Win32.Troj.Unknown.366080病毒_電腦知識網
熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

Win32.Troj.Unknown.366080病毒

2013-09-12 15:53:30  來源: 網絡技術 

  病毒名稱:Win32.Troj.Unknown.366080
  中文名稱:暗組遠控
  病毒類型:木馬程序
  威脅等級:中等
  本期醫生:痛並快樂著
定時關閉端口的Svchost.exe進程
  最近我在論壇中看到網友推薦一款非常好看的播放器,就下載安裝了,在安裝時出現程序錯誤提示,當時以為無法安裝就直接刪除了。沒過幾天,我就在那個論壇上發現了我的一些私人照片。
  我知道電腦中毒了,急忙通知我哥哥,他檢測了我的系統後發現有一個Svchost.exe進程,不但在偷偷地進行數據傳輸,並且還定時關閉傳輸數據的端口。哥哥結束這個進程,沒有想到出現60秒倒計時關機。請問醫生,這個病毒應該怎麼清除?
多重偽裝巧隱藏
  本人綽號“暗組遠程控制2008”, 由於“十八般武藝”樣樣精通,成為黑客進行遠程控制的利器,在“腥風血雨”的網絡中占有一席之地,你的私人照片被盜,就是我的傑作。
  我常常通過文件捆綁、郵件偽裝等方式欺騙用戶並植入系統。由於現在的殺毒軟件都有主動防御功能,因此當我成功進入到用戶系統以後,修改系統服務描述符表(主動防御就靠它起作用)讓主動防御對我在系統中的操作“視而不見”。
  接著,我釋放一個DLL文件到系統中的System32目錄裡面,然後將木馬本身銷毀,將釋放的DLL插入到Svchost.exe進程中,所以一結束Svchost.exe進程就會出現60秒倒計時關機。TW.wingwiT.COM
  為了可以隨著系統自動啟動,我還設置了一個對應的啟動信息。我采用的方法和其他木馬不同,它們往往通過新建的服務來進行啟動,而我是對系統的BITS服務信息(BITS服務是Windows系統自帶的服務之一,可以利用空閒網絡帶寬在後台傳送文件)進行替換,這樣除了可以方便隱藏也能輕松穿透防火牆的攔截。
  除了隱藏功能不錯外,我的控制功能也是相當的強,包括屏幕控制、視頻控制、文件管理、鍵盤記錄等常見的控制功能。利用視頻控制可以打開遠程的攝像頭,從而捕捉到遠程的視頻信息;利用鍵盤記錄功能可以記錄遠程系統的鍵盤操作,比如賬號和密碼的輸入等。所以要盜你的私人照片並不困難!
手工清除“暗組遠控”病毒
  這個病毒很狡猾、很善於隱藏,要捉它要下一番功夫,僅靠殺毒軟件是很難完整恢復系統的。手工查殺方法如下所示:
  第一步:首先運行安全工具WSysCheck,點擊“進程管理”標簽後在進程列表中找到顯示為粉紅色的Svchost.exe進程。選中這個進程後會在窗口下方,看到一個名為12345.dll的DLL文件,選中它點擊右鍵中的“卸載模塊”命令(見圖)。

  第二步:接著點擊程序的“服務管理”標簽,從服務列表中找到紅色的BITS服務。點擊右鍵菜單中的“定位注冊表項”命令,程序自動跳轉到注冊表管理標簽。選擇注冊表中的ServiceDLL這項,點擊右鍵中的“編輯值”命令,然後在彈出的窗口中將值恢復為系統默認的%SystemRoot%\System32\qmgr.dll。
  第三步:然後點擊程序的“文件管理”標簽,在磁盤目錄中依次點擊Windows系統中的System32目錄。找到暗組遠控服務端文件12345.dll後,點擊右鍵中的“直接刪除文件”命令,就能夠成功地將木馬從系統中徹底清除。

 
From:http://tw.wingwit.com/Article/Network/201309/358.html
  • 上一篇文章:

  • 下一篇文章:
  • 推薦文章
    Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.