您的位置:首页网络冲浪系统安全 → autorun.inf、servet.exe和ie777.exe木马的手工杀毒方法

autorun.inf、servet.exe和ie777.exe木马的手工杀毒方法

时间:2007/10/7 15:09:00来源:本站整理作者:我要评论(0)

autorun.inf、servet.exe和ie777.exe木马的手工杀毒方法


近一段时间,网页木马群猖獗。
中招,一般是访问某些挂马的网页时,成堆的木马下载到IE临时文件夹中并悄悄运行。用户发现系统异常时,系统内已经木马成堆了。这类木马群的内容各式各样,但有一点相同之处:其中的病毒模块(常见的是dll文件)狂插系统及应用程序进程,导致杀毒困难。
未打微软的ANI漏洞补丁是中这类网页木马的主要原因。
今天见到有人反映类似情形。按照他给的网址,在未打ANI漏洞补丁的系统上,用IE6.0访问了那个网页。结果如愿以偿,终于第一次亲眼见识了一下ANI漏洞的“风采”。
以下列出中招后用SRENG和IceSword灭掉这群木马的实战流程,供中招的朋友们实战参考。
0、用SRENG 2.3 扫系统日志,保存日志,掌握中毒后的基本情况并为手工杀毒提供必要信息。
1、运行IceSword,禁止进程创建。
2、结束下列被病毒插入的进程以及所有非系统核心进程:
[PID: 1876][C:\windows\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 1464][C:\Program Files\Rising\Rav\RavTask.exe] [Beijing Rising Technology Co., Ltd., 19, 0, 0, 7]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 440][C:\windows\system32\ctfmon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 1832][C:\Program Files\Tiny Firewall Pro\amon.exe] [Computer Associates International, Inc., 6.5.3.2]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 2572][C:\Program Files\Rising\Rav\RAVMON.EXE] [Beijing Rising Technology Co., Ltd., 19, 0, 0, 45]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 3304][C:\WINDOWS\system32\shadow\ShadowTip.exe] [PowerShadow, 1, 0, 0, 1]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 2772][C:\windows\system32\conime.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 2524][C:\WINDOWS\system32\notepad.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 1696][C:\program files\internet explorer\IEXPLORE.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 1800][C:\windows\wsttrs.exe] [N/A, N/A]
[C:\windows\system32\wsttrs.dll] [N/A, N/A]
[PID: 1000][c:\Syswm1i\svchost.exe] [N/A, N/A]
[c:\Syswm1i\Ghook.dll] [N/A, N/A
[PID: 3020][C:\Program Files\Tiny Firewall Pro\UmxTray.exe] [Computer Associates International, Inc., 6.5.1.59]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
[PID: 1348][C:\Program Files\SREng2\SREng.exe] [Smallfrogs Studio, 2.3.13.690]
[c:\Syswm1i\Ghook.dll] [N/A, N/A]
注:由于IceSword是中毒后运行的,因此应查看其进程中是否有病毒模块插入。如果有,须卸除之。
3、删除病毒文件(图1)。
注:C:\Documents and Settings\baohelin\Local Settings\Temp\ie777.exe只有用IceSword才能找到并删除(图2)。ie777.exe似乎是这群木马的“灵魂”,其进程为“隐藏”,但用IceSword和SSM均可见此进程。
4、根据SRENG日志所见,清理注册表(删除下列注册表项):
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]分支下的:
svc
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]分支下的:
333
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]分支下的:
winform
mppds
upxdnf
msccrt
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services分支下的:
WindowsDown
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services分支下的:
NPF
注意:C:\windows\system32\servet.exe感染U盘、移动硬盘等移动存贮介质。如果系统中毒时USB口上有这类设备,请右键打开这些设备,删除其根目录下的autorun.inf和servet.exe。

相关视频

    没有数据

相关阅读 夜下降生ExeLate人物怎么切换形象 人物颜色切换方法一览夜下降生exelate出招表 夜下降生exelate出招表连招视频攻略打开u盘出现copy.exe丢失提示解决方法Mac如何打开EXE文件乐享家提示“DCProcess.exe已停止工作”解决方法explorer.exe服务器运行失败解决方法安装程序无法复制文件zclientm.exe解决方法windows恶意软件删除工具(MRT.exe)使用图解

文章评论
发表评论

热门文章 没有查询到任何记录。

最新文章 U盘传播的病毒 _ U盘病打开U盘才不会中毒的方 alg.exe是什么进程?能不能关闭?nsis error是什么?及解决方法蓝屏错误代码解析 看代码解决问题dotnetfx.exe是什么

人气排行 alg.exe是什么进程?能不能关闭?qq修复工具怎么用如何更改ie收藏夹地址位置(路径)无光驱,无U盘启动,怎样重装系统?nsis error是什么?及解决方法Generic Host Process for Win32 开机后总是六种修复崩溃后WindowsXP系统的技巧exp1orer.exe 病毒清除办法