中rootkit类木马/后门,现在已经成为一种新的“时髦”。不幸赶上这种“时髦”的朋友们往往头疼不已——难杀! J_#R 87
zz$q5[n
关于rootkit类木马/后门,目前为止,我只拿到了一个样本。此样本是个夹带rootkit(文件名为msdirectx.sys)的后门,卡巴斯基报——Backdoor.Win32.Irofer.13b04。 `kBnSi o~
ySNV^+
关于这个后门,在“Rootkit为什么难缠”一帖中已经粗略的介绍过其感染特点。但是,那个帖子是在监测到病毒文件的条件下谈查杀方法。然而,来求救的朋友们,往往是在不知不觉的情况下感染了这类木马/后门,不知系统中存在那些病毒文件,更不要说病毒文件名及其所在位置了。再者,即使知道了病毒文件名,由于那个msdirectx.sys的掩护,用一般的常规方法在WINDOWS模式下也搜不到病毒文件的位置。 }3/~x
上述内容正是查杀rootkit类木马的难点。怎么办?有办法。古人云:“工欲善其事,必先利其器”。因此,先介绍对付这类木马/后门的工具。 )+O r
XbvDi+R2A
【工具1】:DLLCOMPARE(Qoo酷儿汉化,本帖10楼有下载)——侦察可执行文件.exe及其所在位置。 q{4|Kpx@
,qFA\cO*
注:DLLCOMPARE不能放置在带双字节的目录中运行,例如是中文命名的文件夹,即不能放置在“桌面”中运行。 nZvU'k:
cHvF* A
【工具2】:KillBox(Qoo酷儿汉化,本贴11楼有下载)——删除病毒文件.exe。 E%k7wM {
o#i
]"
【工具3】:IceSword——删除.sys文件用(本例是msdirectx.sys)。IceSword是免费软件,网上可以找到。目前最新版本是1.10。 m24v@?*
')PVGV(D+
接下来说说查杀过程: 0my9l;X
1、重启到安全模式下。运行DLLCOMPARE,扫描、比较C盘中的.exe,找到多出来的那些.exe,很可能就是你要找的病毒创建的可执行文件。 Y\t_&