注冊表修改之計算機病毒清除

　　木馬藏身地及通用排查技術

　　木馬取自古希臘神話的特洛伊木馬記，是一種基於遠程控制的黑客工具，具有很強的隱藏性和危害性。為了達到控制服務端主機的目的，木馬往往要采用各種手段達到激活自己，加載運行的目的。這裡，我們簡要的介紹一下木馬通用的激活方式，它們的藏身地，並通過一些實例來讓您體會一下手動清除木馬的方法。

　　●在Win.ini中啟動木馬：

　　在Win.ini的[Windows]小節中有啟動命令“load=”和“run=”，在一般的情況下“=”後面是空的，如果後面跟有程序，比如：

　　run=C:Windows ile.exe

　　load=C:Windows ile.exe

　　則這個file.exe很有可能就是木馬程序。

　　●在Windows XP注冊表中修改文件關聯：

　　修改注冊表中的文件關聯是木馬常用的手段，如何修改的方法已在本系列的前幾文中有過闡述。舉個例子，在正常情況下txt文件的打開方式為Notepad.exe(記事本)，但一旦感染了文件關聯木馬，則txt文件就變成條用木馬程序打開了。如著名的國產木馬“冰河”，就是將注冊表HKEY_CLASSES_ROOT xtfileshellopencommand子鍵分支下的鍵值項“默認”的鍵值“C:Windows otepad.exe %1”修改為“C:WindowsSystemSysexplr.exe”，這樣，當你雙擊一個txt文件時，原本應該用記事本打開的文件，現在就成了啟動木馬程序了。當然，不僅是txt 文件，其它類型的文件，如htm、exe、zip、com等文件也都是木馬程序的目標，要小心。

　　對這類木馬程序，只能檢查注冊表中的HKEY_CLASSES_ROOT中的文件類型shellopencommand子鍵分支，查看其值是否正常。

　　●在Windows XP系統中捆綁木馬文件：

　　實現這種觸發條件首先要控制端和服務端已通過木馬建立連接，控制端用戶使用工具軟件將木馬文件和某一應用程序捆綁在一起，上傳到服務端覆蓋原有文件，這樣即使木馬被刪除了，只要運行捆綁了木馬的應用程序，木馬又會被重新安裝了。如果捆綁在系統文件上，則每次Windows XP啟動都會啟動木馬。

　　●在System.ini中啟動木馬：

　　System.ini中的[boot]小節的shell=Explorer.exe是木馬喜歡的藏身之所，木馬通常的做法是將該語句變為這樣：

　　Shell=Explorer.exe file.exe

　　這裡的file.exe就是木馬服務端程序。

　　另外，在[386enh]小節，要注意檢查在此小節的“driver=path程序名”，因為也有可能被木馬利用。[mic]、[drivers]、[drivers32]這三個小節也是要加載驅動程序的，所以也是添加木馬的理想場所。

　　●利用Windows XP注冊表加載運行：

　　注冊表中的以下位置是木馬偏愛的藏身之所：

　　HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion子鍵分支下所有以“run”開頭的鍵值項數據。

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion子鍵分支下所有以“run”開頭的鍵值項數據。

　　HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion子鍵分支下所有以“run”開頭的鍵值項數據。

　　●在Autoexec.bat和Config.sys中加載運行木馬：

　　要建立控制端與服務端的連接，將已添置木馬啟動命令的同名文件上傳到服務端覆蓋著兩個文件才能以這種方式啟動木馬。不過不是很隱蔽，所以這種方式並不多見，但也不能掉以輕心。

　　●在Winstart.bat中啟動木馬：

　　Winstart.bat也是一個能自動被Windows XP加載運行的文件，多數時由應用程序及Windows自動生成，在執行了Win.com或者Kernel386.exe，並加載了多數驅動程序之後開始執行(這可以通過在啟動時按F8選擇逐步跟蹤啟動過程的啟動方式得知)。由於Autoexec.bat的功能可以由 Winstart.bat代替完成，因此木馬完全可以像在Autoexec.bat中那樣被加載運行。

　　木馬病毒的通用排查技術

　　現在，我們已經知道了木馬的藏身之處，查殺木馬自然就容易了。如果您發現計算機已經中了木馬，最安全最有效的方法就是馬上與網絡段開，防止計算機駭客通過網絡對您進行攻擊，執行如下步驟：

　　l 編輯Win.ini文件，將[Windows]小節下面的“run=木馬程序”或“load=木馬程序”更改為“run=”，“load=”。

　　l 編輯System.ini文件，將[boot]小節下面的“shell=木馬文件”更改為“shell=Explorer.exe”。

　　l 在Windows XP注冊表中進行修改：先在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支下找到木馬程序的文件名刪除，並在整個注冊表中查找木馬程序，將其刪除或替換。但可惡的是，並不是所有的木馬程序都只要刪除就能萬事大吉的，有的木馬程序被刪除後會立即自動添上，這時，您需要記下木馬的位置，即它的路徑和文件名，然後退到DOS系統下，找到這個文件並刪除。重啟計算機，再次回到注冊表中，將所有的木馬文件的鍵值項刪除。

　　計算機木馬清除實例

　　●冰河v1.1的注冊表清除實例：

　　在注冊表編輯器中打開HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支，在右邊的窗口中找到並刪除C:WINNTSystem32Kernel32.exe，C:WINNTSystem32sysexplr.exe，再重新啟動到MS-DOS方式後，刪除C:WINNTSystem32Kernel32.exe和C:WINNTSystem32sysexplr.exe木馬程序。

　　AOL Trojan的注冊表清除實例：

　　首先到MS-DOS方式下，刪除以下文件：

　　C:command.exe

　　C:Americ~1.0uddyl~1.exe

　　C:Windowssystem orton~1 egist~1.exe

　　打開Win.ini文件，在[Windows]小節下面將特洛伊木馬程序的路徑清除掉，改為“run=”，“load=”，保存Win.ini文件。

　　然後打開Windows XP注冊表，打開HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支，將右表窗口中的鍵值項“WinProfile=C:Command.exe”刪除，關閉注冊表，重啟計算機即可。

　　●Doly v1.1-v1.5的注冊表實例(v1.6和v1.7類似)：

　　首先進入MS-DOS方式，刪除以下三個木馬程序，但v1.35版還多一個木馬文件Mdm.exe。

　　C:WindowsSystem esk.sys

　　C:WindwosStart MenuProgramsStartupmstesk.exe

　　C:Program FilesMStesk.exe

　　C:Program FilesMdm.exe

　　重新啟動Windows，打開Win.ini文件，將[windows]小節下的“load=C:WindowsSystem esk.exe”刪除，即改為“load=”，保存Win.ini文件。

　　然後，在注冊表中打開HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支，將右邊的窗口中的鍵值項“Mstesk=”C:Program FilesMStesk.exe””刪除，打開HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionss子鍵分支，將其下的全部內容都刪除(全為木馬參數選擇和設置的服務器);再打開HKEY_USERS.DEFAULTSOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支，將右邊的窗口中的鍵值項“Mstesk=”C:Program FilesMStesk.exe””刪除。

　　關閉注冊表，打開C:Autoexec.bat文件，刪除如下兩行：

　　@echo off copy c:sys.lon C:WindowsStart MenuStartup Items

　　Del c:win.reg

　　保存並關閉Autoexec.exe文件。

　　●IndocTrination v0.1-v0.11注冊表清除實例：

　　在注冊表中打開如下子鍵：

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices Once

　　將這些子鍵右邊窗口中的如下鍵值項刪除：

　　Msgsrv16=“Msgsrv16”，關閉注冊表後重啟Windows，刪除C:WindowsSystemmsgserv16.exe文件。

　　●SubSeven-Introduction v1.8注冊表清除實例：

　　打開HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun子鍵分支和HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices子鍵分支，在右窗口中查找到含有“C:WindowsSystem.ini”的鍵值項數據，將它刪除。

　　打開Win.ini文件，將其中的“run=kernel16.dl”改為“run=”，保存並關閉Win.ini文件。

　　打開System.ini文件，將其中的“shell=explorer.exe kernel32.dl”改為“shell=explorer.exe”，保存並關閉System.ini文件，重啟Windows，刪除C:Windowskernel16.dl文件。

　　●廣外女生注冊表清除實例：

　　退到MS-DOS模式下，刪除System目錄下的diagcfg.exe。由於該病毒關聯的是exe文件，因此，現在刪除它後Windows環境下任何exe文件都將無法運行。我們先找到Windows目錄下的注冊表編輯器“Regedit.exe”，將其改名為“Regedit.com”。

　　回到Windows模式下，運行“Regedit.com”。打開HKEY_CLASSES_ROOTexefileshellopencommand，將其默認值改為“%1 %*”，刪除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices下的鍵值項“Diagnostic Configuration”。關閉注冊表。

　　回到Windows目錄，將“Regedit.c