一只极其变态的灰鸽子
这只鸽子夹带在一个自称为“WinRAR 3.51 正式版（苹果风格）美化版.exe”的工具软件中。这个WINRAR根本就无法正常完成安装过程。倒是其中的那只鸽子可以完整的植入系统中
【见本帖25楼的GIF动画】。
之所以说它变态，是因为这只鸽子与“街头篮球”中的那只鸽子及其相似——通过修改iexplore.exe内存，加载一个C:\WINDOWS\Temp\mc210.tmp的驱动，再次修改iexplore.exe内存，再经iexplore.exe插入smss、csrss、winlogon、services、lsass、svchost、spoolsv、UmxCfg、UmxFwHlp、UmxPol、UmxAgent、UmxTray、Umxlu、Ati2evxx、MDM、QCONSVC、explorer、alg、ctfmon、amon、IDMan、HyperSnap等系统进程和正在运行的应用程序进程。
有意思的是：它并没有尝试插入SSM进程（说明SSM的自身防护问题已经解决的比较好了）。这只鸽子释放的文件为：
C:\WINDOWS\KB905.exe
C:\WINDOWS\KB905.dll
C:\WINDOWS\KB905_Hook.dll
C:\WINDOWS\Temp\mc210.tmp
注册表改动为：
在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services分支
添加：windows启动程序。
尽管鸽子的作者费尽心机，将这只鸽子做成“多进程多线程插入”，但是，用SSM查杀这只鸽子，操作依然很简单：
1、在“规则”中禁止下列三个文件运行（见图）：
C:\WINDOWS\KB905.exe
C:\WINDOWS\KB905.dll
C:\WINDOWS\KB905_Hook.dll
2、将SSM设置为“自动加载”。
3、重启系统。至此，这只鸽子已经成了废物。下面的操作属于“扫垃圾”。
4、显示隐藏文件。
5、删除：
C:\WINDOWS\KB905.exe
C:\WINDOWS\KB905.dll
C:\WINDOWS\KB905_Hook.dll
C:\WINDOWS\Temp\mc210.tmp
6、打开注册表编辑器，展开：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
删除：“windows启动程序”。
至此，这只变态的鸽子就被彻底收拾了。
图
