【原创】关于恶意驱动木马foxrar.exe的查杀方法★★★★★
运行木马时，未见任何杀毒软件报毒。
木马行为：
foxrar.exe 运行后将文件释放到当前用户的临时文件夹内。
C:\DOCUME~1\LIGHTN~1\LOCALS~1\Temp\winrar.sys
C:\DOCUME~1\LIGHTN~1\LOCALS~1\Temp\so.dll
注册驱动（Autoruns报）
HKLM\System\CurrentControlSet\Services
+ squell1 File not found: C:\DOCUME~1\LIGHTN~1\LOCALS~1\Temp\winrar.sys
注册成功后自杀????也许有DEBUG技术?
也许采用了先进的隐藏术,ICESWORD都没有看到这个winrar.sys
看来也许真被删除了.
临时解决方法:
用Autoruns修复
HKLM\System\CurrentControlSet\Services
+ squell1 File not found: C:\DOCUME~1\LIGHTN~1\LOCALS~1\Temp\winrar.sys
运行REGEDIT,删除:
[HKLM\System\controlset00X\squell] //其中X为1-5的数字
重启系统后清空临时文件夹.
删除so.dll
------------------
注:那个Win2998.exe运行后会调用foxrar.exe.一回事.
这个so.dll被释放后好像什么也没有做啊...
这个木马是不是真有DEBUG(反跟踪技术??)请高人回答....
