|
木马名称:TrojanDownloader/Win32.Agent.OQW,被这个东西折磨了一下午才弄好(还不一定,不过现在系统平静多了:cpu、内存占有率正常了,但现在还不敢大意,不敢运行exe文件)。
一直都是裸奔上网,因为我喜欢低cpu、低内存占有率,平常只上点正经网站,在病毒如林的网络世界里,只能洁身自爱了。但有时候还是要下载工具,估计问题就出在这里了。昨晚在摸索一个工具,玩着玩着,觉得有点不正常。一向速度刷刷地快的老机子,怎么卡卡地?赶紧扔掉工具,ctrl、alt、del调出任务管理器看,不对,内存占有咋这高哩?cpu也像我们的GDP一样居高不下。我把里面几个进程所用内存全都加起来也不过200M,咋成了800M,出事了。。此时天色已晚,只好关机睡觉。
今天晌午时分起床开机,我的妈,老半天才看到桌面,但一闪,桌面图标全没了,只剩个鼠标孤零零地空白的桌面上形影相吊。ctrl、alt、del看看咋回事,可键盘使劲按都没反应,这才知道来着不善。系统不好使了,只好reset后用PE启动进去,转移下重要文件,在PE里上网求助,无果。只好ghost恢复。
系统重装了,也好,落得一身清净,一切都从头再来吧。C盘现在干净清爽滴很,这次装了之后再坚持几年应该没问题。装好后,运行了PPS网络电视,这个软件被恢复在D盘,这下又出事了!情况如前所述,又卡机了,这时上网下载360,想亡羊补牢,但为时已晚,因为运行它时,它自己都中招了。重启,我的天,又是进不了桌面,不到10分钟,我又要重装,我的硬盘啊。无奈,ghost恢复,装完后,啥都不干,啥也不看,立刻装360,糟了!因为之前下的360放在D盘,已经是个不干净的360。无奈,不到1分钟,我又要重装系统。这次装完后,立刻上网下载360放在干净的C盘里,装上它,通过它打满系统补丁,修复所有漏洞(都是360指出的)。然后用它的木马查杀(杀之前更新了最新木马库,几十M)查杀,好多个usp10.dll,统统干掉(提醒下手工杀毒爱好者,在system32里以及它里面文件夹里有两个usp10.dll是不能杀的,就它两是好人)。
该病毒真有立竿见影的效果,病来如山倒,病去如抽丝。
下面再贴一个高手分析这个病毒的原理文章:
很多应用程序加载时,会加载usp10.dll,因为它本身需要这个DLL里的函数(可能)。
system32目录里的usp10.dll, 是系统自身的DLL,病毒就是劫持了这个DLL。写一个同名的DLL文件放在exe程序的同一目录下,当系统装载这个程序时,而这个程序又需要用到这个DLL时,系统就会先在本目录下查找这个DLL,并加载之。
前面我说过,我自己写一个usp10.dll,不能被加载,而那个病毒却可以被加载,这个问题令我费解了很久,现在终于有眉目:这个DLL,要与被劫持的DLL拥有相同的函数导出表!否则,系统不予加载,可能是这样。(相当于欺骗系统:我就是您老人家要找的那个DLL,您老人家不用回windows\system32下面翻箱倒柜找了,我近在眼前,就在该exe所在目录下)。
当然有了这个病毒,程序还是能运行,只是慢的多,那也就是说应用程序调用的函数功能是正常的,那么,在病毒DLL里是如何办到的呢?它只需把函数的调用最终转向正常的系统DLL里的函数调用即可。
只是简单的古老的DLL劫持,我开始竟然想不明白,唉,终于释怀……。
本贴被 zcllom 编辑过,最后修改时间:2009-01-30,18:55:08. |
阿莫论坛20周年了!感谢大家的支持与爱护!!
曾经有一段真挚的爱情摆在我的面前,我没有珍惜,现在想起来,还好我没有珍惜……
|