西户网|西户社区网|官网|户县网站新闻!

西户网/西户社区网(官网)
户县本土 便民 公益 互助  XHUME.CC

 找回密码
 注册会员

扫描二维码登录本站

搜索
查看: 4232|回复: 3

磁碟机病毒木马猖獗 教你应对方法

[复制链接]
发表于 2008-4-4 10:21:40 | 显示全部楼层 |阅读模式

欢迎访问西户网/西户社区网 XHUME.CC

您需要 登录 才可以下载或查看,没有账号?注册会员

x
磁碟机木马最近成为安全领域的热门话题,据悉,进入3月以来,“磁碟机”木马作者已经更新了数次,感染率和破坏力正逐步提高。

  磁碟机木马介绍:

  “磁碟机”木马也叫dummycom,该程序运行后关闭并阻止360安全卫士和卡巴、瑞星、金山、江民等安全类软件的运行,除此之外还会删除系统中含有“360”字样的文件。感染后,进程中会多出smss.exe和lsass.exe进程,使用任务管理器结束后会造成计算机重启,并自动下载大量的木马到本地机器。

  据分析,该木马使用的关闭安全软件的方法和以往不同,其通过发生一堆垃圾消息,导致安全程序的崩溃,连icesword(冰刃)也未能幸免。其在运行后,会在 system32的Com 目录下生成smss.exe,lsass.exe, netcfg.dll等文件并在system32下生成dsnq.dll文件,在关机瞬间会写一个文件到开始菜单的启动项中;

  需要注意的是,该病毒使用极其恶毒的感染方式,感染除SYSTEM32 目录外其它目录下的所有可执行文件(*.exe),导致文件被感染后无法使用且部分文件无法恢复。

  感染磁碟机木马后的症状:

  1、系统运行缓慢、频繁出现死机、蓝屏、报错等现象;

  2、进程中出现两个lsass.exe和两个smss.exe,且病毒进程的用户名是当前登陆用户名;

  3、杀毒软件被破坏,无法正常开启,多种安全辅助工具无法正常开启;

  4、系统时间被篡改;

  5、病毒感染.exe文件导致其图标发生变化;

  6、无法进入安全模式;

  7、隐藏文件无法显示;

  8、组策略被破坏。

  查杀磁碟机木马

  1、用改名大法将system32和dllcache目录下的cmd.exe临时改名为cm.dll(图1),重启系统看看。



2、重启系统后,检查system32和dllcache目录。发现改名后的cm.dll都在,但是,system32目录下出现了一个怪怪的cmd.exe(见下图)。这个cmd.exe的logo不同于正常的cmd.exe,该不会是病毒现从I386目录里找来的吧?汗!估计这DD不能运行。



3、不管这些,先看看病毒文件能否手工删除(如果那个cmd.exe管用,NetApi000.sys即可加载,病毒已经完整运行了。病毒文件是删不掉的)。

  结果:所有病毒文件被一一删除了。

  4、删除system32目录下那个异常的cmd.exe。将system32和dllcache目录下的cm.dll改回cmd.exe。注:我的电脑只有一个分区。处理到这里,就完事了。多分区系统,非系统分区还有病毒。这样处理完后并不能彻底解决问题,还需用杀软全盘杀毒。切记!

图1

图1

图2

图2
发表于 2008-4-4 15:34:32 | 显示全部楼层
中标以后,清理不干净
发表于 2008-4-4 16:12:08 | 显示全部楼层
很实用呀,谢谢楼主了!
发表于 2008-4-4 20:52:30 | 显示全部楼层
小心是否管用呵!
您需要登录后才可以回帖 登录 | 注册会员

本版积分规则

西户网/西户社区网 XHUME.CC 版权所有  陕ICP备11003684号  

本站信息均由会员发表,不代表西户立场,如侵犯了您的权利请发帖投诉【网站营业执照公示】

平平安安

本站信息均由会员发表,不代表西户网/西户社区网 XHUME.CC 立场,如侵犯了您的权利请===>>>发帖投诉

陕公网安备 61012502000141号

快速回复 返回顶部 返回列表