※ 引述《junorn (威廉華勒斯)》之銘言： : 終於搞定了0rz : 這rootkit有夠難纏的... : 大概說明一下 : 那個假CNN 會產生一些檔案，但主要的檔案是 : WINDOWS\system32\CbEvtSvc.exe : windows\System32\drivers\33acc6a7.sys : 然後一個掛載服務 CbEvtSvc : 一個掛載驅動 33acc6a7 : 難纏的在驅動 33acc6a7 這個上面 : 由於他存取了SSDT，所以部分有主動防禦型的防毒會掛點 : 並且利用一些技術將 33acc6a7 這個 掛載的驅動隱藏起來，一般登錄編輯器可以看到 : 整段機碼，但完全看不到裡面的值。 : 然而使用icesword 可以刪除，只不過馬上再生而已 : 同樣該檔案用icesword刪除後馬上再生。 : 使用catchme破壞該檔案後馬上修復自身0rz : 基本上光靠Icesword刪除已經不夠力，必須要靠其他方式處理 : 這邊是使用Rename operations pending 的方式成功將檔案刪除掉 (要兩個檔一起) : 刪掉之後使用icesword將被存取的SSDT還原 : 並將掛載的驅動登錄值刪除之後才解除狀況0rz : 一般要碰到的話可能直接重灌會比較快。 : 遠端處理...我說實在的，我自己實際處理都弄很久了何況是遠端0rz : ------------------------------------------------------ : 不然就用WinPE那一類的開機光碟刪吧，他還沒有隱藏檔案自身所以還是刪的掉 剛剛查了一下登錄編輯器 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Explorer Bars\{C4EE31F3-4768-11D2-BE5C-00A0C9A83DA1}\FilesNamedMRU 名稱: 000 類型: REG_SZ 資料: 33acc6a7.sys 名稱: 001 類型: REG_SZ 資料: CbEvtSvc 寫入登錄值 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Value=lphcl76j0eg03 Data= C:\WINDOWS\system32\lphcl76j0eg03.exe 進程 C:\WINDOWS\System32\CbEvtSvc.exe C:\WINDOWS\system32\lphcl76j0eg03.exe 服務 NAME: CbEvtSvc DISPLAY: CbEvtSvc FILE: C:\WINDOWS\System32\CbEvtSvc.exe -k netsvcs 寫入檔案 C:\Documents and Settings\Administrator\Local Settings\Temp\.tt1.tmp C:\Documents and Settings\Administrator\Local Settings\Temp\.tt1.tmp.vbs C:\Documents and Settings\Administrator\Local Settings\Temp\.tt7.tmp C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\get_flash_update[1].exe C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\index2[1].htm C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\master[1].js C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\1[1].htm C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\dnd[1].js C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\metai[1].htm C:\Documents and Settings\Administrator\wXtwRzv.exe C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\BJW6A44R\04scan[1].exe C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\MMFL79XH\install[1].exe C:\WINDOWS\system32\blphcl76j0eg03.scr C:\WINDOWS\system32\CbEvtSvc.exe C:\WINDOWS\system32\drivers\4e0f5644.sys (Rootkit behaviors) C:\WINDOWS\system32\lphcl76j0eg03.exe C:\WINDOWS\system32\phcl76j0eg03.bmp C:\WINDOWS\Temp\.ttC9.tmp C:\WINDOWS\Temp\.ttC9.tmp.vbs C:\WINDOWS\Temp\.ttD0.tmp C:\WINDOWS\Temp\37D8BF6785C63DB6.tmp C:\WINDOWS\Temp\4AECE6A407384DE3.tmp C:\WINDOWS\Temp\92618DBC42FD0246.tmp C:\WINDOWS\Temp\ACBF1B06A8F8098A.tmp ※ 編輯: xiaoyao 來自: 140.130.189.41 (08/11 15:22)