熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

DG遠程控制木馬

2013-09-12 15:29:01  來源: 網絡技術 

       讀者反映:鼠標的詭異滑動

  這幾天我上網後就發現自己的鼠標有些失靈,因為無法對它進行控制操作。本以為是鼠標的接口有些松動而接觸不良,可是後來我發現鼠標竟然在屏幕中滑動,好像有另一個人在進行控制一樣。我當時懷疑中毒了,於是請了一個懂電腦的鄰居幫我查看,經過他檢測後,發現系統的Messenger服務被替換了(圖1)。請問醫生,這是什麼病毒造成的?

病毒自述:我要當“帶頭大哥”
  無論是鼠標的詭異滑動,還是Messenger服務被替換,都是由我一手來完成的。首先請允許我進行自我介紹,本人的大名是“DG遠程控制”。DG就是大哥的意思,表示我要做國產遠控木馬的“帶頭大哥”。
  我通過網頁木馬或文件捆綁,悄悄地進入到用戶系統中並運行。運行完成以後,我會在系統的Windows或System32目錄中,釋放一個DLL文件。文件的名稱可以進行自定義設置。然後服務端文件會進行“自我銷毀”,避免被用戶發現後引起懷疑。
  接著,我會新建服務或替換服務,讓自己可以隨著系統的啟動而自動運行。至於到底是新建服務還是替換服務,就看我的主人怎樣設置了。不過如果是默認選擇的話,我會采取“替換服務”這種啟動方法,我就可以替換Messenger服務。Tw.wiNGwit.com這樣既不容易引起用戶的注意,也不容易被安全工具檢測出來,而且還可以成功地突破殺毒軟件的主動防御。
  當我忙完上面的這些活以後,就會將自身插入到系統進程Svchost.exe中。之所以選擇Svchost.exe系統進程,是因為Windows系統包含了多個Svchost.exe的進程,用戶不容易發現其中的一個有問題。現在我開始自動連接黑客的電腦,連接成功後接受黑客的遠程控制指令。我有屏幕控制、視頻監視、音頻監聽、文件管理等功能,其中屏幕控制功能是我最自豪的。因為我的這個功能是目前國產遠控中,速度最快、效果最好的。
本期醫生:修復服務清除病毒文件
  DG遠程控制病毒雖然采用了各種隱藏方法,但卻逃不過我的“火眼金睛”,要清除它只不過是彈指間的事。具體地清除方法如下:
  第一步:首先運行安全工具WSysCheck,點擊“進程管理”標簽可以看到一個粉紅色的Svchost.exe進程,這就是被木馬線程插入的進程(圖2)。從圖中我們可以看到,這個木馬默認的名稱為12345.dll,但也有可能是其他的名稱內容信息。現在選擇這個被利用的進程,通過鼠標右鍵中的“結束這個進程”命令來終止它。

  第二步:接著點擊程序的“服務管理”標簽,會看到一個紅色的Messenger系統服務,說明這個系統服務已經被木馬進行修改。選擇被修改的Messenger服務後,點擊右鍵中的“定位注冊表項”,然後在出現的窗口選中Messenger服務中的Parameters項,然後雙擊窗口中的ServiceDLL,將內容替換為系統默認的%SystemRoot%\System32\msgsvc.dll或直接刪除即可。

  第三步:然後點擊“文件管理”標簽,在模擬的資源管理器窗口中,在系統的Windows或System32目錄中,找到12345.dll這個文件後點擊右鍵選擇菜單中的“刪除選中的服務”命令即可。
小知識:病毒為什麼要替換系統服務?
  很多病毒會替換系統服務,之所以這麼做是想利用Windows系統的Svchost.exe進程。Svchost.exe經常通過讀取系統服務的注冊表信息,就可知道應該調用哪個動態鏈接文件。修改系統服務後,病毒可以利用Svchost.exe進程啟動病毒。另外,不少安全工具在檢測時常常會過濾系統服務而不進行檢查,給病毒可乘之機。

 
From:http://tw.wingwit.com/Article/Network/201309/139.html
  • 上一篇文章:

  • 下一篇文章:
  • Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.