熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

如何清除紅蜘蛛鍵盤記錄器

2013-09-12 15:54:06  來源: 網絡技術 

  今天剛剛上班不久,病毒診所的王斌醫生就接待了“病人”家屬小張。看著他滿頭大汗的樣子,聽著他急切的敘述,王斌醫生了解到小張的淘寶網的密碼被盜。與此同時,其他的一些賬戶密碼也同時被盜。一聽密碼被盜,王斌醫生的頭腦馬上浮現出“木馬”二字。那麼是什麼木馬這麼厲害呢?從小張口中得知,該木馬在進入系統不久,就會出現資源管理器進程要求連接網絡的提示。www.sq120.com推薦文章

  該木馬運行後不但占用了大量系統資源,而且使系統運行十分地不穩定。木馬會將自己的進程插入到資源管理器的進程中,然後根據黑客設置的窗口標題關鍵字,去獲取指定窗口的鍵盤輸入,從而獲得相關的密碼信息。通過小張述說的木馬特征,王醫生果斷地下了結論:小張的計算機系統被人種植了“紅蜘蛛”木馬。
紅蜘蛛木馬檔案
  “紅蜘蛛鍵盤記錄器”這款木馬可以獲取多種程序中的信息內容,比如即時通訊軟件、游戲、電子郵件等等。該木馬在感染系統後,會在系統的System32目錄中生成RedSpider.dll和RedSpider.exe這兩個文件。其中文件RedSpider.exe是木馬程序的主文件,通過它來調用文件RedSpider.dll來執行,最終通過文件RedSpider.dll來獲取用戶的鍵盤輸入信息。

掌握“蜘蛛”行蹤
  首先打開系統的任務管理器,通過認真的檢測查看後,並沒有發現其中有什麼可疑的進程,王醫生分析該木馬可能是使用了Rootkit技術對木馬進程進行了隱藏。Tw.wInGwIT.Com於是運行IceSword這款可以檢測到隱藏進程的工具,點擊左側工具欄中的“進程”按鈕,結果和在任務管理器查看的結果一樣,也沒有發現任何隱藏的進程。
  既然沒有發現隱藏的進程,那麼還有一種可能就是該木馬使用了線程插入技術。使用線程插入技術的木馬程序都有一個特點,就是喜歡將其線程插入到IE浏覽器或資源管理器的進程中,這主要是由於這兩個進程是Windows系統中最常見的進程。根據小張先前的提示,看來該木馬最有可能將線程插入到資源管理器的進程中(圖2)。
發現藏身之所
  王醫生通過鼠標選擇資源管理器的進程Explorer.exe,接著在這個進程上單擊鼠標右鍵,並選擇菜單中的“模塊信息”命令。然後在彈出的“進程模塊信息”窗口認真查找,果然在其中發現了一個名為“RedSpider.dll”的可疑DLL文件。


 王醫生接著使用System Repair Engineer(SREng)來檢查該木馬出現的啟動項。如果 SREng發現一個可疑的項目,那麼它會以顏色高亮顯示從而提醒用戶。點擊SREng窗口中的“啟動項目”按鈕後,在啟動列表發現了一個名為“RedSpider”的啟動項。該啟動項的名稱和可疑DLL文件一模一樣,所以它就是木馬程序的啟動項。
斷其頭斬其身
  既然已經成功的發現木馬文件的啟動項,現在就可以開始清除木馬了。王醫生首先在SREng的“啟動項目”選項中找到該木馬的啟動項“RedSpider”,接著點擊操作窗口中的“刪除”按鈕將該啟動項刪除掉。

  但是該木馬的進程刪除起來卻有些麻煩,因為要刪除該木馬的進程,首先要結束資源管理器的進程,而資源管理器進程又是系統必須運行的進程之一,操作起來有些棘手。
  好在IceSword可以幫用戶很好的解決。首先在IceSword的進程中選擇資源管理器的進程,接著打開其“進程模塊信息”窗口,在窗口中找到“RedSpider.dll”後點擊“強制解除”按鈕即可卸載該DLL文件。最後打開系統的system32目錄,找到RedSpider.dll和RedSpider.exe這兩個文件進行刪除。
  隨後重新啟動系統再對系統的進程、啟動項、系統目錄進行檢查,沒有發現可疑文件的蹤跡,確定已經將該木馬程序成功的清除了。
防范第一
  “紅蜘蛛”木馬主要還是通過網頁木馬、文件捆綁等方式進行傳播。因此,我們須安裝殺毒軟件來進行木馬程序的實時防護,尤其是腳本監控功能可以及時的發現網頁中鏈接的網頁木馬。
  最後,提醒大家注意,資源管理器的進程是一個本地進程,如果有一天防火牆提示你該進程需要訪問網絡,那麼這個進程一定是被惡意程序所利用了。

 
From:http://tw.wingwit.com/Article/Network/201309/474.html
    推薦文章
    Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.