熱點推薦:
您现在的位置: 電腦知識網 >> 網絡技術 >> 正文

如何清除蜜蜂大盜

2013-09-12 16:06:58  來源: 網絡技術 
  使用電腦過程中硬盤一陣狂轉後,剛剛還正常運行的軟件程序,如QQ、殺毒軟件、網絡防火牆等紛紛關閉,系統資源也突然升到100%,很明顯系統中病毒了。重新啟動系統後在還沒有進入系統桌面時,殺毒軟件的BOOTSCAN即開始對系統文件進行殺毒。

  果然,殺毒軟件提示用戶系統中存在病毒,並且已經清除,從病毒名稱“PSW.MiFeng”已經看出該病毒就是蜜蜂大盜木馬。既然病毒已經清除,也進入了系統,程序也正常運行,但系統的速度依然非常緩慢,而且會越來越慢。懷疑是木馬沒有被完全清除,嘗試自己手工清除。

查找可疑文件
  一般情況下,感覺自己的系統中了病毒或木馬程序後,我都會查看系統的端口和進程。在任務欄上點擊鼠標右鍵,選擇“任務管理器”命令打開任務管理器。經過仔細地查看,發現一個名為“csrss.exe”的可疑進程。本來該進程應該是系統進程的,但問題是在任務管理器的“用戶名”項目中顯示的是登錄用戶的名稱,而非正常情況下由SYSTEM加載的。

  另外,任務管理器中還有一個“csrss.exe”進程,它的加載用戶就是SYSTEM,由此可見第一個csrss.exe肯定有問題。懷疑該文件可能是其他的惡意程序,而並非蜜蜂大盜的服務端程序,我再通過它打開的端口來進一步驗證。

  運行IceSword(下載地址:http://soft.hackbase.com/50/20051001/7821.html),在彈出的主界面中點擊“端口”按鈕,在列表中的“進程程序名稱”中找到“csrss.exe”這個進程。tw.WINgWIT.coM由於有兩個同樣名稱的進程,所以只能從進程的路徑來判斷哪個是可疑的csrss.exe進程。真正的系統進程csrss.exe是在系統的system32目錄中,而可疑的csrss.exe在system目錄中。

  接著查看system目錄這個csrss.exe進程打開的端口,TCP 2222,從此再一次確認了該可疑進程就是蜜蜂大盜的服務端進程。
徹底清除蜜蜂大盜

  俗話說,擒賊先擒王,首先來查找服務端程序的啟動項。在開始菜單的“運行”選項中輸入“regedit”命令,打開注冊表編輯器。點擊“編輯”菜單下的“查找”命令,搜索“csrss.exe”這個關鍵詞。在眾多的結果中經過排查比較,發現在注冊表的啟動項

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中多出一項名為internet的鍵,啟動的就是蜜蜂大盜的服務端程序,除此以外沒有其他的啟動項。

  刪除該啟動項,發現它沒有再自動生成,說明該木馬沒有對啟動項進行監控。接著通過IceSword的“進程”選項,來結束木馬的進程,結果該木馬同樣沒有重生,總的進程數減少了一個,並且TCP 2222端口也已經關閉。

 
From:http://tw.wingwit.com/Article/Network/201309/958.html
  • 上一篇文章:

  • 下一篇文章:
  • Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.