职称计算机考试辅导:彻底删除木马
来源:优易学  2009-9-15 18:41:07   【优易学:中国教育考试门户网】   资料下载   IT书店
文章页内部300*250广告位
 目前,盗号现象愈演愈烈,用户整天提心吊胆,怕哪天盗到自己的头上。难道一味地防守就能够保住我们的号吗?不行,我们要防守反击,给盗号者当头棒喝,运用法律手段保护自己的权益。本期,来自四川的刘勇,将告诉我们,他是如何来防范盗号木马并找出盗号者的信箱的。

  使用系统:Windows XP SP1

  一直以来我都非常注意个人电脑的安全防范,暗自庆幸自己的网游账号没有被黑客盗取。可是好景不长,前些时候我的账户就不幸被盗,当我将账户找回后,发现自己的网游人物已经被剥了个“精光”。

  更为可恶的是,在游戏账户丢失的同时,我的QQ密码、信箱密码也几乎同时被盗。我心里明白,自己的系统一定是中了木马程序,而且还不是一个普通的木马程序,因为一般的木马程序都只能盗取一种程序的密码,看来这个木马程序一定“不简单”啊!

  寻找蛛丝马迹逮住木马“尾巴”

  首先打开注册表管理器,在其中的Run启动项中发现了可疑程序的启动项,键值名称为“getpsw”,关联的程序为“C:\WINNT\system32\qijian.exe”。

  我们知道,所有的恶意程序都会通过各种各样的方式进行程序的随机启动,而通过注册表的Run启动项是其中最常被病毒、木马、盗号工具利用的。从这些可疑的名称中我们就可以得知,这个程序是获取密码的意思。

  接着来到系统的system32目录下,我们都知道system32目录一般是用于存放系统重要文件的地方。黑客正是利用了我们这些普通用户不熟悉系统目录和系统文件,不敢轻易对系统目录和文件进行操作的情况,将恶意程序安装到system32目录中,进而迷惑用户使之以为这些都是系统的必要文件。

  其实我们只要通过对恶意文件的创建日期进行查看和对比,就可以找出很多的可疑之处。我通过对“getpsw.exe”文件的属性进行查看后发现,“getpsw.exe”这个文件的创建日期为2006年,而我的Windows系统的大多数系统文件的创建日期在2001年,看来这个文件越来越可疑了。

  为了查找其他可能和“getpsw.exe”相关联的文件,首先记录下“getpsw.exe”文件的创建日期,点击“开始”菜单中“搜索”中的“文件或文件夹”命令,在弹出的搜索窗口点击“所有文件或文件夹”选项,然后通过指定日期来进行查找。果然很快又查找到两个和getpsw.exe同样日期的文件,名称分别为psw.dll和psw.bpl.

  打开任务管理器,经过认真的查看后,并没有发现可疑的进程,看来该木马使用了线程插入技术。马上又运行木马辅助查找器,点击其中的“进程监控”标签,很快就在资源管理器的进程Explorer.exe中发现了可疑的“psw.dll”。

  猛追狠打,斩草除根

  现在我打算开始清除操作,首先到注册表的Run启动项中删除getpsw这个启动项,然后来到系统的system32目录找到getpsw.exe、psw.dll、psw.bpl这三个文件进行删除,由于psw.dll正在被使用,所以暂时不能被删除。

  马上重新启动系统,再对psw.dll这个文件进行删除即可。接着再对系统的进程、启动项、系统目录进行检查,没有发现可疑文件的踪迹,确定已经将恶意程序成功地清除了。

  虽然已经成功地清除恶意程序,但还没有完,我打算将这个盗号的黑手找出来。由于文件已经清除,所以想通过嗅探抓包分析是不可能了,不过通过十六进制工具对程序进行分析也可以。

  运行Ultra Edit载入getpsw.exe,由于一般的恶意程序都是将获取的信息发送到指定的信箱或网址,所以搜索“。net”这个关键词,很快就得到了盗号者的信箱,但是没有获得信箱的用户名和密码。同时也得到了另一个信箱“max@juntuan.net”,看样子很熟悉,好像是黑客组织“第八军团”的信箱。马上登录他们的网站,果然在“军团作品”中发现了一个名为“军团侦察员”的盗号工具。

  刘勇朋友轻易地将这款名为“军团侦察员”的盗号木马清除,可见他对如何清除类似木马有相当的经验。

  同时,我们通过该木马程序的特点,比如截取多种程序的密码;通过采用DNS查询MX邮件服务器技术,成功绕开SMTP服务器认证,实现密码文件特快直达目标邮箱;可以看到未来盗号工具的一些雏形。

  虽然该木马程序使用了线程插入技术,但是仍然可以看出该程序在隐蔽性方面的脆弱。另外阿良提醒大家,在获得盗号者的信箱后,我们可以通过法律手段来保护自己的权益,因为目前国家已经有明确的立法,将非法盗取别人虚拟财产作为偷盗罪的一种。

责任编辑:小草

收藏此页】【 】【打印】【回到顶部
职称计算机课程列表页595*550广告
文章搜索:
 相关文章
底部580*90广告
文章页右侧第一330*280广告
计算机文章页资讯推荐
热点资讯
文章页330尺寸谷歌广告位
热门课程培训