料備份工作 如何重灌Windows8作業系統教學 以優惠價439元將Windows 7升級到Windows 8專業版流程教學 如何重灌Windows7作業系統教學 如何重灌電腦WindowsXP作業系統教學(上) 如何重灌電腦WindowsXP作業系統教學(下) 磁碟分割與格式化，GDisk教學 使用SATA及SCSI硬碟在安裝WindowsXP會重新開機的問題 WindowsXP驅動程式安裝教學 中毒的案例及解毒示範： 電腦中毒怎麼辮？ADSL可以撥號不能上網？PING [?] 問號 看影片也會中毒!real player自動開啟的廣告 “隨身碟病毒與無法顯示所有的檔案”>隨身碟病毒與無法顯示所有的檔案 W32.Looked.BK感染硬碟中的執行檔 移除流氓軟體Adware.CDN cdnprot.sys示範教學 所有的檔案都被覆寫，變成小惡魔exe檔”>所有的檔案都被覆寫，變成小惡魔exe檔 Windows98裡的木馬程式「4wd!!!/C:\WINDOWS\Natal!.pif」移除教學 每個方法都有它的使用時機，值得你詳細的閱讀，一般來說，可以解決大部份的問題。也許有人會覺得怎麼內容這麼多，好像有點複雜？有沒有簡單一點的方法，當然有!! 送電腦公司。 解毒的流程 解電腦病毒流程只能提供一個大方向，你可以根據情況來做調整解毒的步驟，不一定要依照每個步驟下去操作，而且每個步驟也不一定只會操作一次，例如底下列出的三點，就必需要時常的注意： 步驟【Step 3】檢查登錄表(Registry)：你都可以隨時去檢查一下病毒有沒有復發。 步驟【Step 5】使用工具軟體(Anti-Virus/Spyware/Trojan software)來掃毒：並不是只掃一次就好，通常掃完第一次後都要重新開機，然後再掃一次，目的就是要確認病毒是否真的已經清除掉了。 步驟【Step 4】找出可疑的檔案並移除它：不能保證在開機過後，可疑的檔案會不會再跑出來。 以下就是我整理出來的解毒流程。 【Step 1】如果你是使用WindowsXP，請先關閉「系統還原(System Restore)」 你可以從「開始功能表」中開啟「控制台」->「系統」，出現〔系統內容〕對話盒時，請切換到〔系統還原〕活頁標籤，如下圖： 　　我不曉得該怎麼形容這個「系統還原」，「成事不足，敗事有餘」是我對它的評價，有時真正需要用到它的時候，它都次都給我「還原失敗」，這就算了，這個「系統還原」儲存的地方常常都是病毒的避難所，原因就是防毒軟體沒有辦法清系統還原資料夾(System Volume Information)裡的病毒，所以乾脆就把它關了吧！ 【Step 2】儘可能的更新病毒碼(virus definitions files)及掃毒引擎(Scan Engine) 用過很多防毒軟體，早期最滿意的防毒軟體是賽門鐵克Symantec Antivirus，但後來微軟Microsoft也發行了一套免費的防毒軟體叫「Microsoft Security Essentials」，所以後來我就都改用這一套防毒軟體了。這套微軟提供的免費防毒軟體，只能安裝在原版的Windows裡，而且需要我們額外的下載安裝，但從Windows 8開始，微軟已經直接內建Microsoft Security Essentials防毒軟體於Windows Defender裡了，現在連安裝都不需要安裝了。 如果你電腦不是Windows 8，而且也沒有安裝防毒軟體的話，你可以參考這篇文章「免費防毒軟體下載總整理」，下載一套喜歡的防毒軟體來使用。 【Step 3】檢查登錄表(Registry) 先檢查登錄表上有沒有可疑的值，詳細教學請參考「電腦中毒怎麼辦？手動解毒移除教學」一文，如果有檢查到可疑的值，最好可以在清掉上面登錄值前，先將〔登錄名稱〕及〔資料〕抄下來，一方面是為了怕誤殺，一方面是可以手動的找到這個可疑檔案的位置，如果防毒軟體沒有殺掉它的話，我們就可以手動的刪除它。 關於「可疑的值」，你可比對我在本文最後整理的「有問題」及「正常的」登錄值表格，而兩個表格我會持續的更新。 【Step 4】找出可疑的檔案並移除它 在檔案總管或是命令提示字元中找出剛剛抄下來可疑檔案的位置，並刪除它，教學請參考「電腦中毒怎麼辦？使用工具軟體來解毒」一文，若是因為拒絕存取或是檔案使用中，請使用「Windows工作管理員」，在〔處理程序〕活頁標籤中，將有問題的”處理程序”，使用視窗下方的〔結束處理程序(E)〕來終止它，如果它還是會再度的出現在就先不用理會它，我們會在【Step 6】進入「安全模式」時來處理它，而有關「Windows工作管理員」的使用請參考「電腦中毒怎麼辦？工作管理員的解毒方法」一文。 【Step 5】使用工具軟體完整掃描電腦 由於需要檢查的地方太多且太雜，使用防毒軟體可以幫助我們找到更多我們沒有檢查到的區域，你可以在這裡使用防毒軟體或防木馬軟體來對電腦做完整的掃描，在這個步驟也許會有防毒軟體清除不了的病毒或是木馬程式，別擔心，待會要到「Windows安全模式」再一起解決。 【Step 6】進入安全模式 進入安全模式後，因為系統只載入基本的開機的程序及驅動程式，所以”有可能”病毒就沒有被載入，所以在這個時候來進行清除病毒的動作會比較有效。如果你不曉得怎麼進入Windows XP的「安全模式」，可以先參考下一個段落的教學，之後再回到這裡。 接下來就請做： 使用「檔案總管」或是「命令提示字元」找到【Step 4、5】因為拒絕存取或使用中而殺不掉的檔案，再試著殺殺看。 【Step 3】再次檢查登錄表有沒有可疑的值。 接下來再次使用【Step 5】防毒軟體(Antivirus、adaware)再試著清看看。 如果在安全模式下刪除有問題的檔案時還會出現檔案正在使用中之類的訊息，請參考【Step 8】特別狀況。 【Step 7】重新開機 重新開機後，請再回到【Step 3】，再次檢查所移除的程式有沒有復發的現象。 (如果你發現已經殺掉的木馬會一再的復發，就要請找更專業的人士解決，或是重灌了。如果你還想再繼續解的話，你可以上網去搜尋這個木馬的相關資料，再想對策來解決) 【Step 8】. 特別狀況(以下操作比較困難) 特別狀況中的處理方法會使用到一些光碟，有些使用者可能沒有這些光碟所以沒有辦法操作。 1). 如果可疑檔案所在磁碟的檔案系統是FAT32、FAT16，那你可以直接使用Dos開機片開機後再做清除的動作，這時不管什麼檔案，絕不會再出現「檔案使用中或拒絕」的情況。(在這個裡你必需要會基本的Dos指令，才有辦法操作) 2). 如果所在磁碟的檔案系統是NTFS的話，你可以利用WindowsXP的光碟片開機，進入到安裝程式選擇時，按【R】按鍵，進入復原主控台，然後Dos指令清除這些檔案。(在這個裡你必需要會基本的Dos指令，才有辦法操作，詳細進入的方法請參考「電腦突然就不能開機了？NTLDR is missing」) 3). 另外，你也可以使用WinPE光碟直接開機，這時不管什麼檔案或是檔案系統，也都直接可以做刪除的動作，因為開機並不是使用到原本的WindowsXP系統，而是使用光碟上的開機系統)。 你可以下載微軟官方所釋出的WinPE映像檔(繁體)，或自行到各大論壇去尋找下載檔。 如何進入Windows XP的「安全模式」？ 進入「安全模式」的方法，請你在打開電腦之後，看到WindowsXP開始的圖案之前，一直的按「F8」按鍵，之後會出現一個黑底白字的畫面，這時請選擇第一個「安全模式」進入，如果你會命令提示字元，也可以選擇「安全模式(含命令提示字元)」： 　　之後的畫面如下，請直接按「Enter」繼續。   進入Windows後請選擇一位使用者進入後，你會看到此「桌面」對話盒，這時請按〔是(Y)〕按鈕：   進入到桌面後，你會發現到和平常的桌面不太一樣，四個角落都有「安全模式」的文字，而且顏色變的怪怪的，這是因寪Windows只載入基本的裝置驅動程式。 有關網友FLYMOONX對系統還原的疑問 「病毒真的是都藏在系統還原裡面嗎？」謝謝Flymoonx問了這麼好的問題。 這個答案是肯定的，我有多次看到病毒在「System Volume Information」系統還原資料夾出現過，而且，在Symantec的官方標準解毒程序裡，開宗明義的第一個步驟，就是要關閉系統還原(Disable System Restore) ，其原因就是防毒軟體無法進入這個區域掃毒，所以就要靠關閉系統還原的功能將裡面的病毒清除，以免病毒再次復發。而在病毒完全清除後，你還是可以再次打開系統還原這個功能。 根據微軟Microsoft技術文件說明，「系統還原」功能不允許公用程式操控此資料夾與檔案，由於這一點，防毒程式無法移除此資料存放區中檔案的病毒。 　　這樣的規則到最後，防毒軟體乖乖的聽從「系統還原」指示不能越軌進入，而木馬病毒只把「系統還原」的遊戲規則當參考用，在資料夾內進進出出的，防毒軟體要抓它時，就躲進去在裡面大笑：「呆子，抓不到~~」。 賽門鐵克其中一種病毒的解毒步驟：W32.Rontokbro.AN@mm 微軟的說明文件：防毒軟體工具無法清除在還原資料夾內受到感染的檔案(Antivirus Tools Cannot Clean Infected Files in the _Restore Folder) 有問題的登錄值總整理 只要你發現你的登錄值裡有符合以下任何一個值，直接刪除它就對了! 表格 1: 常見木馬病毒程式登錄值。(Last Updated:2007/12/22) 名稱 資料 cmdbcs C:\WINDOWS\SVCHOST.EXE cmdbcs C:\WINDOWS\cmdbcs.exe fzg C:\WINDOWS\Config\svhost32.exe svchost C:\WINDOWS\system32\SVSH0ST.EXE load C:\WINDOWS\uninstall\rundl132.exe mhsa C:\DOCUME~1\使用者帳號\LOCALS~1\Temp\mhso.exe mnsa C:\DOCUME~1\使用者帳號\LOCALS~1\Temp\mnso.exe msccrt C:\WINDOWS\LSASS.EXE MsIMMs32 C:\WINDOWS\12Sy.exe qjsa C:\DOCUME~1\使用者帳號\LOCALS~1\Temp\qjso.exe rxsa C:\DOCUME~1\使用者帳號\LOCALS~1\Temp\rxso.exe tlsa C:\DOCUME~1\使用者帳號\LOCALS~1\Temp\tlso.exe wlsa C:\DOCUME~1\使用者帳號\LOCALS~1\Temp\wlso.exe wosa C:\DOCUME~1\使用者帳號\LOCALS~1\Temp\woso.exe ztsa C:\DOCUME~1\使用者帳號\LOCALS~1\Temp\ztso.exe WSVBRS C:\WINDOWS\RUNDLL32.exe upxdnd C:\WINDOWS\upxdnd.exe svc C:\DOCUME~1\使用者帳號\LOCALS~1\Temp\byetmr.exe 1MJPMIG_ C:\WINDOWS\IMEINPUTS.EXE wssttrs C:\WINDOWS\wssttrs.exe Microsoft Autorun9 C:\WINDOWS\system32\Ravasktao.exe Microsoft Autorun14 C:\WINDOWS\system32\ztinetzt.exe Microsoft Autorun5 C:\WINDOWS\system32\mosou.exe Microsoft Autorun10 C:\WINDOWS\system32\nwizwmgjs.exe Microsoft Autorun6 C:\WINDOWS\system32\mydata.exe MailScanner C:\DOCUME~1\使用者帳號\LOCALS~1\adsl.exe system C:\Program Files\Common Files\system\Updaterun.exe kava C:\WINDOWS\system32\kavo.exe Iexplore Data2 Center13 C:\WINDOWS\System32\firestore3.exe sck12 C:\WINDOWS\system32\helpsys.exe sixer5 C:\WINDOWS\system32\ssc.exe sysms C:\WINDOWS\system32\sysem.exe Systam13 icsws.exe Windows Shield igkxibxhu.exe mmsass mmdmm.exe johkjh C:\WINDOWS\system32\srvd.exe melg3445 C:\WINDOWS\system32\mdmdd.exe HOT FIX G0ahic.exe hotfix msnnmaneger.exe johkjh C:\WINDOWS\system32\srvd.exe melg3445 C:\WINDOWS\system32\mdmdd.exe mmsass mmdmm.exe sck12 C:\WINDOWS\system32\helpsys.exe sysms C:\WINDOWS\system32\sysem.exe 持續更新中… 安全的登錄值總整理 以下整理的登錄值都是一般常見正常的登錄值，請不要動到它。 表格2: 常見一般正常程式的登錄值。 名稱 資料 IMJPMIG8.1 “C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE” /Spoil /RemAdvDef /Migration32 MSPY2002 C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC NvCplDaemon RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup NvMediaCenter RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit nwiz nwiz.exe /install PHIMETIPSYNC C:\Program Files\Common Files\Microsoft Shared\IME\IMTC65\PHONETIC\TINTLCFG.EXE /PHIMETIPSync Smapp C:\Program Files\Analog Devices\SoundMAX\SMTray.exe ctfmon.exe C:\WINDOWS\system32\ctfmon.exe Yahoo! Pager “C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe” -quiet MSMSGS “C:\Program Files\Messenger\msmsgs.exe” /background msnmsgr “C:\Program Files\MSN Messenger\msnmsgr.exe” /background swg C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe Skype “C:\Program Files\Skype\Phone\Skype.exe” /nosplash /minimized 持續更新中…