|
爱财给你转了篇文章好好看看哈。 这几天发现网吧中了一个很难缠的木马logo1.exe ,中了这个病毒 好像只能断网停业，重新做盘, 希望可以引起大家的注意！！
上半周，dmsti.exe病毒被感染得比较多，这个是“Alerter”病毒（又名GOLTEN）释放的一个木马程序，加在注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\WinLogon下的Shell后边，系统启动时它就会被运行，另外在这个注册表位置下还建立了一个“dfile”的键，内容是一个网站上的exe文件，该文件也是“Alerter”病毒。这“Alerter”病毒释放出一些DLL文件（COMWSOCK.DLL、DMSOCK.DLL、IETCOM.DLL、SPTRES.DLL ），它们会加载到一些系统及应用程序的进程中，并试图发送病毒邮件。病毒邮件的内容关于刚去世的巴勒斯坦民族权力机构前主席阿拉法特，附件为带有EMF漏洞（MS04-032）的病毒图片。遇到此问题的用户可以运行“REGEDIT”打开注册表编辑器，定位到“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\WinLogon”，修改右边“Shell”的内容，将“Explorer.exe dmsti.exe”修改为“Explorer.exe”，再将“dfile”项删除，除此之外，还要使用杀毒软件对系统盘进行全面查杀
后半周比较突出的是现在仍未得到很好处理的LOGO1_.exe木马病毒，看上去，这个木马病毒会盗一些密码发送到指定的信箱中，更难缠的是它会将自己捆绑附加到EXE文件中（加在前端），当被捆绑的EXE文件运行后病毒会再次被激活，较难处理。
病毒激活后会在%Windows%下生成LOGO1_.EXE病毒文件，另外还会释放一个virDLL.DLL文件。目前Duba已经查杀（19日晚更新），Kaspersky等一些反病毒软件也可以查杀该病毒，但对于被捆绑的EXE文件操作似乎是删除，未能清除。
再说说一些比较常见的木马病毒的情况，一般情况下，如果发现的是EXE等可执行文件，可以尝试在安全模式下删除，或者结束它（们）的进程后再删除，如果是发现DLL文件，也可以尝试在安全模式下进行删除，如果删除不了，一般是加载到Explorer.exe或其它EXE的进程中，这时可以尝试到带命令提示的安全模式或DOS下删除它（们），当然，也可以结束Explorer.exe等进程后再查杀。
常见的“灰鸽子”，一般是一个EXE文件和一个DLL文件，如果反病毒软件只查到一个DLL文件，如G_SERVER.DLL，这时你可以找找有没有G_SERVER.EXE，如果存在，就把它们两个都删除。一般EXE文件可能会被加在启动项或服务中，运行后释放DLL文件，之后可能自身会退出进程，不易被用户发觉。
以下是几点预防建议
1. 建议通过Windows Update安装好系统补丁程序(关键更新、安全更新和Service pack)，其中MS04-011、MS04-012、MS04-013、MS03-001、MS03-007、MS03-049、MS04-032等补丁尤为重要。
2. 给系统管理员帐户设置足够复杂的管理员密码，最好是10位以上，字母+数字+其它符号
3. 安装使用网络防火墙软件，可以有效地阻挡病毒的入侵。部分盗版Windows用户不能正常安装补丁，也可以通过使用网络防火墙来进行防护
4. 关闭没有必要的共享目录
5. 不要运行陌生、可疑程序和文件
6. 使用外挂要小心，可能还有木马或病毒程序
7. 如发现系统中有可疑文件请及时上报
| 
发表于 2004-12-31 02:35:42
发表于 2005-1-15 06:22:08
