teyqiu teyqiu
关注数: 99 粉丝数: 58 发帖数: 7,552 关注贴吧数: 8
谈谈infostealer.gampss病毒的清除策略 谈谈infostealer.gampss病毒的清除策略by 崔衍渠 2008.6.16 天下无毒http://hi.baidu.com/teyqiu首先要澄清的一个概念是 infostealer.gampss病毒不是一个病毒,而是一个系列的病毒的名称。因此虽然你的杀软也告诉你中了infostealer.gampss病毒,但你网络上搜索的infostealer.gampss病毒的清除方法对你可能根本无效,这一点都不奇怪。infostealer.gampss病毒 是 Symantec norton antivirus(诺顿)定义的以窃取游戏帐号、密码为主的木马类病毒。目前发现此类病毒的变种很多,一般具有随机文件名,可能会劫持AppInit_DLLs,也有可能会通过HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks加载DLL,某些时候还会劫持IFEO,使杀软失效。至于修改下系统时间让卡巴等变呆更是小儿科的行为。在IFEO劫持方面,有时会指向病毒的一个备份文件,有时却是正常的系统文件,其结果就是系统的死慢甚至假死。可参考本博的近期处理的几则案例。某些infostealer.gampss病毒会通过系统服务或者驱动的方式获得进一步的控制权。一般情况下还不会忘记对autorun.inf的利用。比较厉害的infostealer.gampss病毒会联合使用如上的各种可能,使得被清除变得不宜。对于这种无耻行径的infostealer.gampss病毒,我们的应对策略是什么呢?1、用改过文件名的 sreng扫描获得LOG ,以进行下一步的具体分析。如果改名后 改文件后缀后都不能运行,应尝试安全模式。一般情况下总有获得运行的机会。在SREng扫描过程中被强制退出的时候应再次启动SRENG,在提示的紧急扫描时候选择YES,让SRENG生成一个紧急扫描文件,这就是我们需要的LOG。2、具体情况具体分析。因为infostealer.gampss病毒是一个系列的病毒的统称,因此可能别人的一个infostealer.gampss病毒的处理案例对你没有任何的帮助。获得LOG后请有分析能力的人帮助仔细的分析排查下问题项目,以获得解决方案。如果有可能的情况下,请尽量参考本博的“通用病毒杀灭机”的处理方法。例如 SREng日志中的可能的表现:[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows] [][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] <{37AC9076-C898-B098-D098-A18319080973}> [] <{7C8D1401-A58D-A81C-CD24-A5915C4517C7}> [] <{6629FF4F-ACDB-5C90-A098-FACB3456A266}> [] <{9490415F-65F8-B5C5-D8BA-9405FB120549}> [] <{6A041F13-A111-12A3-B0CF-F99818AA68A6}> [] <{C0595A7E-2E2F-4B34-A83A-019270A0A464}> [N/A] <{8C41B7F7-3168-400D-A702-0E7EFE0BA304}> [N/A] <{6E6CA8A1-81BC-4707-A54C-F4903DD70BAD}> [N/A] <{17DFD111-BF3A-4CB4-ADB0-88FCBFE69821}> [N/A] <{EA5D4B0E-B8CE-4761-8C7E-5D26369F0EC6}> [N/A] <{F99DEFDD-200B-4410-B572-E90883D527D2}> [N/A] <{7E54996D-821E-4631-87FA-406383955A10}> [N/A] <{1E51C0FD-EE36-434B-AD2A-FD1FF3731C38}> [N/A] <{E8A3B193-77E3-4FB3-986D-F4FA4828BAFC}> [N/A]服务[E336F256 / E336F256][Stopped/Auto Start] 驱动[apcdli / apcdli][Running/Auto Start]<\??\C:\Program Files\Microsoft Office\SYSTEM\apcdli.sys> 参考案例:http://www.kingzoo.com/bbs/thread-13369-1-1.htmlhttp://www.kingzoo.com/bbs/thread-13304-1-1.html
1 下一页