流螢木馬是什麼_電腦知識網
熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

流螢木馬是什麼

2013-09-12 15:54:07  來源: 網絡技術 

  流螢木馬是一款全新的國產反彈型木馬程序,它的特點就是服務端小巧,僅有36KB的大小。它的服務端程序之所以小巧,完全是因為它的服務端程序僅僅是一個“下載者”程序。當這個“下載者”程序安裝到系統以後,才會將真正的服務端程序安裝到系統之中,這也就是中招後系統出現假死的主要原因。另外該木馬可以調用包括IE浏覽器在內的眾多系統進程,並且服務端程序運行十分穩定,客戶端程序可以同時對幾個服務端進行操作。www.sq120.com推薦文章
隱私大白天下
  今天,萬大夫接待了這樣一位病人。來者自稱姓馬,他稱早上一個好友打來電話,聲稱在一個論壇發現了自己和我女朋友的照片,這些照片並不是自己上傳上去的。聽病人講到這裡,萬大夫心裡對情況已經有了大致的了解。
  接著萬大夫一邊聽著病人的描述,一邊進行著詳細的記錄。病人告訴萬大夫說:元旦前一天上午有一段時間,系統好像假死一樣不能操作,不過硬盤卻一直在狂轉,好像在下載什麼東西。
  接著出現一個IE浏覽器的連接網絡的提示框,重新啟動後不久又出現其他系統進程的連接窗口。自己怕麻煩就同意通過了,結果自己的照片就被偷了。通過病人的敘述,萬大夫基本上可以肯定這款木馬就是現在網絡中活動異常猖獗的“流螢”木馬。
流螢的隱身術
  當萬大夫確診病情以後,就開始准備進行治療了。首先萬大夫從系統的啟動項著手,准備從中找到木馬程序的啟動項。tw.wiNGwit.COm萬大夫首先選擇查看系統啟動項的佼佼者AutoRuns,點擊AutoRuns的“用戶”選項選擇用戶,接著就會在主界面中將啟動項和進程全部顯示出來。點擊操作界面的“全部”標簽,這樣系統的所有啟動項就一目了然了。
  經過認真檢查,萬大夫很快就在系統服務啟動項中發現一個可疑的啟動項。它之所以引起大夫的注意,並不是它的啟動名稱,而是因為它在列表中的“說明”和“發行商”兩項都沒有任何的標注(圖1),而正規的軟件程序在這兩項中都會有標注。可是該文件也沒有進行偽裝,這不像是黑客慣用的伎倆啊?
  接著萬大夫再來看看系統中有沒有可疑的進程,他使用的是Process Explorer。該軟件可以讓用戶了解看不到的那些在後台執行的程序進程,通過它能顯示目前已經載入的程序模塊、程序所調用的 DLL進程等。Process Explorer最大的特色就是可以結束任何進程,甚至包括系統的關鍵進程都可以結束。
  首先我們應該了解,進程分為兩種。一種是系統進程,即System進程樹下的所有進程;一種是普通進程,即在Explorer進程樹下的所有進程。對於那些擁有獨立進程的木馬程序,使用Process Explorer很容易就能發現的。經過認真查看,在System進程樹下發現了一個名為FireFly.exe的可疑進程(圖2),正好這個可疑進程和那個可疑的啟動項是聯系到一起的。  現在大夫來進行木馬程序的清除工作。首先在Process Explorer的System進程樹下,找到FireFly.exe這個可疑進程,然後點擊右鍵菜單中的“終止進程”按鈕將該進程結束。再切換到AutoRuns窗口,在系統服務中找到該木馬的啟動項Remote Control,同樣點擊鼠標右鍵中的“刪除”命令即可刪除該啟動項。
  由於AutoRuns的刪除是直接對注冊表進行操作的,沒有辦法自動恢復,所以用戶不要看到什麼使人生疑的東西就刪除。如果僅僅是懷疑的話,用的時候把啟動項前面的鉤去掉就可以了。最後來到磁盤的C:\Program Files\firefly-remote文件夾下,將整個文件夾刪除即可(圖3)。
  由於流螢是一款木馬程序,所以它主要是通過網頁木馬、文件捆綁等主要方式進行傳播的。但是人們往往忽略這些環節而“大意失荊州”,以至於在個人信息受到威脅時後悔莫及。從整個木馬清除過程來看,最簡單的可疑程序檢測方法就是參看這些文件的“說明”和“發行商”有沒有具體的內容。如果發現某些文件沒有這些內容的介紹,那麼首先就需要對它們進行重點檢查。
  除此之外我們知道,現在很多具有遠程控制功能的軟件,自身都帶有一個“/u”的卸載參數,運行後服務端就可以完全卸載(圖4)。以後遇到可疑文件就可以用這個參數來試著卸載,流螢的服務端也可以采用這種方式進行卸載。

 
From:http://tw.wingwit.com/Article/Network/201309/479.html
  • 上一篇文章:

  • 下一篇文章:
  • Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.