磁碟機木馬介紹

「磁碟機」木馬（dummycom）近期頻繁更新，感染率與破壞力遞增。執行後關閉並阻止 360 安全衛士、卡巴、瑞星、金山、江民等安全軟體運行，刪除含「360」字樣檔案。感染後進程出現額外 smss.exe、lsass.exe，用工作管理員結束會導致電腦重啟，並自動下載大量木馬到本機。

技術特點

• 關閉安全軟體手法新穎：發送大量垃圾訊息導致安全程式崩潰，連冰刃也難倖免。
• 釋放檔案：system32\Com 目錄下生成 smss.exe、lsass.exe、netcfg.dll；system32 下生成 dsnq.dll；關機時寫入啟動項。
• 極惡感染方式：感染 SYSTEM32 以外所有目錄的可執行檔，導致感染檔無法使用且部分無法恢復。

感染症狀

1. 系統緩慢、頻繁死機/藍屏/報錯。
2. 進程出現兩個 lsass.exe、兩個 smss.exe，病毒進程用戶名為當前登入用戶。
3. 防毒軟體被破壞無法開啟，多種安全輔助工具失效。
4. 系統時間被竄改。
5. EXE 檔被感染導致圖示變化。
6. 無法進入安全模式。
7. 隱藏檔案無法顯示。
8. 群組原則被破壞。

手動查殺步驟（單分區系統）

1. 改名大法：將 system32 與 dllcache 目錄下的 cmd.exe 暫時改名為 cm.dll，重啟系統觀察。
2. 重啟後檢查：改名後的 cm.dll 仍在，但 system32 下出現異常的 cmd.exe（圖示異常，推測病毒從 I386 復制），可能無法執行。
3. 嘗試手動刪除病毒檔案（若異常 cmd.exe 管用，NetApi000.sys 已載入，病毒完整運行，檔案將無法刪除）。
   結果：所有病毒檔案成功刪除。
4. 刪除 system32 下異常 cmd.exe，將 cm.dll 改回 cmd.exe。

註：多分區系統需對非系統分區再用防毒軟體全盤掃毒，否則無法徹底清除。