熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

如何清除Radmin木馬

2013-09-12 15:54:22  來源: 網絡技術 

  網絡安全不可忽視,一不小心就讓你中招。最近Radmin木馬就在網絡上瘋狂流竄作案。如果大家通過清理注冊表啟動項的方法去對付它的話,是不能夠成功清除的。因為Radmin通過服務項啟動,並且極具隱蔽性。大家要是對系統服務不熟悉,還真拿它沒有辦法。但是再狡猾的狐狸也逃不脫獵人的眼睛。下面我們就來看看來自湖南的掃黑尖兵小舟是如何清除狡猾的Radmin木馬的。www.sq120.com推薦文章

情況描述
  電腦的鼠標指針無故滑動,像是被別人在操作。並且電腦裡多了一些軟件程序,其中居然還有寬帶賬號查看器。電腦也有時自動重啟或則關閉。月底去電信營業廳繳上網費,發現莫名多出了使用互聯星空進行網上消費的賬單,可是我並沒有通過電信的互聯星空購買任何東西呀。
揪出幕後黑手
  根據這些情況,我第一感覺就是中了灰鴿子木馬。誰叫灰鴿子 “臭名遠揚”呢?於是馬上升級殺毒軟件,對系統進行全面掃描。但是在漫長的查殺過程中一無所獲。於是我又按照《電腦報》掃黑尖兵所介紹的方法來手工絞殺灰鴿子,但是發現並沒有中灰鴿子木馬。
  真不甘心,我難道還搞不定一個小“馬”?我不氣餒,仔細地排查系統進程,發現了一個可疑進程r_server.exe,發現該進程占用的內存不大,但是電腦在出現我所描述的故障時,便一下子增大了,可見是一個後門程序。tw.WIngWit.cOm馬上結束它,並且打開注冊表在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run的位置尋找可疑的加載值。
  但是讓我失望的是並沒有r_server.exe加載的值,難道它使用什麼最新的高技術?一下子我的思路全斷了。於是我又打開“命令提示符”輸入“netstat –an”來查看計算機的所有連接與端口使用的情況,我查到一個被非法占用的4899端口,並且看到了遠程控制我的IP地址。這下露出馬腳了。
掃除Radmin害人“馬”
  根據種種跡象,在網上查看,我猜測我中的是Radmin木馬。Radmin木馬的默認端口就是4899,並且Radmin不同於普通的木馬使用run加載值,而且該木馬以前被殺毒軟件認為是“良民”的,因為它的原始作用是幫助網管進行遠程操作的。但是被黑客濫用於非法對別人入侵後,殺毒軟件也不得不對它“痛下殺手”了。
  我打開注冊表編輯器,用木馬進程名r_server.exe作為關鍵字進行掃描,很快便搜索到相關的鍵值,我在無意中的點擊中打開了“Display Name”鍵值的修改項,發現數值數據為“Remote Administrator Service”,這應該就是Radmin啟動的服務名稱了,因為Display Name的作用是在服務列表中顯示的名稱。
  到這裡我已經清楚Radmin木馬的工作方式了,它並不是通過run鍵值來加載的,而是通過“服務”來加載的。知道工作方式就好處理了。我打開服務項,依次進入“控制面板→管理工具→服務”,將Remote Administrator Service服務禁用掉,這時我又發現Radmin鍵值下的Image Path值下有木馬程序的目錄,通過目錄將木馬主程序及一些DLL文件刪除掉,再將Radmin主鍵值刪除,Radmin就這樣被驅除了。

  從這個事例,我們可以看到入侵者在小舟的電腦上種上木馬後,盜取小舟的寬帶賬號並通過互聯星空進行消費,這是相當卑鄙的,同時這也是犯罪!阿良在這裡提醒大家,如果沒有使用互聯星空服務的需求,最好去營業廳關閉網上購物的功能,以防有所損失。
  Radmin木馬采用大家都容易忽視的服務方式啟動木馬,增加了大家掃黑的困難。不過還是那句話,再狡猾的狐狸也逃不過獵人的眼睛。只要是木馬,一般都會占用系統的端口,只要我們發現了被非法占用端口,然後順籐摸瓜,就能找到清除木馬的方法。
  最後提示大家,關閉不需要的服務不但可以讓系統性能提高,也可以在一定程度上增加系統的安全系數。如果大家對系統需要的服務不熟悉,可以借助超級兔子優化軟件,在它的啟動優化中可以對系統啟動的服務進行設置。千萬不可自己隨意關閉服務,不然有可能導致系統崩潰。

 
From:http://tw.wingwit.com/Article/Network/201309/525.html
  • 上一篇文章:

  • 下一篇文章:
  • Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.