一个驱动级木马的解决

杨斌2006

在下在单位负责电脑维护工作（没有银子的那种，惨！）昨天解决了一个驱动级的难搞木马，现把经验与诸位同仁共享。

起因：一位同事浏览不明恶意网站，结果中招。（装了卡巴斯基6.0＋风云防火墙，系统为xp－sp2）

表现：开机十分缓慢，各种应用程序启动往往占cpu100％，网络浏览缓慢。

判断：卡巴提示为木马，重启后删除。结果重启后木马依然存在。木马名zqydp.dll和icggg.sys存在于c:\windows\system32和c:\windows\system32\drivers下面，属性为隐藏只读。

解决：上网查资料了解驱动级木马的解决方案。似乎只要删除掉那两个文件就成。于是下了IceSword1.12。结果在正常模式下无法删除，安全模式又不支持。（先前在安全模式下手工删除无果）。无法，又下了PAVARK等各类专杀rootkit的工具删除查杀，木马依然存在。后来还是查资料，下了unlocker1.8.5这个工具。安装好后（在正常模式下）进入到木马存在的目录点击那个木马文件删除，解锁，顺利删掉了。哈哈！大功告成。删除后用卡巴扫描，没有发现木马的存在。

感想：此类驱动级木马甚是难搞，只要没有扩散（就是没有捆绑别的病毒下载）还是可以通过unlocker1.8.5之类的系统文件解锁工具加以解决的。因此遇到此类病毒先不要全盘格式掉，按照解锁删除再扫描查杀的方案试一试，也许可以比较顺利的解决，少些损失。

杨斌2006

还有就是卡巴斯基6.0的主动防御要全开，不然没有提示可是删不掉的。

龙井茶

还需要清一下注册表才更干净吧。

杨斌2006

注册表原来清理过，只是删不掉。这两个木马删掉后，也没有其他的问题。呵呵，这木马老实啊，

jimmyleo

谢 分享经验

yg_sunbeam

顶了

szk127

谢谢分享

天下无毒

谢谢

杨斌2006

感谢大家回帖，在这里提个不是很成熟的建议。驱动级木马的隐藏和只读属性应该可以作为评判未知驱动级木马的条件。大家没事的时候可以看看从c:\windows\sysytem32下面的相同Dll文件和c:\windows\sysytem32\drivers下面的sys文件是否有此种情况。

503165656

[:13:]