1   1  /  1  页   跳转页

Rootkit.CallGate.b的另类杀法

收藏
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-03 17:40 | 显示全部 短消息 资料
字号： 小 中 大 1楼

Rootkit.CallGate.b的另类杀法



染上这个毒后，杀软报告Rootkit.CallGate.b，报告的病毒文件是C:\WINDOWS\system32\drivers\Rinld.sys。重启系统后，杀软还是杀不掉。关键在于这个Rinld.sys比较厉害。而且，Rinld.sys与Ravdm.exe、TIMPlatform.exe三位一体，互相勾连。
这个木马的手工查杀，已经发过几个帖子。但那都是借助其它工具的杀毒方法。有些网友掌握不好操作顺序（尤其是不关闭QQ就杀毒），往往是杀不掉，或发生一些其它诡异现象。
现在这个手工杀毒方法从另一个角度着手。就叫做“改名—重启—删除”法吧。

操作流程：

1、将木马文件改名。
将下列文件的后缀改为.txt：
（1）将C:\Program Files\Tencent\QQ\TIMPlateform.exe改为：C:\Program Files\Tencent\QQ\TIMPlateform.txt
（2）将C:\WINDOWS\system32\drivers\Rinld.sys改为：C:\WINDOWS\system32\drivers\Rinld.txt
（3）将C:\WINDOWS\system32\Ravdm.exe改为：C:\WINDOWS\system32\Ravdm.txt
2、重启系统。
3、删除：
C:\Program Files\Tencent\QQ\TIMPlateform.txt
C:\WINDOWS\system32\drivers\Rinld.txt
C:\WINDOWS\system32\Ravdm.txt

至此，木马已经被杀死。
剩下的就是注册表中的垃圾。用SREng等工具清理一下即可。

附件附件:

下载次数:279
文件类型:image/pjpeg
文件大小:
上传时间:2006-9-3 17:40:27
描述:
预览信息:EXIF信息



最后编辑2006-09-20 20:20:04
分享到：
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-03 17:57 | 显示全部 短消息 资料
字号： 小 中 大 2楼

引用:
【mopery的贴子】

汗一个..下次也改用这方法玩玩..
………………

不监控文件名——这是此马的一个软类。
“柿子拣软的捏”吗！
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-04 11:35 | 显示全部 短消息 资料
字号： 小 中 大 3楼

引用:
【月亮飞沙的贴子】版主.怎么改后缀? 那个EXE的后缀显示不出来
………………

附件附件:

下载次数:304
文件类型:image/pjpeg
文件大小:
上传时间:2006-9-4 11:35:19
描述:
预览信息:EXIF信息
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-04 11:40 | 显示全部 短消息 资料
字号： 小 中 大 4楼

引用:
【月亮飞沙的贴子】（3）将C:\WINDOWS\system32\Ravdm.exe改为：C:\WINDOWS\system32\Ravdm.txt

报告版主:这个文件我找不到
………………

仔细看4楼的图。
那样设置好以后，才能看到你要找的。
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-04 11:53 | 显示全部 短消息 资料
字号： 小 中 大 5楼

引用:
【求助高手帮助的贴子】Rootkit.CnsProt是不是也是这个病毒呢`？
………………

不是。
是另外一个。
一直没有拿到这个样本。所以没法给出手工查杀方法。
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-04 12:00 | 显示全部 短消息 资料
字号： 小 中 大 6楼

引用:
【CC猫儿的贴子】（1）将C:\Program Files\Tencent\QQ\TIMPlateform.exe改为：C:\Program Files\Tencent\QQ\TIMPlateform.txt


斑竹。
我是这个找不到。
而且我照你这张帖子删除方法办的时候。
http://forum.ikaka.com/topic.asp?board=28&artid=8156736&page=1
图3的 腾讯QQ我上面没。
我的是这样



我的怎么办啊？
而且在  开始/运行/msconfig  里面有这样的情况。
http://forum.ikaka.com/topic.asp?board=28&artid=8162240
我在这张贴子里说了。

问题比较多。。
希望LZ能认真的看。告诉我怎么办。
我是中毒后实在没办法。昨天刚做的系统。
做完了还是有。。
………………

这个木马的查杀要点是：
1、禁止QQ自动加载。
2、事先关闭QQ。

开着QQ杀，我也试过。会出现一些诡异现象，最后把你自己搞晕。如果你是新手，务必注意这两个要点。
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-04 12:04 | 显示全部 短消息 资料
字号： 小 中 大 7楼

引用:
【月亮飞沙的贴子】斑主.剩下的就是注册表中的垃圾。用SREng等工具清理一下即可。

前面的我都弄好了.最后一步.我把SREng这个软件也下载下来了.是不是用自动修复一下就搞定了?
………………

1、load：用SREng编辑一下。设置成空项。
2、9：用SREng删除。
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-05 11:18 | 显示全部 短消息 资料
字号： 小 中 大 8楼

引用:
【飞舞扑爱的贴子】（3）将C:\WINDOWS\system32\Ravdm.exe改为：C:\WINDOWS\system32\Ravdm.txt
我的没有这个文件啊 ,前两个有，文件设置了都是可见的
………………

请用ICeSword核实一下：如果确实看不到你说的“没有的文件”，就别管它了。把能找到的木马文件改名，重启后删除之。
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT