| 槐花村人 |
2008-03-17 14:29 |
磁碟機(jī)病毒木馬的查殺方法
磁碟機(jī)木馬最近成為安全領(lǐng)域的熱門話題，據(jù)悉，進(jìn)入3月以來，“磁碟機(jī)”木馬作者已經(jīng)更新了數(shù)次，感染率和破壞力正逐步提高。 W7WHDL^
Ebs] ]a>PO
磁碟機(jī)木馬介紹：
Yc]k<tQ
Nm z 5:Rq
“磁碟機(jī)”木馬也叫dummycom，該程序運(yùn)行后關(guān)閉并阻止360安全衛(wèi)士和卡巴、瑞星、金山、江民等安全類軟件的運(yùn)行，除此之外還會刪除系統(tǒng)中含有“360”字樣的文件。感染后，進(jìn)程中會多出smss.exe和lsass.exe進(jìn)程，使用任務(wù)管理器結(jié)束后會造成計(jì)算機(jī)重啟，并自動下載大量的木馬到本地機(jī)器。 t;VMtIW+E
)jgz(\ KZ
據(jù)分析，該木馬使用的關(guān)閉安全軟件的方法和以往不同，其通過發(fā)生一堆垃圾消息，導(dǎo)致安全程序的崩潰，連icesword（冰刃）也未能幸免。其在運(yùn)行后，會在 system32的Com 目錄下生成smss.exe,lsass.exe, netcfg.dll等文件并在system32下生成dsnq.dll文件，在關(guān)機(jī)瞬間會寫一個(gè)文件到開始菜單的啟動項(xiàng)中； -c?x5/@3
f |B\Y/*X
需要注意的是，該病毒使用極其惡毒的感染方式，感染除SYSTEM32 目錄外其它目錄下的所有可執(zhí)行文件(*.exe)，導(dǎo)致文件被感染后無法使用且部分文件無法恢復(fù)。 ^g6v#]&WA
z3i `O
La
感染磁碟機(jī)木馬后的癥狀： KBtqtE'(L
!9
kN L
1、系統(tǒng)運(yùn)行緩慢、頻繁出現(xiàn)死機(jī)、藍(lán)屏、報(bào)錯(cuò)等現(xiàn)象； 51|s2+GG
2、進(jìn)程中出現(xiàn)兩個(gè)lsass.exe和兩個(gè)smss.exe，且病毒進(jìn)程的用戶名是當(dāng)前登陸用戶名； f\=
@jV
3、殺毒軟件被破壞，無法正常開啟，多種安全輔助工具無法正常開啟； ,H"}Rw
4、系統(tǒng)時(shí)間被篡改； E*5aLT5!,
5、病毒感染.exe文件導(dǎo)致其圖標(biāo)發(fā)生變化； 8Pa*d/5Y(
6、無法進(jìn)入安全模式； k
6[
7、隱藏文件無法顯示； 5}hQIO&^%
8、組策略被破壞。 4
| |