Mr.mixia_小站,欢迎路过...

 我相信我一定会成功的,因为我一直在努力着...

cmd.exe病毒查杀

上一篇 / 下一篇  2007-05-28 23:41:00 / 个人分类:PC维护知识

首先要显示所有文件,包含系统文件
  跟踪cmd命令,发现cmd命令运行的是
  C:\DOCUME~1\XXX\LOCALS~1\Temp\microsoft.bat,该bat文件内容如下
  
  try
  del "C:\DOCUME~1\XXX\LOCALS~1\Temp\asas.exe"
  if exist "C:\DOCUME~1\XXX\LOCALS~1\Temp\asas.exe" goto try
  del %0
  我不懂bat,大意应该是搜索在其中提到的地方检察asas.exe是否存在,如果存在就删除
  掉,至此终于明白为什么会cpu100%了,因为asas.exe是木马创建的一个系统隐藏文件, 所以cmd删除不了它,于是进入死循环,一直删一直删不了,其实这应该是木马编者的一个bug。
  安全模式下找到microsoft.bat,asas.exe删除,重新启动后2-3分钟cpu再次被cmd占满 跟踪cmd命令,发现每当出现CMD.EXE进程之前都会出现new123.dll进程,搜索c盘发现
是在IE PLUGINS中的一个控件,打开C:\\Program Files\\Internet Explorer\\PLUGINS 发现三个文件都是以new123命名的
  到安全模式下删除C:\\Program Files\\Internet Explorer\\PLUGINS中的new123命名的 三个文件,到C:\DOCUME~1\XXX\LOCALS~1\Temp\删除microsoft.bat,asas.exe文件,
并且再搜索一下注册表关于new123的信息全部删除后
  重新启动,症状解决。
 
    总结:这个木马确实比较高明,卡巴斯基最新版,木马克星最新版都不能发现,
  在进程管理器也根本看不到,他不加载单独的进程,而是通过explorer.exe调入
  new123.sys,每隔10分钟自动检查microsoft.bat和asas.exe文件是否存在,
  如不存在则重新释放文件,所以即使删除了这两个文件,也会再次出现。
  作者本意应该是在盗取有用信息后,试图通过microsoft.bat删除asas.exe,
  然后隔几分钟再生成asas.exe再盗取信息,然后又删除又生成……
  不想木马创建的asas.exe是系统隐藏文件,删除不掉,导致cpu100%。
 
也有群众推荐了一个还不错的一个软件杀木马软件:ewido 。

TAG:

supersuyanyu 引用 删除 ycqmmzok   /   2007-06-03 19:35:00
不错啊,得学习。
 

评分:0

我来说两句

显示全部

:loveliness: :handshake :victory: :funk: :time: :kiss: :call: :hug: :lol :'( :Q :L ;P :$ :P :o :@ :D :( :)

Open Toolbar