荔园在线

荔园之美,在春之萌芽,在夏之绽放,在秋之收获,在冬之沉淀

[回到开始] [上一篇][下一篇]


发信人: gordonlot (要学习啦), 信区: Virus
标  题: 清除双关联木马“聪明基因”
发信站: 荔园晨风BBS站 (Thu Jan 10 20:26:11 2002), 转信

   “聪明基因”是国产木马,除了拥有一般木马所具有的功能外,其最可怕之处是其
永久隐藏远程主机驱动器的功能,如果控制端选择了这个功能,那么受控端可就惨
了,想找回驱动器?嘿嘿,没那么容易!服务端文件genueserver.exe,用的是
HTM文件图标,如果你的系统设置为不显示文件扩展名,那么你就会以为这是个
HTM文件,很容易上当哦。

  “聪明基因”是文件关联木马,而且是双关联木马!为什么这么说?看了下面
的内容你就知道了。

  “聪明基因”服务端程序运行后会生成三个文件,分别是:

  C:\WINDOWS\MBBManager.exe

  C:\WINDOWS\Explore32.exe

  C:\WINDOWS\system\editor.exe

  这三个文件用的都是HTM文件图标,千万不要以为它们是HTM文件!如果你的系
统设置为显示所有文件的扩展名,你会发现它们都还有个“.exe”的尾巴,这说明
它们是可执行文件!

  这三个文件又分别起什么作用呢?MBBManager.exe文件用来在启动时加载运行
,它是守护进程(对木马来说,如果客户端向服务端的某一特定端口提出连接请求
,服务端上的相应程序就会自动运行,来应答客户端的请求,这个程序我们称为守
护进程。对“聪明基因”而言,这个特定端口为7511)!Explore32.exe和
editor.exe是干什么的呢?呵呵,它们分别用来和HLP文件、TXT文件关联,如果你
发现并删除了MBBManager.exe,并不会真正清除了它。一旦你打开帮助文件或文本
文件,Explore32.exe和editor.exe将被激活!它将再次生成守护进程
MBBManager.exe!这就是一旦中了“聪明基因”很难清除干净的原因!谁能想到它
会关联两种文件类型呢?!我在第一次运行该木马研究时就是因此上当的,将
MBBManager.exe和editor.exe删除并恢复了TXT文件关联后,以为完全清除干净了
,但等我某天运行了帮助文件后,我惊奇的发现“聪明基因”又回来了!我这才知
道,“聪明基因”还关联了HLP文件!

  “聪明基因”清除方法:

  1.删除文件

  先删除C:\WINDOWS下的MBBManager.exe和Explore32.exe文件,再删除C:
\WINDOWS\system下的editor.exe文件。如果服务端已经运行,那么就得用进程管
理软件终止MBBManager.exe这个进程,然后在Windows下将它删除。当然,你也可
以到纯DOS下删除这些文件。

  2.删除注册表中木马的自启动文件

  到这里来删除:

  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

  "MainBroad BackManager"="C:\\WINDOWS\\MBBManager.exe"

  3.恢复TXT文件关联



  用记事本将如下内容复制下来,并命名为任意名字的REG文件:

  REGEDIT4

  [HKEY_CLASSES_ROOT\txtfile\shell\open\command]

  @="Notepad %1"

  [HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command]

  @="Notepad %1"

  双击上面这个REG文件,在弹出的对话框中点击“确定”就可以将这些内容导
入注册表,从而将TXT文件关联恢复过来。

  4.恢复HLP文件关联。

  用记事本将如下内容复制下来,并命名为任意名字的REG文件:

  REGEDIT4

  [HKEY_CLASSES_ROOT\hlpfile\shell\open\command]

  @="C:\\WINDOWS\\WINHLP32.EXE %1"

  [HKEY_LOCAL_MACHINE\Software\CLASSES\hlpfile\shell\open\command]

  @="C:\\WINDOWS\\WINHLP32.EXE %1"

  双击上面这个REG文件,在弹出的对话框中点击“确定”就可以将这些内容导
入注册表,从而将HLP文件关联恢复过来。好了,可以和聪明基因说BYEBYE了!

  要特别注意的是,在你编制REG文件时,“REGEDIT4”一定要大写,并且它的
后面一定要空一行,还有,“REGEDIT4”中的“4”和“T”之间一定不能有空格,
否则将前功尽弃!许多朋友写注册表文件之所以不成功,就是因为没有注意到上面
所说的内容,这回该注意点喽。请注意如果你是Win2000或WinXP用户,请将“
REGEDIT4”改为Windows Registry Editor Version 5.00。

  最后,如果图省事的话,可以下载木马克星,它对付国产木马最在行了。


--
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.48.221]


[回到开始] [上一篇][下一篇]

荔园在线首页 友情链接:深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店