Posted on 2006-03-25 15:16
風(fēng)塵仆仆 閱讀(942)
評(píng)論(0) 編輯 收藏
最近一次上網(wǎng)的時(shí)候，監(jiān)控程序報(bào)有一可執(zhí)行文件LOADHW.EXE將登錄在啟動(dòng)項(xiàng)里。我曉得肯定是中毒了，但當(dāng)時(shí)我的諾頓病毒庫未即時(shí)更新，還查不出該病毒來。于是，自己動(dòng)手查，終于將其殺掉了，現(xiàn)將過程記錄如下。
中招后的跡象比較明顯，一是啟動(dòng)電腦時(shí)輸入用戶名和密碼后，鼠標(biāo)光標(biāo)會(huì)變成漏斗狀，且進(jìn)入系統(tǒng)所需時(shí)間顯示變長；二是關(guān)機(jī)或重啟的時(shí)候，第一次按確定按鈕并不關(guān)機(jī)，而是屏幕變暗，這時(shí)點(diǎn)擊鼠標(biāo)可以回到桌面，要再一次選擇關(guān)機(jī)或重啟才能生效。
該木馬一共有三個(gè)文件，分別是：
C:\WINNT\System32\LOADHW.EXE
C:\WINNT\System32\msitinit.dll
C:\WINNT\System32\drivers\npf.sys
LOADHW.EXE是一個(gè)安裝文件，在會(huì)把自己注冊(cè)在：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
如果它被刪除掉，并不影響木馬的運(yùn)行，只是在開機(jī)時(shí)會(huì)報(bào)該文件不存在。
msitinit.dll是常駐內(nèi)存的，但注冊(cè)表中并沒有記錄它（很狡猾）。
npf.sys注冊(cè)為一個(gè)服務(wù)程序，且在“控制面板->管理工具->服務(wù)”中看不到，要在注冊(cè)表中才能看到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Npf
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NTF
它負(fù)責(zé)在啟動(dòng)時(shí)將msitinit.dll調(diào)入內(nèi)存，以及一些其它操作。
用WinPatrol軟件中CAT將這三個(gè)文件都列入黑名單（不然msitinit.dll會(huì)在開機(jī)時(shí)駐進(jìn)內(nèi)存而無法刪除），重啟電腦，刪除這些文件和相應(yīng)的注冊(cè)表記錄，病毒就給刪除了。
雖然病毒刪除了，但也在注冊(cè)表中留下了很多的垃圾鍵值，且我還不知道刪除這些鍵值會(huì)不會(huì)對(duì)系統(tǒng)有什么影響，所以一直沒有敢冒然清理：
例如，在Npf的注冊(cè)項(xiàng)里有一個(gè)ClassGUID={8ECC055D-047F-11DI-A537-0000F8753ED1}
有不少地方都有對(duì)它的引用。另外，如果你用UltraEdit打開npf.sys，其中一部分是亂碼，還有一部分可識(shí)別的文本中就有一些注冊(cè)表鍵值，我也不清楚能否刪除它們，所以只好保留著。
反正，與病毒的對(duì)抗中，永遠(yuǎn)不可能成為贏家！