论坛: 病毒专区 标题: 木马广外男生的一种清除方法!! 复制本贴地址    
作者: 无风之夜 [hacker521]    论坛用户   登录
本帖由 [BearKing] 从 << 菜鸟乐园>> 转移而来

今天测试了一下广外男生木马程序。
测试的版本是gwboy092A。
简单配制了一下(按默认配制做的),产生了一个服务器程序。
运行服务器后,发现在系统目录下(c:\winnt\system32)产生 gwboy.exe 和 gwboydll.dll 两个文件。其中 gwboy.exe 文件可以随意删除,而 gwboydll.dll 文件由于使用了线程插入技术,被插入到了其他应用程序的进程中,不能被删除。
其中 gwboy.exe 被写到注册表启动项中(HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run。

gwboydll.dll 也在注册表中有键值(基本上在HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\下随机产生,搜索注册表可找出来)。

清除木马的方法:

一开始,我照书上介绍的方法,手工开始清除,删除了gwboy.exe,又删除了注册表中的gwboy.exe和gwboydll.dll后,重新启动计算机,发现广外木马照样被加载。清除工作看来很困难,仔细想了想,一定是gwboydll.dll在退出时发现了gwboy.exe被删除后,又从新加载gwboy.exe程序,并添加了注册表启动项。

想看想去,我只好在删除gwboy.exe和注册表相关项后,迅速拔下了电脑主机的电源插座#%$#$%#%^,想利用突然断电,来清除木马。

果然重新启动电脑后,发现木马服务器端没有被加载。虽后我删除了系统目录中的gwboydll.dll,到此,木马清除工作完毕。

注:如果木马改了名字的话,你可以去系统目录中搜索文件大小为115KB、116KB的DLL文件,一般怀疑为木马程序!!
 


地主 发表时间: 08/25 23:59

回复: NightColor [nightcolor]   版主   登录
 汗……   强 

B1层 发表时间: 08/26 00:52

回复: 一松 [yisong]   论坛用户   登录
这么狠?换作是我,呵呵,下不了手。

B2层 发表时间: 08/26 11:36

回复: 无风之夜 [hacker521]   论坛用户   登录
后来想到的,可以在重启计算机后,进入纯DOS模式下面删除系统目录下的gwboydll.dll。

例如:使用WIN98启动盘启动系统,进入DOS模式下删除!


B3层 发表时间: 08/26 17:26

论坛: 病毒专区

20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写:NetDemon

粤ICP备05087286号