|
一個木馬的查殺過程和註冊表之預防木馬篇
一個木馬的查殺過程和註冊表之預防木馬篇
寫這個文章的目的，是讓大家知道，遇到木馬後應該怎麼辦
因為這個木馬是我第一次接觸，我想我殺木馬的經歷，應該會對大家有幫助的吧
至於這個木馬的具體情況，來源，功能等詳細內容，我沒研究，反正zer說要寫一篇文章出來的
昨天晚上，zer4tul給我了個木馬（exelinks.exe），讓我來試試，呵呵。
收到後，運行，沒有任何反應
然後，我查看進程，先把exelinks進程殺掉，然後運行regedit
…………………………
……………………………………
……………………………………………………
找不到這個檔！！！
我ft
難道是exe文件被關聯無法打開了？
查找，居然是這個檔丟了（zer4tul那裏沒丟，看來不具備共性）
只好運行regedt32.exe了，呵呵
發現在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下面多了一個
網路服務 啟動程式名字為 svchoost.exe，這個當然是他了，刪除，呵呵
這個時候，我重起系統，運行regedt32，發現run裏又有了他，殺進程，刪除檔
既然又有，說明還有啟動的來源，來源是什麼？對了，我不是運行了regedt32嗎？這個可是exe檔啊。
查看.exe內容，寫的exefile，沒問題
查看exefile內容，shell\open\command裏的內容為
winnt/system32/exelinks.exe %1 %*，呵呵，果然關聯了
修改回來，%1 %*
另外根據zer4tul提示，這個程式原始名字是windowssend.exe
我在winnt/system32/start 目錄找到了它
估計是想做個自動啟動吧，呵呵，這個檔也刪除掉
重起系統，看進程，看註冊表，一切正常了，這樣，木馬就殺完了
來源:不明 類別:黑客文獻 日期:2002-5-14 13:02:51 今日/總流覽: 2/384
預防Acid Battery v1.0木馬的破壞
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices下
若在右邊視窗中如發現了“Explorer”鍵值，則說明中了YAI木馬，將它刪除。
𨪜 預防YAI木馬的破壞
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices下
若在右邊視窗中如發現了“Batterieanzeige”鍵值，則說明中了YAI木馬，將它刪除。
𨪜 預防Eclipse 2000木馬的破壞
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices下
若在右邊視窗中如發現了“bybt”鍵值，則將它刪除。
𨪜𨪜𨪜然後在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices下
𨪜𨪜𨪜刪除右邊的鍵值“cksys”，重新啟動電腦。
𨪜 預防BO2000的破壞
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices下
若在右邊視窗中如發現了“umgr32.exe”鍵值，則說明中了BO2000，將它刪除。
𨪜 預防愛蟲的破壞
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下
若在右邊視窗中如發現了“MSKernel32”鍵值，就將它刪除。
𨪜 禁止出現IE功能表中“工具”欄裏“interner選項”
𨪜𨪜𨪜把c:\windows\system下的名為inetcpl.cpl更名為inetcpl.old或則別的名字後就會出現禁止使用的情況
𨪜𨪜𨪜把名字再換回來，就可以恢復使用。 𨪜𨪜𨪜
𨪜 預防BackDoor的破壞
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下
若在右邊視窗中如發現了“Notepad”鍵值，就將它刪除。
預防WinNuke的破壞
在HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP下
在右邊的窗口中新建或修改字串“BSDUrgent”，設其值為0。
預防KeyboardGhost的破壞
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices下
如發現KG.EXE這一鍵值，就將它刪除，並查找KG.exe文件和kg.dat檔，將它們都刪除
查找NetSpy黑客程式
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下,
在右邊的視窗中尋找鍵"NetSpy",如果存在,就說明已經裝有NetSpy黑客程式,把它刪除.
清理訪問“網路鄰居”後留下的字句資訊
在HEKY_CURRENT_USER/Network/Recent下，刪除下麵的主鍵。
取消登陸時自動撥號
在HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Network/RealModeNet下
修改右邊視窗中的“autologon”為“01 00 00 00 00”。
取消登錄時選擇用戶
已經刪除了所有用戶，但登錄時還要選擇用戶，我們要取消登錄時選擇用戶，就要
在HKEY_LOCAL_MACHINE\Network\Logon下，在右邊的窗口中,修改"UserProfiles"值為"0"。
隱藏上機用戶登錄的名字
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon下
在右邊的窗口中新建字串"DontDisplayLastUserName",設值為"1"。
|
