一只“狗皮膏药”式的灰鸽子
鸽子样本来源：
【http://pickup.mofile.com/0040017004434143 ；提取码 0040017004434143 】【注】这个网络硬盘提取的木马文件有可能有问题（不全）。感谢“闪电风暴”将完整样本提供给我。
这只鸽子的特点是“跟踪式DLL注入”。即：你运行什么程序，它就试图将那个5i.dll注入那个你要运行的程序。你不让它注入？那你就瞧好儿吧！
这样的鸽子，不适合用SSM禁止其dll（本例是5i.dll）运行。
第一次观察这只鸽子，我就吃了这个亏。用SSM禁止5i.dll运行后，系统就像死掉一样，慢得让人抓狂！关闭或打开一个程序，你可以先睡一觉儿去。回来再看看——那个程序也未必就关闭/打开了。那个5i.dll就像“狗皮膏药”一样——粘上你的系统了。
这只鸽子得弱点在于——没有解决“安全模式”下的启动加载问题。
对付它，你只要在普通WINDOWS模式下将其服务项删除，然后，重启到安全模式下，删除其文件（见附图），就轻易搞掂了。
可能有人会问：你在普通WINDOWS模式下删除它的启动项时，不是也得用工具吗？
那个5i.dll不是也要插入你所用的工具进程中吗？
没错！它是要插工具进程的。让它插好了。即使工具进程被插了，也一样能将鸽子的服务项删除。
