1   1  /  1  页   跳转页

致“gysftd”——JXJ_QQ.exe的查杀

收藏
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-02-03 20:36 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

致“gysftd”——JXJ_QQ.exe的查杀

1、打开注册表编辑器，删除下列注册表项：
（1）展开HKEY_CLASSES_ROOT\CLSID\
删除：{08315C1A-9BA9-4B7C-A432-26885F78DF28}
（2）展开：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
删除："{08315C1A-9BA9-4B7C-A432-26885F78DF28}"=""
2、重启系统。
3、显示隐藏文件，找到并删除：
C:\Program Files\Common Files\Microsoft Shared\MSInfo\Ms_Info.Obj
最后编辑2006-02-03 21:00:40
分享到：
gototop
 
天天网
头像
强壮不惑狮
  • 帖子:782
  • 注册: 2005-03-12
  • 来自:
发表于： 2006-02-03 20:48 | 短消息 资料
字号： 小 中 大 2楼

学习
gototop
 
gysftd
头像
初生襁褓狮
  • 帖子:1
  • 注册: 2006-02-03
  • 来自:
发表于： 2006-02-03 20:57 | 短消息 资料
字号： 小 中 大 3楼

谢谢老大 能否展示下 怎么搞定他的  我可是 注册表 启动项目 都看过了
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-02-03 21:00 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

引用:
【gysftd的贴子】谢谢老大 能否展示下 怎么搞定他的  我可是 注册表 启动项目 都看过了 
...........................

拿到你的样本。
在我的电脑中运行。
用TPF2005 的Acyivity Monitor监控那个样本每一步的动作。
记录下来，写成帖子。
最后，贴在这里，供你参考。
这就是整个过程。

这个木马，你查看注册表中那些常规的启动项、服务项——没用。它不跟你玩儿“常规”的。它玩儿ShellExcuteHook挂接。
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT