[分享]关于IEPLORE.EXE进程

heavy

系统刚刚开机后就出现许多的IE进程,并且是在断网的情况下.
一般的木马分析软件都会判定这些进程是安全的(事实上的确是系统的IE进程)
所以木马类扫描软件帮不到你什么了
据说这是一种灰鸽子木马.......具体解决方法如下:


在开始运行中输入regedit,打开注册表HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 项
删除load=这一项


打开HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run 项
删除twin"="X:\windows\system32\twunk32.exe
并删除X:\windows\system32\twunk32.exe文件(X为系统盘符)


打开QQ的所在目录,并显示所有隐藏文件和隐藏的系统文件.(如果无法显示的话请下载附件里面的注册表双击导入)找到名为TIMPlatfrom.exe(或TIMPlatform.exe)的隐藏文件并删除掉.
卸载QQ,删除Tencent文件夹.
重新安装QQ

狂人cr

记得灰鸽子有些每个盘都有个**文件(忘记了),小h,说说特征.

heavy

据说这个是最新的灰鸽子
一般的灰鸽子木马会在系统盘的windows文件夹下生成G_Server.exe，G_Server.dll，G_Server_Hook.dll三个文件.还有G_serverkey.dll动态数据连接库文件是用来记录键盘的
其中G_Server.exe是服务器端程序,一旦运行后就会打开3389远程控制端口.并且默认服务器名称是G_Server.exe
如果制作这个服务器端的人将G_Server.exe更改为其他文件名称的话就麻烦了.
那么只有在windows文件夹里面一个一个的去找了,好在木马不会在子文件夹里面例如我将服务器端程序
G_Server.exe更名为HEAVY.EXE那么其他的文件就叫做HEAVY.dll  HEAVY.dll 和HEAVY.dll
(小H就碰到了一个将服务器端名称更改为G2006.exe的灰鸽子木马)
一般灰鸽子木马会插入到EXPLORER.exe进程,这个是桌面,资源管理器以及外壳程序加载进程,(有的会插入其它进程如svchost.exe等)所以要进入安全模式,进入我的电脑-工具-文件夹选项-去掉"隐藏受保护的系统文件"和"不显示隐藏文件"选项再查找.因为灰鸽子的服务器端文件是会隐藏的
另外还要在开始运行中输入regedit,在上面的编辑-查找里面搜索服务器端文件的注册表相关项,并删除
如果有防火墙的话最好在防火墙层屏蔽掉3389端口.
( [s:5] 放心!小H从来都是用4778端口来入侵的!嘿嘿.....)

霜之哀伤

附件是执行上面操作的Reg么 [s:5]

heavy

引用第3楼霜之哀伤于2007-02-18 22:48发表的:
附件是执行上面操作的Reg么 [s:5]

不是!是解决隐藏文件无法显示的

霜之哀伤

http://bbs.rpgchina.com/read-htm-tid-25154.html
哈哈，难道是这个？
在顶楼说明一下

heavy

引用第5楼霜之哀伤于2007-02-18 23:00发表的:
http://bbs.rpgchina.com/read-htm-tid-25154.html
哈哈，难道是这个？
在顶楼说明一下

我的是这个:
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Folder\\Hidden\\SHOWALL]
"RegPath"="Software\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Explorer\\\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
----------------------------------------------------------------这个以上-------------------------------------
不只是显示隐藏文件,还包括显示受保护的系统文件