CSDN博客

img CoolSlob

手工清除ShareQQ木马

发表于2002/12/20 9:20:00  1409人阅读

前言:

  这是我去年的心得,在打开以前收集的资料中,发现了那次让我心痛的夜晚。最近OICQ也用得少,也不知道现在是否还有这种木马,现在发表出来,希望对骑上了木马的人能尽快下马:)

  

1、打开注册表,删除以下键值:

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]
"NetConfig"="C://WINNT//System32//SPOLSV.exe"

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/SQ]
"LastConfigInformation"="NetConfig"

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce]
"Winin"="C://WINNT//Winin.exe"

2、删除以下文件:
 %WinDir%/WinIn.Exe           -- 具有生育功能,以下两文件是它的子女。:-)
 %WinDir%/System32/SPOLSV.EXE
 %WinDir%/System32/SPOLSV.DLL

3、文件分析:
(1)、WinIn.Exe,由注册表内容得知,在系统启动完成后,它必将运行一次,它的主要任务就是:检测SPOLSV.EXE及SPOLSV.DLL是否存在。如果不存在,则马上重新分娩,呵呵:-)
(2)、SPOLSV.DLL,使用“快速查看”可知,它导出两个函数,分别是StartHook和EndHook。对于其函数的作用,我想不必多说。
(3)、SPOLSV.EXE,我想这个文件,不过充其量----做些小偷小摸的事情。

4、评论:
(1)、该病毒通过电子邮件形式传播。一打开邮件,附件自动下载。
(2)、该病毒有严重Bug,在Windows NT4.0下运行,会自露马脚,弹出错误对话框。其标题为ShareQQ什么的。至于在Win9x下是否有此现象,本人不得而知。

有任何疑问均可到我的主页上给我留言http://CoolSlob.fykj.com/

0 0

相关博文

我的热门文章

img
取 消
img