瑞星卡卡安全论坛

樣本是個驅動級木馬

這個木馬隱蔽性很好。我用TPF2005的Activity Monitor沒有監控到註冊表啓動加載項的添加（那兩個啓動加載項是我自己根據文件名在註冊表中搜索出來的）。00024914.dll和00024914.sys兩個木馬文件在普通WINDOWS模式下為隱藏。
1、創建文件：
在system32文件夾在夾中創建7.exe、00024914.dll；在system32\driver\文件夾中創建00024914.sys。

2、插入進程：此木馬插入iexplore.exe進程。

3、註冊表改動：

在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\添加：

Schedule（指向c:\windows\system32\7.exe）

在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\分之添加：

HIDEME（指向c:\windows\system32\00024914.sys）

查殺：

1、結束iexplore.exe進程。
2、刪除上述三個木馬文件。其中：00024914.dll和00024914.sys在普通WINDOWS模式下為隱藏，根本找不到。須用IceSword找到/刪除之。
3、刪除木馬在註冊表中添加的啓動加載項。

谢谢BAOHE版主

我的怎么没有
在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\分之添加：

HIDEME（指向c:\windows\system32\00024914.sys）
这个

但是我HJ日志23项里已经没有那个病毒服务了