关于病毒模块插入系统、应用程序进程的问题

最近,在论坛看帖子时发现:中毒后,杀而不净的现象比较普遍。更有甚者,毒没杀净,杀软反而被干掉了。其实,这也不是什么新鲜事,针对各有名杀软的病毒早就有。卡巴斯基这样的名杀软被病毒干掉也不是什么新鲜事。
不废话了。言归正传。
中毒后,杀不净,常见的原因之一是病毒插入了系统/应用程序进程。
不将被插进程中的病毒模块处理掉,毒是杀不净的。
如何发现进程被插?常见的方法是:在中招的电脑上扫SRENG日志。SRENG日志的“正在运行的进程”部分可找到进程被插信息(阅读这部分日志判断进程中的病毒木块————需要经验)。当然,你也可以用IceSword一一检视进程列表中各进程的“模块信息”(比较累)。
按照手工杀毒时的不同处理方式,被插进程大致可分为以下几类:
1、系统核心进程。系统核心进程不能结束。否则,系统崩溃。
下面是阅读论坛中求助帖时,在SRENG日志见到的一个具体例子:
正在运行的进程
[PID: 668][\??\C:\WINDOWS\system32\csrss.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\system32\E5CEBDF.DLL] [Microsoft Corporation, ]
这段日志提示:系统核心进程C:\WINDOWS\system32\csrss.exe被病毒模块插入了。插入此进程的病毒模块是C:\WINDOWS\system32\E5CEBDF.DLL。
如果不采取相应措施卸掉csrss.exe进程中的E5CEBDF.DLL,病毒文件C:\WINDOWS\system32\E5CEBDF.DLL无法删除。
除了csrss.exe以外,属于系统核心进程的还有:
SystemRoot\System32\smss.exe
SystemRoot\System32\winlogon.exe
SystemRoot\System32\lsass.exe
SystemRoot\System32\services.exe
SystemRoot\System32\svchost.exe
处理这些进程中的病毒模块,我尝试过:
(1)用IceSword禁止进程创建,然后,强制卸除之。有时可以成功卸除,有时卸除失败(系统崩溃,重启)。
(2)如果(1)失败。可以尝试“禁止进程创建”后,强制删除病毒模块文件,有时也可达到目的(如木马Keygen.exe的处理)。
(3)如果(1)、(2)均失败,可以尝试用SSM解决问题:将病毒模块录入SSM的规则中,禁止病毒模块加载。将SSM设置为“启动加载”。然后,重启系统。
(4)将病毒模块录入Tiny的黑名单。重启系统。
(5)在安全模式下尝试删除病毒模块(成功率并非100%)。需要注意的是:有些病毒感染后,用户根本无法进入安全模式。这时,就别想这招了。没用。
总之,中招者必须想办法将这些系统核心进程处理干净。否则,病毒杀不净。
2、explorer.exe(资源管理器)进程。这种进程插入比较常见。
explorer.exe进程可以结束(不会导致系统崩溃)。但是,用户若结束了explorer.exe进程,那他就只能对着一个空荡荡的桌面发呆了。
插入了explorer.exe进程的病毒模块,用IceSword禁止进程创建后,一般可以顺利卸除。
3、一般应用程序进程。
这种情形最容易处理。用IceSword禁止进程创建,然后,找到相应进程,结束之。
4、比较“掉轨”的情形:
用IceSword,预先设置了禁止进程创。然后,根据SRENG日志提供的信息,所有被插进程都处理干净了,但病毒文件依然无法删除!
导致这种情形的原因常被忽视: 您遇到了“动态插入”(即:中毒后,用户运行哪个程序,病毒模块随即插入其进程中)。很可能是————您运行IceSword时,病毒插入了IceSword进程。这时,应检查IceSword进程的“模块信息”,找到其中的病毒模块,强制卸除之。
将所有被插进程处理干净后,即可开始删除病毒文件。
注意:如果前面用IceSword处理进程时一切顺利,删除病毒文件时,请不要更换工具,继续用IceSword操作。
删净病毒文件后,还要删除病毒添加的注册表项(根据SRENG日志)。
当然,您愿意先删除病毒添加的注册表项,然后再删除病毒文件,也是可以的。这只是个操作顺序问题。用IceSword禁止进程创建并处理干净所有进程后,这种不同的操作顺序————没有什么本质区别。
总之,进程插入问题,是导致病毒屡杀不净的常见原因。手工杀毒时,需重视这个问题,并根据实际情况,灵活采取相应的措施。
此贴于2007-4-3 10:16:23被baohe修改
  
发贴时间:2007-4-3 10:25:12
关于病毒模块插入系统、应用程序进程的问题
部分回复:

1、辨认系统进程中病毒模块问题:凭经验。正常系统中C:\WINDOWS\system32\文件夹中没有E5CEBDF.DLL这个文件(这个回答可能让你失望)。
2、用IceSword强制邪除系统进程中的病毒模块,实质是“结束病毒模块的运行状态”(运行的文件是无法删除的)。
3、不结束病毒模块的运行状态而强制删除病毒模块文件的例子较少(这样做,要辅以特殊措施),据我的经验,也只有IceSword可以实现这种操作(尽管成功率不是100%)。那个Keygen.exe木马的处理就是个例子。强制删除病毒文件后,待硬盘无读写动作时,立即断开系统电源,即可奏效。这算个特例吧。
尽管是特例,但也是实践证明成功的例子,必要时可以考虑这样的方法。总之,手工杀毒讲究的是“灵活”,不必拘泥于什么“成规”。有时,就是要打破成规。
转载自卡卡论坛病毒版baohe大虾的大作

















本文转自starger51CTO博客,原文链接: http://blog.51cto.com/starger/22559,如需转载请自行联系原作者

上一篇:分析师预测甲骨文数据库12.2的市场策略将打击用户


下一篇:数据分析的未来:2016年分析领域5大预测