荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: conjure (等差数列), 信区: Security
标 题: 清除双关联木马“聪明基因”
发信站: 荔园晨风BBS站 (Wed Nov 6 19:10:38 2002), 转信
“聪明基因”是国产木马，除了拥有一般木马所具有的功能外，其最可怕之处是其永久隐藏
远程主机驱动器的功能，如果控制端选择了这个功能，那么受控端可就惨了，想找回驱动器
？嘿嘿，没那么容易！服务端文件genueserver.exe，用的是HTM文件图标，如果你的系统设
置为不显示文件
扩展名，那么你就会以为这是个HTM文件，很容易上当哦。
“聪明基因”是文件关联木马，而且是双关联木马！为什么这么说？看了下面的内容你
就知道了。
“聪明基因”服务端程序运行后会生成三个文件，分别是：
C:\WINDOWS\MBBManager.exe
C:\WINDOWS\Explore32.exe
C:\WINDOWS\system\editor.exe
这三个文件用的都是HTM文件图标，千万不要以为它们是HTM文件！如果你的系统设置为
显示所有文件的扩展名，你会发现它们都还有个“.exe”的尾巴，这说明它们是可执行文件
！
这三个文件又分别起什么作用呢？MBBManager.exe文件用来在启动时加载运行，它是守
护进程（对木马来说，如果客户端向服务端的某一特定端口提出连接请求，服务端上的相应
程序就会自动运行，来应答客户端的请求，这个程序我们称为守护进程。对“聪明基因”而
言，这个特定端
口为7511）！Explore32.exe和editor.exe是干什么的呢？呵呵，它们分别用来和HLP文件、
TXT文件关联，如果你发现并删除了MBBManager.exe，并不会真正清除了它。一旦你打开帮
助文件或文本文件，Explore32.exe和editor.exe将被激活！它将再次生成守护进程
MBBManager.exe！这就是
一旦中了“聪明基因”很难清除干净的原因！谁能想到它会关联两种文件类型呢？！我在第
一次运行该木马研究时就是因此上当的，将MBBManager.exe和editor.exe删除并恢复了TXT
文件关联后，以为完全清除干净了，但等我某天运行了帮助文件后，我惊奇的发现“聪明基
因”又回来了！?
艺獠胖溃按厦骰颉被构亓薍LP文件！
“聪明基因”清除方法：
1.删除文件
先删除C:\WINDOWS下的MBBManager.exe和Explore32.exe文件，再删除
C:\WINDOWS\system下的editor.exe文件。如果服务端已经运行，那么就得用进程管理软件
终止MBBManager.exe这个进程，然后在Windows下将它删除。当然，你也可以到纯DOS下删除
这些文件。
2.删除注册表中木马的自启动文件
到这里来删除：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MainBroad BackManager"="C:\\WINDOWS\\MBBManager.exe"
3.恢复TXT文件关联
用记事本将如下内容复制下来，并命名为任意名字的REG文件：
REGEDIT4
[HKEY_CLASSES_ROOT\txtfile\shell\open\command]
@="Notepad %1"
[HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command]
@="Notepad %1"
双击上面这个REG文件，在弹出的对话框中点击“确定”就可以将这些内容导入注册表
，从而将TXT文件关联恢复过来。
4.恢复HLP文件关联。
用记事本将如下内容复制下来，并命名为任意名字的REG文件：
REGEDIT4
[HKEY_CLASSES_ROOT\hlpfile\shell\open\command]
@="C:\\WINDOWS\\WINHLP32.EXE %1"
[HKEY_LOCAL_MACHINE\Software\CLASSES\hlpfile\shell\open\command]
@="C:\\WINDOWS\\WINHLP32.EXE %1"
双击上面这个REG文件，在弹出的对话框中点击“确定”就可以将这些内容导入注册表
，从而将HLP文件关联恢复过来。好了，可以和聪明基因说BYEBYE了！
要特别注意的是，在你编制REG文件时，“REGEDIT4”一定要大写，并且它的后面一定
要空一行，还有，“REGEDIT4”中的“4”和“T”之间一定不能有空格，否则将前功尽弃！
许多朋友写注册表文件之所以不成功，就是因为没有注意到上面所说的内容，这回该注意点
喽。请注意如果?
闶荳in2000或WinXP用户，请将“REGEDIT4”改为Windows Registry Editor Version 5.00
。
最后，如果图省事的话，可以下载木马克星，它对付国产木马最在行了
--
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.36.29]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店