新的隨身碟病毒uret463.exe

t385 — Fri, 19 Jun 2009 10:00:40 +0800

太相信防毒程式的下場

今天客戶有一台電腦的Avira小紅傘出現不能更新的狀況，查了一下防毒程式的記錄有抓到一隻隨身碟病毒，由於又送去一台新裝程式的電腦，所以就用新的電腦教客戶如何正確使用隨身碟：

先按住【Shift】鍵再插入隨身碟或讀卡機。
打開「我的電腦」在隨身碟的代號按滑鼠右鍵選擇〔Scan selected files with AntiVir〕用小紅傘掃毒。
果不其然嗶嗶叫了幾聲：有抓到毒了。
掃完了之後移除隨身碟再重新插入（一樣按著Shift鍵）。
點擊隨身碟的磁碟代號，結果電腦停了一下子，然後小紅傘出現了以下的警告：抓到了一隻藏在「c:\windows\system32\drivers\klif.sys」這個檔案的病毒「RKIT/Agent4160」：

再點擊C磁碟、D磁碟都出現相同的警示，看來小紅傘這次又破功了，所以正確的隨身碟使用步驟請參考本文最後面的說明，現在就先來看一下這隻毒到底是怎麼入侵的...

啟動 Windows XP 時，黑色啟動畫面可能會短暫出現，而且電腦會不斷重新開機

t385 — Thu, 17 Jul 2008 10:16:40 +0800

徵狀
當您嘗試啟動 Windows XP 時，黑色啟動畫面可能會短暫顯示，接著電腦會不斷重新開機。

發生的原因
這個問題會發生在下列情況：

•    嚴重的系統錯誤 (STOP 錯誤) 導致電腦停止。
•    您在 [系統內容] 的 [啟動及修復] 對話方塊中，在 [系統失敗] 之下選取了 [自動重新啟動] 選項。
•    Windows XP 分頁檔案比電腦所安裝的實體記憶體數量還要小，或是硬碟上的空間不夠用來寫入錯誤傾印檔案 (Memory.dmp)。
Windows XP 可能在啟動過程中發生問題，導致發生 STOP 錯誤訊息。根據不同的系統設定，此時藍色畫面的顯示時間可能會不夠讓您用來記錄此錯誤訊息。

解決方案
如果需要替代的解決方案，請變更啟動過程，這樣您就可以蒐集有關 STOP 錯誤訊息的重要資訊。如果要執行這項操作，請依照下列順序所示的方法執行：

注意：請在執行這些替代解決方案之前，先嘗試以安全模式啟動電腦。這樣您或許就可以疑難排解 STOP 錯誤訊息。

方法 1
1.    嘗試使用「修復主控台」取代修復目錄裡的登錄 Hive，接著再以「系統還原」將系統還原成目前的狀態。

方法 2
警告：不當使用「登錄編輯程式」可能會導致嚴重的問題，甚至必須重新安裝作業系統。Microsoft 並不保證可以解決您不當使用「登錄編輯程式」所導致的問題。請自行承擔使用「登錄編輯程式」的一切風險。
1.    將 Windows XP 安裝到不同的資料夾。
2.    按一下 [開始]，再按一下 [執行]。
3.    在 [開啟] 方塊中，輸入 regedit，然後按一下 [確定]。
4.    瀏覽至下列登錄子機碼：
HKEY_LOCAL_MACHINE
5.    按一下 [檔案] 功能表的 [載入 Hive 控制檔]。
6.    瀏覽到原來 Windows XP 安裝位置中的 System 檔案。

根據預設，System 檔案會存放在下列位置：
%SystemRoot%\System32\Config\System
7.    在收到提示提供機碼名稱時，請在 [載入 Hive 控制檔] 對話方塊中輸入任意名稱。

這時原來的 HKEY_LOCAL_MACHINE Hive 就會載入成為目前機碼的子機碼。
8.    在此 arbitrary name 機碼中 (其中 arbitrary name 是您為原來 Windows 安裝 HKEY_LOCAL_MACHINE 登錄機碼所指定的名稱)，瀏覽至下列登錄子機碼：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\CrashControl
9.    在 [登錄編輯程式] 視窗的右邊窗格中，按兩下 [AutoReboot]。
10.    在 [數值資料] 方塊中，輸入 0，然後按一下 [確定]。
11.    按一下減號 (-)，摺疊 HKEY_LOCAL_MACHINE 登錄子機碼。
12.    按一下 [檔案] 功能表的 [解除載入 Hive 控制檔]。
13.    按一下 [檔案] 功能表上的 [結束]。
這樣便可停用原來 Windows XP 安裝的 [自動重新啟動] 選項功能。依照這些步驟執行之後，您或許就可以蒐集有關 STOP 錯誤訊息的資訊，並解決造成電腦無法啟動的問題。

方法 3
如果分頁檔案的最小大小設定比實體記憶體數量還要小，您可能就需要使用另一種替代解決方案。Windows XP 要求系統磁碟機的分頁檔案大小必須能夠容納所有實體記憶體再加上 1 MB，這樣才能夠寫入偵錯資訊。您可以修改原來安裝的 PagingFiles 值，這樣 STOP 錯誤訊息就能建立傾印檔案。系統磁碟機必須為分頁檔案提供足夠的磁碟空間。

如果要變更原來 Windows XP 安裝位置下 System 檔案中的 PagingFiles 值，請依照下列步驟執行：
1.    按一下 [開始]，再按一下 [執行]。
2.    在 [開啟] 方塊中，輸入 regedit，然後按一下 [確定]。
3.    瀏覽至下列登錄子機碼：
HKEY_LOCAL_MACHINE
4.    按一下 [檔案] 功能表的 [載入 Hive 控制檔]。
5.    瀏覽到原來 Windows XP 安裝位置中的 System 檔案。根據預設，這個檔案會存放在下列位置：
%SystemRoot%\System32\Config\System
6.    在收到提示提供機碼名稱時，請在 [載入 Hive 控制檔] 對話方塊中輸入任意名稱。

這時原來的 HKEY_LOCAL_MACHINE Hive 就會載入成為目前機碼的子機碼。
7.    在此 arbitrary name 機碼中 (其中 arbitrary name 是您為原來 Windows 安裝 HKEY_LOCAL_MACHINE 登錄機碼所指定的名稱)，瀏覽至下列登錄子機碼：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\Memory Management
8.    在 [登錄編輯程式] 視窗的右邊窗格中，按兩下 [PagingFiles]。
9.    在 [數值資料] 方塊中，編輯 c:\pagefile.sys 之後第一個出現的數值 (其中 c: 是存放 pagefile 的磁碟機)，將此值提高到至少比電腦實體記憶體數量多出 1 MB 的數值。

注意：請不要輸入比電腦可用硬碟空間數量還大的數字。

舉例來說，下列數值會顯示分頁檔案最小大小為 130 MB、而最大大小為 256 MB。
c:\pagefile.sys 130 256
10.    按一下 [確定]。
11.    在所載入原來 Windows 安裝的登錄 Hive 中，瀏覽至下列位置：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\CrashControl
12.    在 [登錄編輯程式] 視窗的右邊窗格中，按兩下 [CrashDumpEnabled]。
13.    請在 [數值資料] 中輸入 1 (如果尚未出現這個值)，再按一下 [確定]。
14.    按一下減號 (-)，摺疊 HKEY_LOCAL_MACHINE 登錄子機碼。
15.    按一下 [檔案] 功能表的 [解除載入 Hive 控制檔]。
16.    按一下 [檔案] 功能表上的 [結束]。
17.    嘗試啟動原來安裝的 Windows XP。當發生 STOP 錯誤時，記憶體傾印資訊就會存放到分頁檔案中。
18.    重新啟動電腦，並選取平行安裝的 Windows XP。這樣便可以建立傾印檔案，同時您或許可以使用這份資訊，來解決導致原來安裝出現 STOP 錯誤訊息的問題。

注意：傾印檔案會存放在 %SystemRoot%\Memory.dmp 檔案，其中 %SystemRoot% 是平行安裝系統資料夾。
19.    按一下 [開始]，然後以滑鼠右鍵按一下 [我的電腦]，再按一下 [內容]。
20.    按一下 [進階] 索引標籤，然後按一下 [啟動及修復] 下的 [設定]。
21.    按一下以清除 [自動重新啟動] 核取方塊，然後按一下 [確定]，接著再按一下 [確定]。
22.    重新啟動電腦。現在當您嘗試關閉電腦時，應該就會顯示完整的訊息。

方法 4
請在重新啟動時，使用新的 [Disable automatic restart on system failure] 開機選項。如果已選取了這個選項，您就可以取得 STOP 錯誤碼，再因應實際情況繼續執行。

Windows XP 登入畫面未出現，而且電腦不斷地重新啟動

t385 — Thu, 17 Jul 2008 10:14:52 +0800

徵狀
當您啟動電腦時，出現 Microsoft Windows XP 啟動畫面，然後電腦就會重新啟動。Windows XP 登入畫面沒有出現。

發生的原因
如果 Kernel32.dll 檔案已遺失或損毀，就會發生這個問題。

解決方案
如果要解決這個問題，請使用 [Windows 修復主控台]，從原始的 Windows XP CD 將新的 Kernel32.dll 檔案複本解壓縮出來。如果要執行這項操作，請依照下列步驟執行：
1.     啟動 [修復主控台]。如果沒有安裝 [修復主控台]，請從 Windows XP CD 啟動此程式。如果要執行這項操作，請依照下列步驟執行：
a.     插入 Windows XP CD，再重新啟動電腦。如果收到提示，請選取從 CD 啟動時所需要的任何選項。
b.     當 [安裝] 程式的文字部分開始時，請遵循出現在畫面上的指示。如果要選取修復或恢復選項，請按下 R。
c.     如果您使用雙開機方式或多開機方式的電腦，請從「修復主控台」選取您所必須使用的安裝。
d.     出現提示時，請輸入系統管理員密碼。
2.     在命令提示字元中輸入 cd system32，再按下 ENTER。
3.     輸入 ren kernel32.dll kernel32.old，然後按下 ENTER。
4.     輸入 map，然後按下 ENTER。
5.     記下含有 Windows XP CD 的光碟機代號。其格式會與下列格式相似：

D:\Device\CdRom0


6.     輸入下列命令，然後按下 ENTER：
expanddrive\i386\kernel32.dl_
其中drive 是含有 Windows XP CD 的光碟機代號)。例如，輸入：
Expand d:\i386\kernel32.dl_
注意請在 Kernel32.dl_ 中的 L 之後加上底線字元。

您會收到下列訊息：

Kernel32.dll
            1 file(s) expanded. (已經解壓縮 1 個檔案)。


7.     輸入 exit。電腦便會重新啟動。
8.     移除 Windows XP CD，再用一般方式啟動電腦

把心晾乾了，管它陰雨天

新的隨身碟病毒uret463.exe

太相信防毒程式的下場

啟動 Windows XP 時，黑色啟動畫面可能會短暫出現，而且電腦會不斷重新開機

Windows XP 登入畫面未出現，而且電腦不斷地重新啟動