避实就虚 另辟蹊径 绝杀木马

virusdefender

现在的病毒、木马真是防不胜防，不知道怎么着就中招了，我的电脑最近也幸运“挂彩”。病毒经过了加壳、加花等特殊处理，杀毒软件也被病毒关闭，正在一筹莫展之际，却发现病毒有个薄弱环节：存在一个用于自我保护的VBS脚本，把它除掉后，病毒轻松剿灭。

细致分析 揪出元凶
既然杀毒软件已被关闭，只能靠手工了。首先运行系统附件里的命令提示符，执行命令“netstat -ano”发现了本地的8080端口处于LISTENING（监听）状态，可以肯定是木马服务端打开的连接端口。将电脑设置为“显示所有文件和文件夹”后，发现所有的分区根目录下面多了Autorun.inf及config.vbs两个文件，其文件属性均为隐藏、只读、系统（病毒惯用用的招数）。
很明显，分区根目录下的Autorun.inf文件的作用是当用户双击打开磁盘分区时运行某指定的程序。用记事本打开Autorun.inf看到只有四行代码，关键代码为“shell\1\command=wscript.exe config.vbs”即运行config.vbs。可见“config.vbs”才是幕后主谋，用记事本打开后发现代码中的字符全部用chr(*)加密代替了（见图1）。


这么做的目的显然是不让别人读懂代码了解其机理，我们要想办法破解。新建一文本文档在其中输入代码msgbox ()，拷贝config.vbs中除了execute之外的所有代码到()中，保存该文本文档并改名为jiemi.vbs。双击运行jiemi.vbs弹出一个对话框，可以看到config.vbs中所有的代码被解密显示为可以读懂的字符（见图2）。

幕后分析 绝杀病毒
其实config.vbs就是木马作者编写的一段VB脚本，不需要多高深的知识很容易看懂。从图3中可知该脚本对系统做了以下操作：在C:\下生成一个temp.reg文件用来修改注册，
在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]中添加
"system"="wscript.exe C:\\windows\\config.vbs"
"svchost"="C:\WINDOWS\svchost.exe"
两个自启动项。这也告诉我们C:\WINDOWS\svchost.exe一定就是木马服务端主程序。脚本在temp.reg执行后删除了该文件并将config.vbs拷贝到C:\windows下。另外，脚本还删除了注册表的[HKEY_CLASSES_ROOT\lnkfile\IsShortcut]键值，在分区根目录下生成名为“System Volume Information”的指向C:\config.vbs的快捷方式。

认清了木马的伎俩，则反其道清除之即可。不过，首先要结束木马进程，通过分析知道木马的进程为“svchost.exe”。打开命令提示符，运行命令“tasklist /svc”找到服务项为“暂缺”的“svchost.exe”进程，记住进程的PID（假如为1824），在命令提示符下执行命令“taskkill /F /PID 1824”接杀死木马进程（见图3）。最后，依据上面的分析恢复注册表项，删除与木马相关的文件即可。

小提示：在杀毒软件无能的情况下，除了通过脚本分析了解病毒木马的运行机制进行绝杀外，对于某些不加壳的病毒木马可用W32asm、Ollydbg等反汇编工具打开，然后查看字符串了解其运行机制，最后对症下药进行清除。   


小编物语：从这篇文章我们可以学到一种查杀未知病毒的思路：在面对未知木马时，我们或许无法得知它的木马主体，但病毒会附属产生一些别的文件，例如Autorun.inf，虽然很平常，但我们用记事本打开仔细分析一下就知道了Autorun.inf所关联的另一个病毒文件：VBS脚本，再接着分析我们就解读了脚本理清病毒的运行机制（对系统进行的操作），然后反向破坏它，修复病毒修改的东西，最后删除病毒就很容易了。


http://soft.cfan.com.cn/safe/201206/05/1338892806d69952.shtml

流年春去

技术帝来了，欢迎经常来

jienqiu

刚看过，不尊评论！楼主的问题，我不知道。

zkira

佩服，技术帝啊

hivysun

果然是技术帝

箪莼ゞ汉氺

膜拜

songwinlong

果然高深，不懂

LOCKLOCK

谢谢分享，不过这样的帖子发到新人区，貌似楼主不仅是技术帝，还有炫耀帝的嫌疑。

virusdefender

LOCKLOCK 发表于 2012-6-19 07:50
谢谢分享，不过这样的帖子发到新人区，貌似楼主不仅是技术帝，还有炫耀帝的嫌疑。

只是想让新人们了解些知识罢了，不是我写的，炫耀什么啊？有时间分享一下我在杂志上发表的查杀病毒的文章，那才是炫耀呢。

LOCKLOCK

virusdefender 发表于 2012-6-19 07:53
只是想让新人们了解些知识罢了，不是我写的，炫耀什么啊？有时间分享一下我在杂志上发表的查杀病毒的文章 ...

“有时间分享一下我在杂志上发表的查杀病毒的文章，那才是炫耀呢”-----话说貌似你已经在炫耀了，呵呵