瑞星卡卡安全论坛

目前，新版灰鸽子开始流行。看了几个网友的杀毒报告和HijackThis1.99.1扫的日志，归纳出以下特点，供朋友们自己动手查杀时参考：

1、木马文件所在位置不定。目前，看到三种情况：
（1）木马文件在%windows%文件夹中。这和“灰鸽子2005”没太大区别。
（2）木马文件在%windows%\Internet Explorer\文件夹中（这个文件夹是灰鸽子创建的）。
（3）木马文件在%system%\drviers\文件夹中。

2、可执行文件.exe的文件名变化不定。目前见到的有：

C:\windows\Internet Explorer\svchost.exe

C:\WINDOWS\system32\drivers\UPS.exe

3、共同的特点：
（1）以前的.DLL文件没了，改成了一个.DAT文件。可执行文件.exe与.DAT文件同在一个位置。.exe和.DAT文件名随机。我拿到的一个样本，感染系统后，在C:\windows\下创建一个名为Internet Explorer的文件夹；生成的木马文件位于C:\windows\Internet Explorer\文件夹内（杀毒前，用资源管理器看不到其中的木马文件）。用IceSword可看到这个文件夹中的两个木马文件svchost.exe和XXXXXX.DAT(XXXXXX为可变的大写英文字母)。
（2）HijackThis1.99.1日志中可以发现异常系统服务项O23。如：O23 - NT 服务: Network Device Host (virtual) - Unknown owner - C:\windows\Internet Explorer\svchost.exe。其中，括弧中的virtual就是要删除的注册表项；C:\windows\Internet Explorer\是木马可执行文件所在的文件夹，svchost.exe是木马的可执行文件。
（3）感染系统后，那个.DAT通过iexplore.exe插入系统中当前活动的多个正常程序的进程（见附图中的红色部分）。这正是灰鸽子难杀的根本原因。
4、手工查杀（以我拿到的那个样本为例）：
在IceSword的“设置”中勾选“禁止进程创建，结束木马进程（本例是C:\windows\Internet Explorer\svchost.exe）、iexplore.exe（IE浏览器进程）。
用IceSword删除C:\windows\Internet Explorer\svchost.exe。
用IceSword删除木马添加的注册表项（本例是virtual和mchInjDrv，均位于HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\分支）。
在IceSword的“设置”中取消“禁止进程创建”，重启系统。
将C:\windows\Internet Explorer\整个文件夹删除。

附件: 1558472005103234441.jpg

顶~~~~~~~~~~~~~~~~~`
班竹的精华贴，绝对收藏！

在IceSword的“设置”中勾选“禁止进程创建”班竹，这个在哪？我怎么没看到？？还有：“用IceSword删除C:\windows\Internet Explorer\svchost.exe。
用IceSword删除木马添加的注册表项（本例是virtual和mchInjDrv，均位于HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\分支）。”这两步操作，我好像没发现这个IceSword可以删除文件？？？？？

引用:

【独孤豪侠的贴子】在IceSword的“设置”中勾选“禁止进程创建”班竹，这个在哪？我怎么没看到？？还有：“用IceSword删除C:\windows\Internet Explorer\svchost.exe。 用IceSword删除木马添加的注册表项（本例是virtual和mchInjDrv，均位于HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\分支）。”这两步操作，我好像没发现这个IceSword可以删除文件？？？？？ ...........................

看下面两个图

图1

附件: 1558472005911162601.jpg

图2

附件: 1558472005911162651.jpg

你真的不该只是3个精华

呵呵,这个东东的菜单栏我还没细心看过,sorry!
还有SSM有没中文的,都是英文用来不方便!!呵呵~~

顶~~~斑竹厉害哦。

回复“独孤豪侠”接着看：

附件: 1558472005911163221.jpg

再看

附件: 1558472005911163339.jpg

最后一个

附件: 1558472005911163441.jpg

引用:

【独孤豪侠的贴子】呵呵,这个东东的菜单栏我还没细心看过,sorry! 还有SSM有没中文的,都是英文用来不方便!!呵呵~~ ...........................

SSM有中文文件，在我的网络E盘里有。

谢谢两位班竹！！刚电脑莫名重起，发现这个是什么回事？

附件: 5598202005911163929.jpg

引用:

【天天泡泡的贴子】你真的不该只是3个精华 ...........................

“精华帖”/“版主”/“大版主”——这些，我统统不在乎。我任版主以来，没有给自己的任何一个帖子加过“精”。“精”与“不精”——由别人评论；能解决问题/诱导高手们“拍砖”，以找到更好的解决办法——这才是我发帖的目的。

呵呵，以后要向班竹学习！！~~~~不仅要学杀毒技术，还要学学思想道德！

希望baohe大哥能写个帖子讲解下IceSword的用法,方便新手使用.我第一次用的时候也有点晕

好软件，值得学习使用方法

引用:

【命运里の金色的贴子】希望baohe大哥能写个帖子讲解下IceSword的用法,方便新手使用.我第一次用的时候也有点晕 ...........................

就是啊,
现在才晓得用一点点.

呵呵顶，最好带上SSM

引用:

【独孤豪侠的贴子】呵呵顶，最好带上SSM ...........................

9494!
支持楼主及斑竹给我们做个教程!

IceSword自带的帮助文件也说明了很多.

IceSword这个在哪里呀？对偶们这类来说是基本不懂哎。请斑竹指点。谢谢！

引用:

【玲珑心的贴子】IceSword这个在哪里呀？对偶们这类来说是基本不懂哎。请斑竹指点。谢谢！ ...........................

IceSword 是个软件
下载地址:
http://forum.ikaka.com/topic.asp?board=28&artid=6979213
在第3楼

好贴！

好贴加好软件.值得顶呀。
就是软件没有什么教材,不敢乱来.
强烈建议做个IceSword和ssm教材来看看。

引用:

【惡魔メ寶貝的贴子】好贴加好软件.值得顶呀。 就是软件没有什么教材,不敢乱来. 强烈建议做个IceSword和ssm教材来看看。 ...........................

看帮助文件吧.
我知道的---不比那个帮助文件更多.

引用:

【baohe的贴子】 看帮助文件吧. 我知道的---不比那个帮助文件更多. ...........................

可是SSM没有帮助文件呀。

我从《电脑爱好者》上看过介绍过Icesword的文章，知道它的功能很强，我也下载了这款软件，只知道一些基本的作用，不能充分发挥它的功能，如果版主有空的话，希望能详细介绍它的用法。

引用:

【惡魔メ寶貝的贴子】 可是SSM没有帮助文件呀。 ...........................

http://forum.ikaka.com/topic.asp?board=33&artid=5947503

baohe斑竹能否写个IceSword的教程？像我这种新手看了都晕乎乎的～～