注册表修改之计算机病毒清除

  木马藏身地及通用排查技术

  木马取自古希腊神话的特洛伊木马记,是一种基于远程控制的黑客工具,具有很强的隐藏性和危害性。为了达到控制服务端主机的目的,木马往往要采用各种手段达到激活自己,加载运行的目的。这里,我们简要的介绍一下木马通用的激活方式,它们的藏身地,并通过一些实例来让您体会一下手动清除木马的方法。

  ●在Win.ini中启动木马:

  在Win.ini的[Windows]小节中有启动命令“load=”和“run=”,在一般的情况下“=”后面是空的,如果后面跟有程序,比如:

  run=C:Windows ile.exe

  load=C:Windows ile.exe

  则这个file.exe很有可能就是木马程序。

  ●在Windows XP注册表中修改文件关联:

  修改注册表中的文件关联是木马常用的手段,如何修改的方法已在本系列的前几文中有过阐述。举个例子,在正常情况下txt文件的打开方式为Notepad.exe(记事本),但一旦感染了文件关联木马,则txt文件就变成条用木马程序打开了。如著名的国产木马“冰河”,就是将注册表HKEY_CLASSES_ROOT xtfileshellopencommand子键分支下的键值项“默认”的键值“C:Windows otepad.exe %1”修改为“C:WindowsSystemSysexplr.exe”,这样,当你双击一个txt文件时,原本应该用记事本打开的文件,现在就成了启动木马程序了。当然,不仅是txt 文件,其它类型的文件,如htm、exe、zip、com等文件也都是木马程序的目标,要小心。

  对这类木马程序,只能检查注册表中的HKEY_CLASSES_ROOT中的文件类型shellopencommand子键分支,查看其值是否正常。

  ●在Windows XP系统中捆绑木马文件:

  实现这种触发条件首先要控制端和服务端已通过木马建立连接,控制端用户使用工具软件将木马文件和某一应用程序捆绑在一起,上传到服务端覆盖原有文件,这样即使木马被删除了,只要运行捆绑了木马的应用程序,木马又会被重新安装了。如果捆绑在系统文件上,则每次Windows XP启动都会启动木马。

  ●在System.ini中启动木马:

  System.ini中的[boot]小节的shell=Explorer.exe是木马喜欢的藏身之所,木马通常的做法是将该语句变为这样:

  Shell=Explorer.exe file.exe

  这里的file.exe就是木马服务端程序。

  另外,在[386enh]小节,要注意检查在此小节的“driver=path程序名”,因为也有可能被木马利用。[mic]、[drivers]、[drivers32]这三个小节也是要加载驱动程序的,所以也是添加木马的理想场所。

  ●利用Windows XP注册表加载运行:

  注册表中的以下位置是木马偏爱的藏身之所:

  HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion子键分支下所有以“run”开头的键值项数据。

  HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion子键分支下所有以“run”开头的键值项数据。

  HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion子键分支下所有以“run”开头的键值项数据。

  ●在Autoexec.bat和Config.sys中加载运行木马:

  要建立控制端与服务端的连接,将已添置木马启动命令的同名文件上传到服务端覆盖着两个文件才能以这种方式启动木马。不过不是很隐蔽,所以这种方式并不多见,但也不能掉以轻心。

  ●在Winstart.bat中启动木马:

  Winstart.bat也是一个能自动被Windows XP加载运行的文件,多数时由应用程序及Windows自动生成,在执行了Win.com或者Kernel386.exe,并加载了多数驱动程序之后开始执行(这可以通过在启动时按F8选择逐步跟踪启动过程的启动方式得知)。由于Autoexec.bat的功能可以由 Winstart.bat代替完成,因此木马完全可以像在Autoexec.bat中那样被加载运行。

  木马病毒的通用排查技术

  现在,我们已经知道了木马的藏身之处,查杀木马自然就容易了。如果您发现计算机已经中了木马,最安全最有效的方法就是马上与网络段开,防止计算机骇客通过网络对您进行攻击,执行如下步骤:

  l 编辑Win.ini文件,将[Windows]小节下面的“run=木马程序”或“load=木马程序”更改为“run=”,“load=”。

  l 编辑System.ini文件,将[boot]小节下面的“shell=木马文件”更改为“shell=Explorer.exe”。

  l 在Windows XP注册表中进行修改:先在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子键分支下找到木马程序的文件名删除,并在整个注册表中查找木马程序,将其删除或替换。但可恶的是,并不是所有的木马程序都只要删除就能万事大吉的,有的木马程序被删除后会立即自动添上,这时,您需要记下木马的位置,即它的路径和文件名,然后退到DOS系统下,找到这个文件并删除。重启计算机,再次回到注册表中,将所有的木马文件的键值项删除。

  计算机木马清除实例

  ●冰河v1.1的注册表清除实例:

  在注册表编辑器中打开HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子键分支,在右边的窗口中找到并删除C:WINNTSystem32Kernel32.exe,C:WINNTSystem32sysexplr.exe,再重新启动到MS-DOS方式后,删除C:WINNTSystem32Kernel32.exe和C:WINNTSystem32sysexplr.exe木马程序。

  AOL Trojan的注册表清除实例:

  首先到MS-DOS方式下,删除以下文件:

  C:command.exe

  C:Americ~1.0uddyl~1.exe

  C:Windowssystem orton~1 egist~1.exe

  打开Win.ini文件,在[Windows]小节下面将特洛伊木马程序的路径清除掉,改为“run=”,“load=”,保存Win.ini文件。

  然后打开Windows XP注册表,打开HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子键分支,将右表窗口中的键值项“WinProfile=C:Command.exe”删除,关闭注册表,重启计算机即可。

  ●Doly v1.1-v1.5的注册表实例(v1.6和v1.7类似):

  首先进入MS-DOS方式,删除以下三个木马程序,但v1.35版还多一个木马文件Mdm.exe。

  C:WindowsSystem esk.sys

  C:WindwosStart MenuProgramsStartupmstesk.exe

  C:Program FilesMStesk.exe

  C:Program FilesMdm.exe

  重新启动Windows,打开Win.ini文件,将[windows]小节下的“load=C:WindowsSystem esk.exe”删除,即改为“load=”,保存Win.ini文件。

  然后,在注册表中打开HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun子键分支,将右边的窗口中的键值项“Mstesk=”C:Program FilesMStesk.exe””删除,打开HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionss子键分支,将其下的全部内容都删除(全为木马参数选择和设置的服务器);再打开HKEY_USERS.DEFAULTSOFTWAREMicrosoftWindowsCurrentVersionRun子键分支,将右边的窗口中的键值项“Mstesk=”C:Program FilesMStesk.exe””删除。

  关闭注册表,打开C:Autoexec.bat文件,删除如下两行:

  @echo off copy c:sys.lon C:WindowsStart MenuStartup Items

  Del c:win.reg

  保存并关闭Autoexec.exe文件。

  ●IndocTrination v0.1-v0.11注册表清除实例:

  在注册表中打开如下子键:

  HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

  HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices

  HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce

  HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices Once

  将这些子键右边窗口中的如下键值项删除:

  Msgsrv16=“Msgsrv16”,关闭注册表后重启Windows,删除C:WindowsSystemmsgserv16.exe文件。

  ●SubSeven-Introduction v1.8注册表清除实例:

  打开HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子键分支和HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices子键分支,在右窗口中查找到含有“C:WindowsSystem.ini”的键值项数据,将它删除。

  打开Win.ini文件,将其中的“run=kernel16.dl”改为“run=”,保存并关闭Win.ini文件。

  打开System.ini文件,将其中的“shell=explorer.exe kernel32.dl”改为“shell=explorer.exe”,保存并关闭System.ini文件,重启Windows,删除C:Windowskernel16.dl文件。

  ●广外女生注册表清除实例:

  退到MS-DOS模式下,删除System目录下的diagcfg.exe。由于该病毒关联的是exe文件,因此,现在删除它后Windows环境下任何exe文件都将无法运行。我们先找到Windows目录下的注册表编辑器“Regedit.exe”,将其改名为“Regedit.com”。

  回到Windows模式下,运行“Regedit.com”。打开HKEY_CLASSES_ROOTexefileshellopencommand,将其默认值改为“%1 %*”,删除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices下的键值项“Diagnostic Configuration”。关闭注册表。

  回到Windows目录,将“Regedit.com”改回“Regedit.exe”。

  ●Netbull(网络公牛)注册表清除实例:

  该病毒在Windows 9X下:捆绑notepad.exe、writre.exe、regedit.exe、winmine.exe和winhelp.exe。在Windows NT/2000下捆绑:notepad.exe、regedit.exe、regedt32.exe、drwtsn32.exe和winmine.exe。打开:

  HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun

  HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices

  HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun

  在这些子键下删除键值项“CheckDll.exe”=“C:WindowsSystemCheckDll..exe”。

  另外,要察看自己的机器是否中了该病毒,可以察看上面列出的文件,如果发现该文件长度发生变化(大约增加了40K左右),就删除它们。然后点击[开始]|[附件]|[系统工具]|[系统文件检查器],在弹出的对话框中选择“从安装软盘提取一个文件”,在框中填入要提取的文件(前面你删除的),点“确定”,按屏幕提示将这些文件恢复即可。如果是开机时自动运行的第三方软件,如realplay.exe、QQ等被捆绑上了,那就必须把这些文件删除后重新安装了。

  ●聪明基因注册表清除实例:

  删除C:Windows下的MBBManager.exe和Explore32.exe,再删除C:WindowsSystem下的editor.exe文件。如果服务端已经运行,则要先用进程管理软件终止MBBManager.exe这个进程后才能将它删除。

  打开HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun,删除键值项“MainBroad BackManager”。将HKEY_CLASSES_ROOT xtfileshellopencommand的默认值改为“C:WindowsNotepad.exe %1”,恢复txt文件关联。将HKEY_CLASSES_ROOThlpfileshellopencommand的默认值改为“C:Windowswinhlp32.exe %1”,恢复hlp文件关联。

  以上是一些比较典型的手动清除特洛伊木马操作步骤,希望大家能在动手的过程中得到启发,慢慢摸索木马的藏身和激活规律,以达到以不变应万变的境地。

(0)

相关推荐

  • 如何用注册表修改鼠标右键设置

    如何用注册表修改鼠标右键设置? 一、去掉新建菜单中的无用项 1.在桌面上点右键→新建→任意选择一个建立,记下它的扩展名,这里我建立的Photoshop图像,扩展名为psd。 2.找开RegWorksh ...

  • Windows注册表修改的技巧让IE飞速

    怎么样让我们IE浏览器运行的相当的迅速,其实在默认情况下,IE仅允许从一个网络服务器上同时下载两个会话。这会影响到你网页浏览的速度,因为你无法同时下载到所有组成网页的对象,这样页面的显示就会慢得多。如 ...

  • 通过注册表修改硬件加速(关闭与打开硬件加速)

    通过注册表修改硬件加速 关闭硬件加速: 1 @echo off 2 title 关闭DirectDraw 3 mode con:cols=50 lines=12 4 color ff 5 6 echo ...

  • 利用注册表修改Win7/Win8硬盘分区名称的方法

    利用注册表修改Win7/Win8硬盘分区名称 如果用户在将 XP 重装成Win7/Win8时,原本的硬盘分区名称可能会出现无法更改的情况,重新命名也都起不了作用。这种情况一般是因为使用 XP 系统下 ...

  • 如何恢复修改过的win10注册表?win10注册表修改后恢复方法

    如何恢复修改过的win10注册表呢?相信很多朋友都修改过win10的注册表以获得查看最新版的win10,这样做的后果就是造成你以后不能接受到正常的公开升级,下文小编就教大家Win10注册表修改后的恢复 ...

  • 通过注册表修改硬件加速

    通过注册表修改硬件加速 关闭硬件加速: 1 @echo off 2 title 关闭DirectDraw 3 mode con:cols=50 lines=12 4 color ff 5 6 echo ...

  • win10注册表修改后怎么恢复?

    win10注册表修改后恢复教程大家可以来了解一下,微软提供了win10修改注册表之后恢复方法,如果你修改了Windows10注册表的话就快根据下文步骤进行恢复吧。 如果你已经修改了你的注册表,可以通过 ...

  • 怎样通过Win7系统注册表修改IE标题栏文字签名

    IE浏览器是windows系统中内置的浏览器,平常我们会使用IE来冲浪浏览某些网站网页,此时也会在网页的标题栏显示相关的信息.win7 64位旗舰版下载后,该内容也是根据某些网站来显示的,有时候会显示 ...

  • Win8.1通过注册表修改CPU驱动名称的方法

    Win8.1通过注册表修改CPU驱动名称的方法 操作步骤: 1.点击 右击开始菜单-运行-输入"regedit"进入注册表编辑器; 2.展开HKEY_LOCAL_MACHINE,展 ...