一次艰难查杀木马过程

安全 黑客攻防
本文通过实例讲述了一次查杀木马的详细过程。

今天我同学说他的电脑很慢,叫我过去看看,我过去给他装了个卡巴进行杀毒,慢慢的等待卡巴报警查到Searchnet这个木马,点删除病毒,无法删除!说明进程中有!但是查找任务管理器,没有发现可疑进程!怀疑是隐藏进程的,通过冰刃IceSword也没有显示隐藏进程。我按照卡巴提示的路径在C:\Program Files,发现searchnet文件夹,进去发现有个unins.exe卸载的东东,点下看看,没有反应,里面文件也无法删除!对,在运行啊!先看看木马是怎么启动的,我先通过一般木马查杀方法进行查找,在“开始/运行”中输入“regedit.exe”打开注册表编辑器,依次展开

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\],查看下面所有以"Run"开头的项,也通过查找C:\Documents ;and Settings\ay13y\「开始」菜单\程序\启动,都没有发现可疑的 ,另外通过查找[HKEY LOCAL MACHINE\Software\classes\exefile\shell\open\command\]键值,也没有发现相关关联。然后我查找服务

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices]下查找可疑键值,并在[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\]下查看的可疑的主键,结果也没有!还通过msconfig找了隐藏服务也没有发现什么东西!郁闷ing,我重起电脑按f8进入安全模式,用卡巴杀,仍然无法删除! 

我网上查了下该木马,认识了下该木马特点,

Searchnet.exe程序名称:中搜地址

该木马具有以下特征:自我隐藏,自我保护,自我恢复,网络访问,后台升级,监视用户操作,无法彻底删除。 

一、隐藏文件 

该木马隐藏了Program File下的SearchNet文件夹和Drivers下的驱动文件。 

资源管理器下没有发现SearchNet文件夹 

用IceSword能发现SearchNet文件夹 

资源管理器下没有发现其驱动文件 

用IceSword发现三个驱动文件: FAD.sys Anfad.sys hProcess.sys 

二、隐藏进程 

该木马隐藏了自己的两个进程:SearchNet.exe 和 ServeHost.exe 

任务管理器下没有发现SearchNet.exe 和 ServeHost.exe进程 

三、隐藏注册表 

该木马隐藏了与其相关的所有注册表项: 

用Regedit无法查看其注册表启动项 

四、监视用户操作 

该木马,安装了WH_MSGFILTER WH_KEYBOARD_LL WH_MOUSE钩子,监视着用户的一举一动。 

五、自我保护,自我修复 

该木马采用驱动文件FAD.sys Anfad.sys hProcess.sys对其所有和注册表进行了保护,甚至用IceSword都无法删除! 

六、网络访问与后台升级 

该木马可通过悄悄访问网络,后台升级,以保持其最新版本,躲过杀毒软件的查杀。 

七、卸载欺骗 

该木马提供一个虚假的卸载方式,来欺骗用户。 

我汗这么强悍的木马啊,有点想PS,驱动级木马啊,网上有人提供了删除木马的方法,  

多操作系统的用户,可以通过引导到其它系统删除此木马的所有文件,彻底清除该木马。 

单系统用户可以使用unlocker强制删除,他的是一个系统,第1个方法不可取,第2个我试了,重起电脑仍然出现,突然间想到,windows权限依赖性,我晕,我同学的是FAT分区格式,给他转为NTFS,方法是convert c :/fs:ntfs,这样把C盘换为NTFS格式了,然后把C:\Program Files\searchnet 文件夹的权限全部禁用,首先打开我的电脑,点击:工具—文件夹选项-查看,把“使用简单文件共享”前面的钩去掉,这样文件的安全选项就出现了,右击searchnet 文件夹点属性,找到安全,把里面的权限全部去掉,

 

最后重起电脑,哈哈,木马这次没有启动,把权限恢复,把searchnet文件夹内容全部删除,在C:\WINDOWS\system32\drivers 找到FAD.sys Anfad.sys hProcess.sys这3个驱动启动的东东,全部删除!又用卡巴找了下,没有发现病毒!重起电脑,没有启动,也查不到!这次杀毒结束了! 

结语:这个木马以往查杀方法行不通,我借助了权限的依赖把木马杀掉,也是一种不错的方法!大家有什么问题与我联系。

【编辑推荐】

  1. 木马免杀技术大盘点与杀毒软件设置
  2. 桌面不显示图标的盗号木马清除方法
责任编辑:许凤丽 来源: ChinaItLab
相关推荐

2019-08-26 09:50:09

2021-05-13 08:51:20

GC问题排查

2011-01-27 09:19:14

Mono开发

2010-09-25 09:04:33

2009-11-09 09:41:09

木马杀软评测

2019-05-28 11:49:09

2013-07-17 16:20:29

2010-04-20 21:48:48

2009-02-04 17:15:51

2010-09-25 10:12:49

2017-12-19 14:00:16

数据库MySQL死锁排查

2023-10-10 12:05:45

2010-06-12 21:40:38

2009-03-10 17:09:29

2010-12-24 15:01:44

2010-05-21 10:03:57

2011-03-24 16:26:44

2022-09-15 10:02:58

测试软件

2014-08-01 14:06:45

2022-09-14 15:40:03

接口解决
点赞
收藏

51CTO技术栈公众号