手工剿灭木马“advapi32”
具体的不知道从哪天起，我的Maxthon浏览器宛如不克不及阻拦一些网站的广告了，屏幕的右下角也时时的呈现如QQ广告一样的东西，一开始以为是网站和QQ的广告。但越用越不合错误劲，仔细一看，右下角的根本就不是QQ的广告，出来的整个广告便是一个链接，不像QQ广告表面另有一个框，鼠标放在上面是不会酿成手形的，而这个广告，无论鼠标放在什么中央都是手形的。我开始怀疑我中招了，将杀毒软件升级到最新也不克不及查杀，打开浏览器，上网搜索，发明也有朋侪中了这种木马，但该网友提供的方法并不克不及删除木马，无赖之下只好本身“入手”了，以下便是我的整个手工扫除木马的历程，写出来与各人分享。
1、常规操纵
打开任务办理器，查看进程，并没有发明什么不良进程。
2、深化发掘
运转Regedit，顺次睁开HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，一看，公然多了个新家伙Advapi32，一看键值，居然加载的是一个Dll文件，而这个文件位于C:\WINDOWS\Downloaded Program Files目次下的_IS_0518目次中。找到了根源就好办了，先删除了启动项，再删除对应的木马文件就行了，但到了C:\WINDOWS\Downloaded Program Files目次一看，发明这些文件根本看不到（开启了显示隐藏文件项）。且重启之后启动项又呈现了，很显然，这个木马监视注册表，且文件隐藏。为了剿灭彻底，以下步调是进入安全形式落伍行的（开机时按住F8键或Ctrl键不放直到启动菜单呈现）。
在第三步之前，我曾尝试直接用第四步的方法删除木马文件，但发明重启之后木马并没有消散，因此开端果断该木马存在备份文件。
3、扫除木马备份文件
打开“我的电脑”进入C:\Windows目次，发明一个可疑目次Backup，进去一看，公然启动项加载的Dll文件也在内里，但启动项加载的却不是这个目次中的文件，很显然这个目次便是木马的备份，先删除这个备份目次再说，但刚刚删除，大概一两秒的时间这个目次又被重新建立。这个木马还真狡猾，居然在安全形式还能自动加载且监视备份文件，一旦备份文件被删除，马上又会建立。正所谓“以彼之道还施彼身”，它能监视且能自动建立备份目次，我要是能先将目次删除，然后抢在它的后面建立目次不就行了吗？因为Windows是不容许统一目次下有两个文件或目次同名的。但从备份目次被删除到被重新建立中间的间隔太短了，手工肯定是不可的，那么就用Dos时代的批处置惩罚吧！先建立如下的批处置惩罚文件，命名为Kill.bat，双斜杠之后是注释，实际操纵时无需输入。
Move c:\windows\backup c:\windows\bak //将Backup目次重命名为Bak
Md c:\windows\backup //在C:\windows下建立Backup目次
这时再打开“我的电脑”，顺次进入C:\windows目次，将Bak目次删除，即完成了木马备份文件的删除。
4、扫除木马文件
重新建立一个批处置惩罚文件，命名为Kill2.bat，内容如下。
cd c:\ //将以后途径改为C:盘的根目次
cd C:\WINDOWS\Downloaded Program Files //将以后途径改为C:\WINDOWS\Downloaded Program Files
move _IS_0518 c:\bak//将以后目次下的_IS_0518目次挪动到C:根目次下并重命名为bak
打开“我的电脑”，进入C:\，删除Bak目次，再进入C:\windows目次，删除Backup目次，即完成了木马文件的扫除。
5、清算注册表
运转Regedit，分别将下面所列的键删除。HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Advapi32
HKEY_CURRENT_USER/Software/advapi32
至此，Advapi32木马（因为在网上也没查到此木马的名字，所以就用它的自启动项键名来代替了）手工清算终了。
注：
1.第三步和第四步顺序千万不克不及对换，因为只有先删除备份文件，再删除木马文件，这时因为木马文件没有了，备份文件也没有了，所以木马也就没措施重新建立文件了。
2.以前也在报刊上看到过手工扫除木马的例子，但大部分都是一些利用进程查看东西竣事进程来实现的，由于此木马进程假装隐蔽，笔者曾用IceSword查看，虽能开端果断木马隐藏在Svchost.exe进程中，但由于Windows XP中Svchost.exe进程比较多，所以不好果断其具体的隐藏地位，竣事进程的方法也就不好实现了，反而用本文所提的方法就能轻松将木马剿灭。
3.本方法在Windows XP Pro ＋ SP2下测试通过。
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
