Rootkit病毒的解决办法

在诸多病毒类型里面最让人深恶痛绝的就是Rootkit（内核型）蠕虫病毒，许多时候杀毒软件能检测到该病毒，但却无法有效清除。此类病毒的特点是病毒文件为两个或多个，一个是扩展名为EXE的可执行类型文件，一个是扩展名为SYS的驱动类型文件。EXE可执行文件为传统的蠕虫病毒模块，负责病毒的生成、感染、传播、破坏等任务；SYS文件为Rootkit模块。

Rootkit也是一种木马，但它较我们常见的“冰河”、“灰鸽子”等木马更加隐蔽，它以驱动程序的方式挂入系统内核，然后它负责执行建立秘密后门、替换系统正常文件、进程隐藏、监控网络、记录按键序列等功能，部分Rootkit还能关闭杀毒软件。目前发现的此类模块多为病毒提供隐藏的机制，可见这两类文件是相互依赖的。既然病毒已经被隐藏了，我们从何处入手发现病毒呢？这里就以感染orans.sys蠕虫病毒的计算机为例，探讨如何检测和查杀该类病毒。

检测病毒体文件  

Norton防病毒软件报告c:windowssystem32orans.sys文件为Rootkit型病毒，这里可以看到使用Rootkit代码的SYS文件是无法逃过杀毒软件检测的。那么是否删除了该文件就能清除病毒呢，答案是不行的。

首先在染毒的系统下该文件是受保护的，无法被删除。即使用户在安全模式下删除了文件，重新启动后，另外一个未被删除的病毒文件将随系统启动，并监控系统。一旦其发现系统的注册表被修改或病毒的SYS文件遭删除，病毒就会重新生成该文件并改回注册表，所以很多时候我们会发现病毒又重生了。因此需要同时找到这两个文件，一并处理。但在受感染的系统中，真正的病毒体已经被Rootkit模块隐藏了，不能被杀毒软件检测到。这时就需要从系统中的进程找到病毒的蛛丝马迹。系统自带的任务管理器缺少完成这一任务的一些高级功能，不建议使用。这里向大家推荐IceSword或Process Explorer软件，这两款软件都能观察到系统中的各类进程及进程间的相互关系，还能显示进程映像文件的路径、命令行、系统服务名称等相关信息。在分析过程中不仅要留意陌生的进程，一些正常系统进程也要仔细检查，因为病毒常以子进程插入的方式将自己挂到系统正常进程中。在IceSword软件中以红色显示的进程为隐藏进程，往往是内核型木马的进程。

端口分析也是一种常用的方法，因为病毒常打开特殊的端口等待执行远程命令，部分病毒还会试图连接特定的服务器或网站，通过进程与端口的关联，检测到病毒进程。

在上面的例子中我们通过比对正常运行的系统和染毒系统很快就判断出系统中的restore进程为异常进程，该进程的映像文件为c:windowsrestore. exe，这样我们就找到了病毒体文件。而当找到这个文件时，发现Norton没有告警，可见病毒文件躲过了杀毒软件。进一步分析还发现病毒在系统中添加了一项服务，服务名称为“restore”，可执行文件路径指向病毒文件。

手工清除病毒  

1.关闭系统还原功能，右键单击“我的电脑”，选择“属性”，在“系统属性”中选择“系统还原”面版，勾选“在所有驱动器上关闭系统还原”，关闭系统还原功能。

2.重新启动计算机进入安全模式，在“控制面板”→“管理工具”中单击“服务”，病毒在这里添加了“restore”服务，将该服务禁用。

3.手动删除c:windows restore.exe和c:windows system32orans.sys两个病毒文件。

4.运行注册表管理器regedt32. exe，查找注册表病毒添加的表项。在

  • HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices
  • HKEY_LOCAL_MACHINESYSTEMControlSet001Services
  • HKEY_LOCAL_MACHINESYSTEMControlSet002Services

三个分支下发现病毒添加的 “orans.sys”和“restore” 注册表项，删除该表项。

5.重启动系统到正常模式，打开系统还原功能，并为系统安装补丁程序。

这类病毒的变种很多，从病毒生成的可执行文件到注册的系统服务、传播及危害方式都有所不同，这里主要提供一个思路，大家在遇到时能找准根源解决问题。另外这类病毒多数是利用操作系统的漏洞或猜解管理员的口令入侵的，有些病毒还能同时利用多个漏洞，逐一尝试。因此大家要充分意识到打补丁的重要性，同时避免空或弱的管理员口令，降低病毒入侵的机会。

总结

以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，谢谢大家对我们的支持。如果你想了解更多相关内容请查看下面相关链接

赞 (0)

相关推荐

  • c病毒程序原理分析(防范病毒 c语言小病毒示例)

    病毒的特点: 病毒的最大特点就是自我复制,从病毒的分类来说有很多种,这里我们将介绍最流行的附加式病毒,它通过对正常的文件进行改写,增加来实现其自我复制的目的.从程序的角度来说,我们要做的事情有两件: 1,让程序能够将自己在不影响其它程序本身工作的情况下复制给其它程序,使它具备继续复制的能力. 2,在一定条件下使其产生某种发作效果.其实第一件事情实际上可以看成对文件进行复制,把病毒源文件的功能函数全部放到被感染文件的最后,同时在被感染文件中调用这个函数 下面给出c语言的实现过程:1,主程序调用病毒

  • linux服务器被植入ddgs、qW3xT.2挖矿病毒的处理实战记录

    linux服务器被植入ddgs、qW3xT.2挖矿病毒的处理实战记录

    前言 随着虚拟货币的疯狂炒作,挖矿病毒已经成为不法分子利用最为频繁的攻击方式之一.病毒传播者可以利用个人电脑或服务器进行挖矿,具体现象为电脑CPU占用率高,C盘可使用空间骤降,电脑温度升高,风扇噪声增大等问题. 本文主要介绍的是关于linux植入ddgs.qW3xT.2挖矿病毒的处理方法,下面话不多说了,来一起看看详细的介绍吧 被入侵后的现象: 发现有qW3xT.2与ddgs两个异常进程,消耗了较高的cpu,kill掉后 过一会就会重新出现. kill 掉这两个异常进程后,过一段时间看到了如下进

  • 通过批处理关闭135 137 445等端口的实现代码(勒索病毒)

    主要是通过bat操作防火墙添加规则,一般是tcp与udp. 日前,全球近百个国家和地区都有电脑系统遭受一个名为WannaCry的病毒攻击,被攻击者被要求支付比特币才能解锁.12日,安全软件制造商Avast表示,它已经在99个国家观察到超过57000个感染例子. 13日,中国国家互联网应急中心发文称,互联网上出现针对Windows操作系统的勒索软件的攻击案例,勒索软件利用此前披露的Windows SMB服务漏洞(对应微软漏洞公告:MS17-010)攻击手段,向终端用户进行渗透传播,并向用户勒索比特

  • VBS.Runauto脚本病毒分析篇

    VBS.Runauto脚本病毒分析篇

    最近一位同事的笔记本遭遇了这个病毒,正好这学期在给计算机专业的同学们上VBscript于是顺便分析了一下. 首先从染病毒的计算机上提取下来病毒样本,由于是临时发现的,也没有特别准备,就用winrar压缩后保存. 在实验机器上打开病毒样本的压缩文件,我的Symantec 11立即报警,并把病毒删除了.所以必须禁用杀毒软件或者设置一个"例外区域"用于分析病毒,于是在桌面上新建了"evA"文件夹,并将之设置为防病毒例外文件夹,这下病毒样本安静的躺在里面了. 脚本病毒是解释

  • 一段病毒常用的VBS代码

    复制代码 代码如下: On error resume next Dim fso,wshell,curfolder,curdristr,curdri Set fso=createobject("scripting.filesystemobject") Set wshell=CreateObject("WScript.shell") Set curfolder=fso.GetFolder(".") curdristr=Left(WScript.Scr

  • VC实现的病毒专杀工具完整实例

    本文实例讲述了VC实现的病毒专杀工具的方法.非常实用,分享给大家供大家参考.具体实现方法如下: 如今病毒木马蠕虫层出不穷,变种也是一个接一个.反病毒公司以及各大安全公司随着影响很大的病毒的出现都会免费提供病毒专杀工具,这个举措对普通用户来说确实很有帮助.其实写病毒专杀工具也不像大家想象的那么神秘,利用SDK写个控制台程序来实现病毒专杀,因无须写图形界面,所以简便快捷!你自己也能写!不信?就接着看吧^_^ 废话不说了,接下来就开始谈谈病毒专杀工具的思路及实现方法. 本文中讲解的病毒专杀工具是针对木

  • Autorun 病毒清除工具bat代码

    复制代码 代码如下: @Echo Off color 2f title Autorun 病毒清除工具-By Phexon Rem 杀进程 taskkill /F /IM SocksA.exe /IM SVOHOST.exe /IM AdobeR.exe /IM ravmone.exe /IM wincfgs.exe /IM doc.exe /IM rose.exe /IM sxs.exe /IM autorun.exe /IM KB20060111.exe /IM tel.xls.exe>nul

  • 利用DOS命令来对抗U盘病毒保护U盘数据

    U盘的便捷性与大容量的存储性,深受着广大用户的欢迎,几乎每个用户都会人手一个,但就是这么广泛的使用,以至于U盘被病毒悄悄盯上,越来越多的病毒通过电脑.通过文件毁坏重要的数据,为了保护好U盘的数据,灭除U盘病毒成为了用户们的首要任务,下面就教大家一个小技巧,利用DOS命令来对抗U盘病毒. 利用DOS命令删除U盘病毒的步骤: 1.点击"开始→运行",输入"CMD",按回车键 2.打开命令提示符窗口,切换到U盘所在盘符或是中了Autorun.inf病毒的盘符下,依次执行下

  • 批处理 Autorun 病毒清除工具

    @Echo Off color 2f title Autorun 病毒清除工具-By Phexon Rem 杀进程 taskkill /F /IM SocksA.exe /IM SVOHOST.exe /IM AdobeR.exe /IM ravmone.exe /IM wincfgs.exe /IM doc.exe /IM rose.exe /IM sxs.exe /IM autorun.exe /IM KB20060111.exe /IM tel.xls.exe>nul 2>nul :cl

  • 对一个vbs脚本病毒的病毒原理分析

    对一个vbs脚本病毒的病毒原理分析

    一.前言 病毒课老师丢给我们一份加密过的vbs脚本病毒的代码去尝试分析,这里把分析过程发出来,供大家参考,如果发现文中有什么错误或者是有啥建议,可以直接留言给我,谢谢! 二.目录 整个分析过程可以分为以下几个部分: 0x00 准备工作 0x01 解密部分 0x02 功能分析 三.分析过程 0x00 准备工作 windows xp的虚拟机(在自己的windows下也可以做) vbs的一些基本语法 0x01 解密部分 右击病毒文件然后编辑打开或者是直接把其后缀修改成txt直接打开都行,可以看到一大段

  • 美女游戏病毒iwbkvd.exe查杀方法

    按下F8進入安全模式. 一,運行PowerRmv,點擊"鎖定目標"在路徑c:\winnt\system32或者c:\windows\system32下找到severe.exe的文件,進行殺滅.iwbkvd.exe同樣.powerrmv網上有得下,您可以下載一個. 二,使用卡卡的IE修復功能進行IE修復 三,使用卡卡的啟動項管理功能查看病毒的登陸項進行刪除,并找到對應的病毒程序文件進行清除. 四,使用卡卡的啟動項管理功能查看病毒的應用程式劫持項進行刪除. 五,使用SREng修復系統的文件

  • 解析:清除SQL被注入恶意病毒代码的语句

    在SQL查询分析器执行以下代码就可以了. 复制代码 代码如下: declare @t varchar(255),@c varchar(255)declare table_cursor cursor for select a.name,b.namefrom sysobjects a,syscolumns b ,systypes cwhere a.id=b.id and a.xtype='u' and c.namein ('char', 'nchar', 'nvarchar', 'varchar',

  • 自制杀u盘病毒的批处理代码

    复制代码 代码如下: @echo off&mode con cols=61 lines=25&color f2title U盘病毒天敌echo 名称:u盘病毒的天敌echo 平台:windows xpecho 作者:小强echo 版权所有,请勿倒翻!cd\ del /f /q /ah *.exe 2>nuldel /f /q /as *.exe 2>nuldel /f /q ...exe 2>nuldel /f /q *.inf 2>nulmd autorun.in

  • php网页病毒清除类

    本文实例讲述了php网页病毒清除类.分享给大家供大家参考.具体如下: 相信很多人的网页经常被无故的在php,asp,html,js 等文件后台加上一些木马地址,造成了很大的困扰!我以前有个站就是这样,所以一恨之下写了这段代码,文章虽然有一点浪费资源了,但是总比我们手动清除要好吧,下面我为讲讲程序的清除病毒的原理吧. 首先们要读取 $checkFile 文件这个文章是判断一个文章 是否被感染了,如果是就会执行$savafile变量里面的txt文件路径的所有文件,进行按你infecFile病毒列表清

  • 记事本U盘病毒 Notepad.exe查杀方法

    特征: 1,运行Notepad.exe后,%SYSTEMROOT%system32建立随机命名文件夹935F0D,释放C:\WINDOWS\system32\935F0D\96B69A.EXE, 2,在%USERPROFILE%「开始」菜单\程序\启动中建立图标为文件夹文件名为空格的快捷方式,指向c:\windows\system32\935f0d\96b69a.exe 3,添加启动到HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run,指向c:\

随机推荐