| | | 2008/10/14 | |
| | 風險等級： | 高度威脅 | |
| | 摘 要： | 由於目前正值各大防毒防駭軟體廠商推出2009 年度產品之際，有惡意集團正在利用這個時間點大量散佈流氓廣告軟體"Antivirus 2009" ， 可能的傳播方式為透過IM 、E-Mail 、惡意網站等，一旦使用者不慎受騙安裝，這個流氓廣告軟體會不斷出現偽造的中毒訊息及掃描報告， 詢問使用者是否要移除病毒，但選擇移除病毒時，就會要求購買該軟體的授權，藉此詐騙金錢或信用卡資訊。
防毒防駭廠商趨勢科技將此軟體定義為TROJ_FAKEAV.CX ，惡意行為包括修改使用者桌面設定、綁架IE 瀏覽器等，造成使用者困擾，但卻無法透過正常的方式移除此軟體，中華電信SOC 建議您， 不要隨意瀏覽不明網站及安裝不明軟體，並安裝防毒防駭軟體且定時更新病毒碼，以維持最新的防護狀態，降低中毒的風險。 | |
| | | | |
| | 影響系統 ： | - Windows 98 / ME
- Windows NT / 2000
- Windows XP
- Windows Server 2003
| |
| |
| | | | |
| | 解決辦法： | 若不慎已感染此病毒，建議處理方式如下：
1、關閉系統還原功能 (Windows XP )。
2、更新病毒碼定義檔到最新。
3、請至「工作管理員」中停止影像名稱為AV2009.EXE 的程序，使用Windows 98 / Me 系統的用戶請利用第三方工具停止該程序。如在正常模式下無法停止程序，請至安全模式下進行。
4、刪除登錄檔中的可疑登錄碼 (進行本動作前，請先做登錄檔備份)：
點選「開始」-->「執行」，鍵入「regedit 」，按下確定。
搜尋下列機碼並刪除(雙引號括住的部分)：
- HKEY_CURRENT_USER \Software \Microsoft \Windows \ CurrentVersion \ Run \"ieupdate"
- HKEY_CURRENT_USER \Software \"5A31A7C032FA4A817CA453B790082700"
- HKEY_LOCAL_MACHINE \SOFTWARE \Classes \CLSID \"{037C7B8A-151A-49E6-BAED-CC05FCB50328}"
- HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Explorer \Browser Helper Objects \"{037C7B8A-151A-49E6-BAED-CC05FCB50328}"
離開登錄檔編輯器。
5、刪除病毒程式：
點選「開始」-->「搜尋」。
在輸入方塊內輸入下列字串並刪除搜尋出來的檔案：
- %Application Data% \Microsoft \Internet Explorer \Quick Launch \Antivirus 2009.lnk
- %Desktop% \Antivirus 2009.lnk
- %User Profile% \Antivirus 2009 \Antiviris 2009.lnk
- %User Profile% \Antivirus 2009 \Uninstall Antiviris 2009.lnk
6、利用防毒防駭軟體執行全系統掃瞄。 | |
| | | | |
| | 細節描述： | 當使用者不慎安裝此惡意流氓廣告軟體"Antivirus 2009" 後，此軟體會修改系統啟動區的註冊值，讓每次開機時該軟體都能夠被啟動， ，並且將自己註冊成Browser Helper Object (BHO) 藉此綁架IE 瀏覽器，也有可能下載其它的惡意程式至受駭系統中。
1、若不慎感染此病毒可能被植入的檔案名稱及路徑如下：
- %System%\ieupdates.exe
- %System%\winsrc.dll
請注意：
- %System% 是Windows 系統資料夾，在Windows 98 / ME 是指C: \Windows \System ，在Windows NT / 2000 是指C: \WINNT \System32 ， 在Windows XP / Server 2003 是指C: \Windows \System32 。
- %Temp% 是Windows 暫存資料夾，通常是指C: \Windows \Temp 或 C: \WINNT \Temp 。
- %Windows% 是Windows 資料夾，通常是指C: \Windows 或 C: \WINNT 。
2、若不慎感染此病毒可能被修改的註冊表(Registry ) 如下：
- HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion \Run \"ieupdate"
- HKEY_CURRENT_USER \Software \"5A31A7C032FA4A817CA453B790082700"
- HKEY_LOCAL_MACHINE \SOFTWARE \Classes \CLSID \"{037C7B8A-151A-49E6-BAED-CC05FCB50328}"
- HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Explorer \Browser Helper Objects \"{037C7B8A-151A-49E6-BAED-CC05FCB50328}"
防毒防駭廠商趨勢科技將此軟體定義為TROJ_FAKEAV.CX ，惡意行為包括出現偽造掃毒訊息、綁架IE 瀏覽器等，造成使用者困擾，但卻無法透過正常的方式移除此軟體，中華電信SOC 建議您，不要隨意瀏覽不明網站及安裝不明軟體，並安裝防毒防駭軟體且定時更新病毒碼，以維持最新的防護狀態，降低中毒的風險。 | |
| | | | |
| | 參考資訊： | TrendMicro |
