星星电脑技术论坛 » 系统安全中心 » Trojan.Win32.Agent.atk(server.exe)病毒手动清除

vista 发表于 2007-8-24 20:48

Trojan.Win32.Agent.atk(server.exe)病毒手动清除

Trojan.Win32.Agent.atk(server.exe)病毒手动清除q vp g&sQ&R

jB#vp*z 文章出处:孤独更可靠_博客
[d0_ L$xzY T e6?4o7aKL
文件名称：server.exeXwStV[+l
!tW;Xx%Z
　　文件大小：35519 bytes
SC[,J,aVZ
T0D(w}L?l2o m&^NS 　　AV命名：Trojan.Win32.Agent.atk （卡吧斯基）
)^uZ+uXYm)| S uE/k)V$kdn?
　　加壳方式：未
*{x^/aIh!`TRo/X0K
Ya,?9_%[|TZ0BX 　　编写语言：Microsoft Visual C++ 6.0
3An*I1t.I)F5?j1M
o,m3Uv\;RJ 　　病毒类型：后门3l%o&h4k:n.s3o

w'}G$Tn7s+qC 　　文件MD5：47bfcace635b88a45ddaa7c022dc0de9 1c#SH
kiz:qgT
,~-IB;|
N
　　文件SHA1：341fce32564b8e940b89ee24a489892c0355d8ff
H:EN]GE(Y
#d5m,@Lu3Y 　　行为分析：
%qj4d4lF2|#ZKu
f9d-f%^f3s 　　1、释放病毒文件：

L!l u3k4F(p"_
#ujc!d|0GG#w3x3^~p 　　%Systemroot%\system32\drivers\sysproxyed.sys-ip_BcA7l1C.?l
XCE
E-b
　　%Systemroot%\system32\sysproxyed.dll K.z\9I fkzBd]

+Cm0D9zU6XKI N 　　2、sysproxyed.dll 注册为系统服务。
pWU R7]8Y
_|B!Rk } 　　参数为：%Systemroot%\\system32\svchost.exe -k sysproxyed，开机则由svchost.exe加载注入。
-I-}&_%^4D\i 3TJWZ~2F(?`T
　　3、记录键盘操作，保存为%Systemroot%\system32\sysproxyed.drv。x
e-Z~%x6vHvH
.I!t%xGp-t,\
　　4、每隔一段时间连接222.95.53.1**（江苏省南京市 (玄武区)电信ADSL）。;@iRyK
u%u3d{ l [;n_6U
　　并发送sysproxyed.drv。
}i+dCkG
|p*z.``E6nh#B6es 　　5、通过系统服务修改SSDT，使Ntquerydirectoryfile指向sysproxyed.dll ，实现R0的Hook。&NN6`+v2mB3c(w+R
O[8V#_Z'KWt*a
　　6、Ntquerydirectoryfile则在枚举硬盘文件时，始终漏过：1qXQJ |7Lk?%G

dOV gZ^8i 　　sysproxyed.dll、sysproxyed.drv、sysproxyed.sys信息。（返回失败）
nn7nZZ9f{
n(Odu+])vH 　　系统表现为无法发现或不能对以上文件进行操作。居于R3的进程管理器更是如此。 fk8mX5m
E*@z0Hl0i

Sua%j)|0[$O `%hu(K 　　解决方法一（推荐）：0?i4Nwy5Q Q;w2d
Lx$G2m0[)id
　　down.45it.com下载IceSword120_cn.zip(以下简称冰刃)'};u~0H/u

9z;]g W|8Ic c$c1m.Y9Bjmj
　　1、关闭一切不需要的进程，断开网络。
!@])W Fq~K v-h vQ4J
　　2、打开冰刃，设置为禁止线程创建。
oB:R8J0l6W yg g8Ru,w+^ F
　　3、“文件”选项，删除：
)i,La/br[*T3E#G RpQ f4^)h8N
　　%Systemroot%\system32\drivers\sysproxyed.sys |'gU C&O"y
H Lbq,HV1Wfw
　　%Systemroot%\system32\sysproxyed.dll
?&n @+x3CU
[$z`#n%hFy,O(j-RrK 　　%Systemroot%\system32\sysproxyed.drv
okdi9aSI
s|m qmp} 　　后转向冰刃“注册表”功能，删除：
?#r~ B1gs
']SkXa 　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\下的0M/A S"s-K

u,]T9nS5P'K"z 　　sysproxyed整个键，不要看错啊
6@%i;n:?[of-cIo r(e
ZMp~L;E 　　4、设置冰刃，重启并监视，确定。
2[IuQ.}pF 6Rv2}+xr6C
　　5、重启后记住一定要修改QQ、邮箱、网游等帐号！
:r Vn"L3[dM?O 1Ix0Yt:@"v6U y.O/`

8N`+O8Z$F2Sb%~ 　　解决方法二：az)YPY%zw
7ga ~b {P(mca
　　下载SYSCHECK（可到down.45it.com下载）
v-W VaQN M6noUd"\| k3p
　　1、打开SYSCHECK，打开SSDT，回存Ntquerydirectoryfile。
X!`OS)dkE
#Sp,bvs2Z0Fr#Z { 　　2、并使用SYSCHECK删除sysproxyed服务。
|QDAOTDZ

.o#B$_ a7hcb{ 　　3、重启，重启后删除文件：
j4]1W;@gjRQ
6o:sEH*A&]$SA 　　%Systemroot%\system32\drivers\sysproxyed.sys&fRd
?]O
eYy^+RK%i%~B
　　%Systemroot%\system32\sysproxyed.dll
Qo6ZI7rl+g
~9f~)W}n&K 　　%Systemroot%\system32\sysproxyed.drv
9]`KY!rgy D3x bVU,U;h MN%kz
　　解决方法三：D.m3WZWO&F+j@
z x$K3D\7V
　　下载PAVARK（熊猫反RK工具），或者其他的反Rootkit工具。r.^Q9Xg'RW#T9l_.}

D'_cIC SR
s%B 　　用法很简单，扫描后全选，删除就可以了~~~f4c9r%N:B.zF%l8JG
\@kM M l
7~Ai3I g2? ?
　　PS：今天硬是它耗了一早上，终于赢了，HOHO~~~
ong}^_0mh
n;`_N4O rS?Y 　　此类非法修改SSDT比较头疼，应即使升级杀软并开好杀软监控。[:p2cA ]COO

&lvvx:^:u;O H 　　预防比事后处理来的好~~
jo%G ]A^7n
(]-{5zP b 　　另外有病毒带有Rookit名称的，病毒重启反复清除无效。
4{mlb#O#@[(s
T ~ FZ&^$|9O 　　建议使用专业的反Rootkit工具或者使用杀软光盘进行DOS杀毒``=。=

查看完整版本: Trojan.Win32.Agent.atk(server.exe)病毒手动清除