计算机木马手工查杀方法探讨
近几年,木马活动越来越频繁。市面上也出现了很多针对这些木马的查杀工具和方法,但我们也看到传统型的反病毒、反黑客软件的反应速度远没有木马出现的速度快,所以,对于稍有一些计算机技术功底的用户,我们建议可以考虑采用一些手工查杀方法:
由于木马是基于远程控制的程序,因此,中木马的机器一般会因为木马入侵而开有特定的端口。一般一台个人用的系统在开机后最多只有137、138、139三个端口。若计算机正在上网,则有可能会有其他端口,这是本机与网上主机通讯时打开的,如IE一般会打开连续的端口:1025,1026,1027等。基于这个特性,我们平时可以通过在DOS命令行下用“netstat—na”命令,就可以看到本机所有打开的端口。如果发现除了以上所说的端口外,还有其他端口被占用(特别是木马常用端口被占用),那就需要提高警惕,因为这有可能是木马入侵的征兆。
因为一些木马文件属性是隐藏的,因此我们查找木马的第一步就是要打开操作系统“显示所有文件和文件夹”选项,去掉“隐藏受保护的操作系统文件”选项(打开IE浏览器——工具——文件夹选项——查看)。多数木马都会把自身复制到系统目录下并加入启动项(如果不复制到系统目录下则很容易被发现,不加入启动项在重启后木马就不执行了),启动项一般都是加在注册表中的,具体位置在:HKEY_LOCAl_MACHINE\SoftwareMicrosoftWindowsCurrentVersion下所有以 “run” 开头的键值:HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion下所有以“run”开头的键值;HKEY_USERS\Default\Software\Microsoft\WindowsCurrentVersion下所有以“Run”开头的键值。不过,也有一些木马在下列地方加载和运行:
在win.ini的【windows]字段中有启动命令“load=”和“run=”,在一般情况下“=”后面是空白的,如果有程序,例如:run=c:windows\file.exe或load=c:\windows\file.exc,要小心了,这个file.exe很可能就是木马。
●在System.ini中启动
另外,在System.ini中的[386Enh]字段,要注意检查在此段内的“driver=路径\程序名”,这里也有可能被木马所利用。再有,在System.ini中的[mic]、[drivers]、[driVers32]这三个字段,这些段也是起到加载驱动程序的作用,但也是增添木马程序的好场所。
●在Autoexec.bat和Config.sys中加载运行
这种加载方式一般都需要控制端用户与服务端建立连接后,将已添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行,而且采用这种方式不是很隐蔽,所以这种方法并不多见,但也不能因此而掉以轻心。
Winstart.bat是一个特殊性丝毫不亚于Autoexen.bat的批处理文件,也是一个能自动被Windows加载运行的文件。它多数情况下为应用程序及Windows自动生成,在执行了Win.com并加载了多数驱动程序之后开始执行。由于Autoexec.bat的功能可以由Winstaxt.bat代替完成,因此木马完全可以像在Autoexec.bat中那样被加载运行,危险由此而来。
●启动组
即应用程序的启动配置文件,控制端利用这些文件能启动程序的特点,将制作好的带有木马启动命令的同名文件上传到服务端覆盖同名文件,这样就可以达到启动木马的目的了。
●修改文件关联
修改文件关联是木马常用手段(主要是国产木马,老外的木马大都没有这个功能),比方说,正常情况下txt文件的打开方式为Notepad.EXE件,但一旦中了文件关联木马,则txt文件打开方式就会被修改为用木马程序打开,如著名的冰河就是这样干的。一旦你双击一个txt文件,原本应用N0tepad打开该文件的,现在却变成启动木马程序了。请大家注意,不仅仅是txt文件,其他诸如HTM、EXE、ZIP、COM等都是木马的目标。对付这类木马,只能检查HKEY_CIASSES_R00T\文件类型\shell\open\command主键,查看其键值是否正常。
实现这种触发条件首先要控制端和服务端已通过木马建立连接,然后,控制端用户用工具软件将木马文件和某一应用程序捆绑在一起,然后上传到服务端覆盖原文件,这样,即使木马被删除了,只要运行捆绑了木马的应用程序,木马又会被安装上去了。绑定到某一应用程序中,如绑定到系统文件,那么,每一次Windows启动均会启动木马。
通过木马程序发作会出现的一其它异常现象来发现木马
如何手工清除木马
当发现可疑文件时,可以试试能不能删除它,因为木马多是以后台方式运行,通过按“Ctrl+A1t+Del”是找不到的,而后台运行的应是系统进程.如果在前台进程里找不到,而又删不了(提示正在被使用),那就应该注意了。
那么,如何清除木马而不误删其他有用文件呢?当你通过上述方法找到可疑程序时,你可以先看看该文件的属性。一般系统文件的修改时间应是2004年或2006年之类,而不应该是最近的时间,文件的创建时间应当不会离现在很近。当看到可疑的执行文件时间是最近甚至是当前,那八成就要提高警惕了。
如果该木马改变了TxT、ExE或ZIP等文件的关联,那应把注册表改过来,如果不会改,那就把注册表改回到以前的,就可以恢复文件关联,可通过在DOS下执行“scanreg/restore”命令来恢复注册表,不过这条命令只能恢复前5天的注册表(这是系统默认的)。此举可轻松恢复被木马改变的注册表键值,简单易用。