软件工程

本类阅读TOP10

·PHP4 + MYSQL + APACHE 在 WIN 系统下的安装、配置
·Linux 入门常用命令(1)
·Linux 入门常用命令(2)
·使用 DCPROMO/FORCEREMOVAL 命令强制将 Active Directory 域控制器降级
·DirectShow学习(八): CBaseRender类及相应Pin类的源代码分析
·基于ICE方式SIP信令穿透Symmetric NAT技术研究
·Windows 2003网络负载均衡的实现
·一网打尽Win十四种系统故障解决方法
·数百种 Windows 软件的免费替代品列表
·收藏---行百里半九十

分类导航
VC语言Delphi
VB语言ASP
PerlJava
Script数据库
其他语言游戏开发
文件格式网站制作
软件工程.NET开发
手工清除ShareQQ木马

作者:未知 来源:月光软件站 加入时间:2005-2-28 月光软件站

前言:

  这是我去年的心得,在打开以前收集的资料中,发现了那次让我心痛的夜晚。最近OICQ也用得少,也不知道现在是否还有这种木马,现在发表出来,希望对骑上了木马的人能尽快下马:)

  

1、打开注册表,删除以下键值:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NetConfig"="C:\\WINNT\\System32\\SPOLSV.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SQ]
"LastConfigInformation"="NetConfig"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"Winin"="C:\\WINNT\\Winin.exe"

2、删除以下文件:
 %WinDir%\WinIn.Exe           -- 具有生育功能,以下两文件是它的子女。:-)
 %WinDir%\System32\SPOLSV.EXE
 %WinDir%\System32\SPOLSV.DLL

3、文件分析:
(1)、WinIn.Exe,由注册表内容得知,在系统启动完成后,它必将运行一次,它的主要任务就是:检测SPOLSV.EXE及SPOLSV.DLL是否存在。如果不存在,则马上重新分娩,呵呵:-)
(2)、SPOLSV.DLL,使用“快速查看”可知,它导出两个函数,分别是StartHook和EndHook。对于其函数的作用,我想不必多说。
(3)、SPOLSV.EXE,我想这个文件,不过充其量----做些小偷小摸的事情。

4、评论:
(1)、该病毒通过电子邮件形式传播。一打开邮件,附件自动下载。
(2)、该病毒有严重Bug,在Windows NT4.0下运行,会自露马脚,弹出错误对话框。其标题为ShareQQ什么的。至于在Win9x下是否有此现象,本人不得而知。

有任何疑问均可到我的主页上给我留言http://CoolSlob.fykj.com/




相关文章

相关软件