注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

猫猫和愉快的伙伴们

非动漫类博客和转载党,加好友申请一律拒绝,非玩笑

 
 
 

日志

 
 
关于我

在下摸神,萝卜爱好者一名,啥都不精的理论家一名,北方欠发达地区的准宅男,坚韧不拔的素组派,正宗泉氏巧克力面包螺手艺传人等等等等…… 因为自己总是很帅,所以新吉翁的军民们都亲切地称呼本人“总帅”…… (如有加好友请求者,请务必认真读完本博首页置顶日志内的详细规则再作决定,未看过者不予通过,只加动漫类博客,其他人一律拒绝,以上非玩笑)

网易考拉推荐

魔王级病毒剿灭记  

2009-03-21 19:20:06|  分类: 个人研究所 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |

经常与电脑维护打交道的朋友都该听说过机器狗这个木马病毒,因为最早以SONY的玩具机器狗AIBO作图标而得名。它的一大特点是能穿透还原,无论是以硬件(还原卡)还是软件(还原精灵等),再看看它带来的那些盗号木马,很明显就是冲着网吧来的。它的第二大特点是顽固,可谓不逊色某国产熊猫的一颗强悍的牛皮糖,本摸所中过的顽固木马中,除了那个q什么32的(当年手工删掉花了半个月),手杀最困难的就是它了。

机器狗本质上是一个木马下载器,其招数主要是替换系统system32下面的控制启动顺序的系统文件userinit.exe,代以一个体积只有十几K、没有版本号的假文件,借以使它在开机时蒙混过关。(如果没有userinit.exe,系统登录时便会不断反复加载注销再加载,反复不止,安全模式也一样)。中招后,一旦拨号上网便会招来木马,甚至网络连接被干掉,连网不能(怕你搬救兵嘛)。

魔王级病毒剿灭记 - 摸神 - 猫猫和愉快的伙伴们

好在现在有了N多的专杀和补丁,但不一定能彻底斩草除根(要知道机器狗有10多个变种),不然也不至于逼本摸去手工删除。比如说360和冰刃等知名软件就因它而启动不能,把360主程序(360safe.exe)改名倒可以启动,然后全面查杀。不过本摸中的貌似是最新变种,被禁止复制粘贴和拖移文件,硬盘根目录文件强制隐藏,文件粉碎失败,简直阻止了手动接触病毒本体的一切可能。

事先说一下,想解决无法粘贴的问题,靠rpcss修复或是用户配置里的组件任务计划是没用的,恢复网络靠启用Network Connections也一样无效——因为问题不在这里 ,关键是userinit.exe。不管怎样,先搞个360机器狗专杀来试试看。

对于新变种而言,专杀软件也未必万能,还是手杀最好!进入安全模式,硬盘根目录文件终于能显示了,不过依然删除不能。经过试验,使用RAR的压缩删除源文件居然成功了,我们需要从其他未感染的同系统机器上拷一个无毒的userinit到U盘或软磁盘,然后BIOS里设置一下启动顺序(FirstBoot是CDROM),以系统安装盘引导启动。

以U盘恢复的话,以系统盘引导进入DOS状态的控制台,然后dir一下盘符,找到文件,以copy命令把U盘里正常的userinit复制到system32下,命令是:

copy g(假设G为该U盘的盘符):\userinit.exe  c(假设C为系统所在盘):\windows(Win2000的话是winnt)\system32\

光盘的做法类似。以磁盘恢复的话,同样以盘引导后进入紧急修复,相对简单一些,方法不作详述。

只要解决了userinit的问题,不能复制粘贴拖移和根目录文件隐藏等问题都会迎刃而解。

如上述方式解除木马的武装后,系统TEMP文件夹下的test.exe和cho+数字的各种文件全部要删除;system32下版本查看不能的文件也是一样,注意被感染的是系统文件的话,就要随时准备干净的替换。

善后工作,别忘了把注册表清理或恢复一下,打上免疫补丁。有360和超兔在,这些应该没什么难度吧。

总结一下,无非就是:
中招后马上断网,重启进入安全模式
使用WINRAR压缩删除system32下的userinit.exe
清除TEMP文件夹下的所有病毒文件
重启设置光驱启动,插入拷有正常userinit.exe的U盘
用系统盘引导进入控制台,选择修复
使用COPY命令复制userinit.exe到system32目录下
重启,用360清理一遍系统,打补丁

机器够灭杀完成。看起来有点繁琐,优点是此过程无需使用其他杀毒软件和专杀,更不必重装系统。
(注意,仅适用于杀掉本摸所中的变种,4月以后的新变种不保证有效)

魔王级病毒剿灭记 - 摸神 - 猫猫和愉快的伙伴们

系统启动成功!终于又看到本人那张多年未变的桌面了,FREEDOM的大头就是美啊~~

  评论这张
 
阅读(582)| 评论(8)
推荐

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2016