安全专家实战清除利用映象劫持技术病毒

听dodo说，发现一MM的电脑好象中了终结者，用毒霸的专杀修复后，毒霸仍不能启动。要来QQ，远程连接过去看个究竟。网速限制，整了一个小时，最终搞定，写总结文章比修复简单多了。

1.给MM传过去需要的工具软件：AV终结者专杀，autoruns，冰刃，process explorer。

2.分别运行这四个工具，只有专杀可以启动，其它工具未能启动。尝试进入kav2007目录，发现毒霸主程序，清理专家均无法启动。autoruns和Process Explorer改名后可以运行。冰刃改名后，打开即被关闭，毒霸和清理专家也一样。

3.在autoruns的explorer页发现2个DLL，a1d29050.dll和msacn.dll（使用autoruns时，一定要选中隐藏MS签名认证的项目，不然要累死）。

将这两个DLL复制到桌面的新建文件夹备份。然后将process explorer改名后运行，在进程explorer中查找相关线程。找到4个正在运行的线程，立即将病毒线程暂停。

4.这时已经发现冰刃可以正常使用了，所以就选择用process Explorer杀掉了相关线程。

5.继续使用autoruns查看服务，找到3个未知服务。不过，事后证实这三个服务与毒霸不能运行无关，是毒霸可杀的木马程序。

6.接下来，进入毒霸目录，双击uplive.exe升级。

7.升级完成后，双击kav32.exe执行病毒扫描。结束发现了10多个已知木马。当然，这几个令毒霸，冰刃无法运行的DLL，是新病毒。

为确保清除成功，建议MM扫描完毕后再和AV终结者修复一下注册表，因为这个病毒让隐藏文件无法正常显示，这个AV终结者修复工具，刚好可以解决这个问题。

补充一点，在使用autoruns的过程中，发现病毒已经删除了毒霸注册的服务，因此，电脑如果重启的话，会发现实时监控不能被加载。

总结：

类似AV终结者的病毒，会把杀毒软件做为攻击的第一道关。攻击成功后，会使用下载器下载一堆的木马，本案例就在解决掉新病毒后，升级毒霸查到10多个盗号木马。

预计在一段时间内，采用这种手法的盗号集团将十分猖獗。请网友参考AV终结者的综合方案采取防御措施。

关键词：

【推荐给好友】【关闭】

最新五条评论

查看全部评论

评论总数 0 条

您的评论

用户名： （新注册） 密　码： 匿名：

·用户发表意见仅代表其个人意见，并且承担一切因发表内容引起的纠纷和责任
·本站管理人员有权在不通知用户的情况下删除不符合规定的评论信息或留做证据
·请客观的评价您所看到的资讯，提倡就事论事，杜绝漫骂和人身攻击等不文明行为

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有