2020年度云办公平台TOP50
全世界各行各业联合起来,internet一定要实现!
老文章正文

手动查杀乔装成音乐文件的传奇木马

2004-02-11 eNet&Ciweek

  小生驰骋网络多年,虽不敢以“高人”自居,但亦可称“老鸟”。近日亲身遭遇了一次木马,虽然最后有惊无险,但是也大费周章。

  ■ 屡屡碰壁

  一日,小生边上网边打开Windows XP自带的Media Player 8.0听音乐,甚是自在(我喜欢用Media Player播放MP3,它的音响效果甚佳)。在播放第一首歌的时候,一切正常,当跳到下一首歌时,怪事发生了。Windows XP弹出“WMPlayer.exe非法操作即将被关闭选择发送错误‘发送’、‘不发送’”对话框,点击[不发送],重新开启一次Media Player继续播放MP3,现象依旧。难道是Media Player程序有问题,重新启动计算机,在不打开其他程序的前提下尝试,但问题依然存在。升级试试看?将Media Player升级为9.0,还是不行。没办法,我又使出我的杀手锏——恢复系统。Windows XP的系统恢复功能相当强大,它可以在不破坏其他程序的情况下,帮你恢复核心的程序组件,当然也包括Media Player。经过30分钟的漫长等待,系统恢复完毕,可是打开Media Player试验时,天啊!它还是“报错”。
  


  至此,我还没有意识到是木马在作怪。

  ■ 灵光乍现

  我不经意地用[Ctrl+Alt+Del]打开“系统进程”窗口,发现里面多了个不认识的“Dxmusic.exe”进程(如图)。将其终止掉,Media Player竟然恢复正常了。问题在这里?我又通过“Msconfig”查看系统的启动项,没有发现里面有和“Dxmusic.exe”相关的启动项。看来就是它了!在网上查找,果然找到了相关资料 。

  病毒名称:Trojan.Legend.ga.enc

  破坏方法:偷传奇密码,发到指定邮箱。隐藏在后台运行。 拷贝自身到系统目录,命名为 Msdnhome.htm和 Dxmusic.exe启动Dxmusic,释放文件Ldpowerpor.dll到系统目录。 将注册表run项LoadPowerproFile的值改为“RUNDLL32.exe LdPowerpor.dll LoadCurrentPwrScheme” 病毒把记录保存到ntldr.log。

  真相大白了!小生正是一位“传奇”玩家,虽然也曾听闻战友被盗号之事常有发生,但没想到竟然发生在自己身上。第一件事情:拔掉网线,木马程序需要网络传送盗取的信息;第二件事情:在终止掉“Dxmusic.exe”,进我的传奇游戏看看,还好,“龙文”尚在,ID尚在。修改了登录密码后,我开始了杀毒工作。利用计算机的查找程序,搜索“Msdnhome.htm”和“Dxmusic.exe”,分别在“C:\Windows\System32”目录下找到这个两个文件,立刻将其删除掉;然后再寻找“Ldpowerpor.dll”,不过没有找到,估计是需要Dxmusic.exe运行后才释放“Ldpowerpor.dll”,因为我已将进程终止了,所以“Ldpowerpor.dll”就没有出现。

  接下来是修改注册表了,在找到Run项的LoadPowerproFile键值后,将前面的“LdPowerpor.dll,”字段删除掉。重新启动计算机,里面没有“Dxmusic.exe”进程了,看来木马清除成功。

  ■ 经验教训

  在整个杀毒过程中我走了很大一段弯路,原因是把目标锁定在程序上,而不考虑全局,以至于木马程序轻易得逞。通过这次清除木马,我总结了一些经验与大家分享:

  1. 在计算机出现异常时,应该从整个计算机的全局角度出发,看看会不会是其他问题导致的程序出错,因为整个系统的运行带有牵连作用。

  2. 系统的进程对于解决计算机问题是很有帮助的,它可以很清楚地知道到底有哪些程序在运行,能够帮你捕获一些可疑程序的踪迹。你可以在刚安装的系统里抓一张进程图,在计算机出问题时,用这张原是图片进行对比。

  3. 如果遇到杀毒软件解决不了的问题,可以通过网上一些相关资料进行手工杀毒。


相关频道: eNews 老文章

您对本文或本站有任何意见,请在下方提交,谢谢!

投稿信箱:tougao@enet16.com
广告