|
解决史上最强浏览器劫持www.piaoxue.com/www.feixue.com方案 2006年10月27日 星期五 12:41 作者：网络安全日志 ( www. ) 一、概述 二、过程分析 这两个线程一直不住地检查注册表（HKLM\SYSTEM\CurrentControlSet\Services\）下自己这个驱动的值，如果删除马上又会生成。这两个线程虽然看到但是没有办法杀掉，会提示没有权限。另外用冰刃（IceSword）这个工具也可以看到，但是杀不掉。。汗。。。  看来它的驱动保护做的还是不错的，难以杀掉的原因是对文件以及进程都做了保护。我介绍的《顽固文件删除终极武器》，用金山文件粉碎器，打开的时候提示无法打开文件。很少会遇到的一种情况。 看得出来飘雪为了防范目前的杀流氓软件工具，下了不少的工夫，已经试验过的多种工具无效： 不过魔高一尺，道高一丈，知道了原理和过程之后，离解决也不会太远，，下面介绍一下杀它的办法（亲自试验，不需要重启，力求简单，菜鸟也可以操作） 三、清除办法： 可以看出来，它是假冒微软的驱动。这个驱动虽然写明是微软的，但是没有经过微软的数字签名，所以肯定是假的。（可能你的机器上显示特别多，但所有非微软的，都是有问题的），因为是随机生成的文件名，所以你那里找出来的，可能跟我的不一样。请自己记下文件名。特征是8位随机的字母，并且公司是微软公司，但是显示（Not verified)，如果你这里不能确认，可以用下面的办法。 2、用procexp找出驱动名来 3、删除文件 方法二：还是用Procexp
在Procexp中，先按Ctrl+H,切换到Handler视图，然后按Ctrl+F，查找，输入刚才的驱动名字（可以只输入前几个字母），然后就可以
看到在system这个进程中有一个文件，在那个上面点右键——Close Handle便可。然后再用资源管理器找到那个文件，删除便可。 [新版这个方法删除不掉那个同名的.dll，请用上面的办法—10/26更新]
我相信如果paoxue的作者看到这篇文章，可能会做一些升级或者改变，使上面的方法无效（因为它明显已经针对IceSword这几个出名的软件做了防
范），但是万变不离其宗，如果那个时候，就先用autoruns/procexp找到相关的驱动文件，然后安装一个虚拟软驱，到DOS下去删除这个文件，那个是最后终极的办法。 删除上面的.sys文件之后，为了安全起见，重启一下，然后再重新设一下IE的主页，应该就可以了。至于那个Seriver的值，删不删都无所谓了。 四、其它 如果上面的方法无效，请与我联系，可能会有升级的版本。但是以上介绍的所有办法，在我的文章都已经提到了。流氓软件横行年代，自己都得学会一点保身之术，呵呵。 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 飘雪极度猖獗 安全卫士发布专杀工具（2006.10.27）近段时间以来，一款恶意程序正在互联网上肆虐，该程序不仅会将用户电脑首页篡改为piaoxue.com、feixue.com，而且还会修改用 户Hosts文件，并终止或影响多个安全软件的正常工作，手段极为恶劣。据悉，目前风头正劲的安全辅助软件——360安全卫士已经针对这一恶意程序发布了 专杀工具。 据记者了解，该恶意程序目前已经成泛滥的趋势，目前受害网民不计其数。瑞星全球反病毒监测网将其归结为病毒的范畴，并命名为“广告Rootkit(Rootkit.ADS)”，但利用瑞星的杀毒软件并不能查杀这一病毒。而其它流行的防病毒软件也多只能查询到有病毒，但无法彻底查杀。 安全专家表示，“飘雪”病毒运行后会在系统目录下生成类似于名为lzx32.sys的文件，并创建名为pe386的系统服务以实现随系统启动自 动运行(文件名和服务都会随即变化，并不固定)。该病毒会自动将用户的IE浏览器主页锁定为一个名为“piaoxue(飘雪)上网导航”的网站，以提高该 恶意网站的访问量。病毒采用Rootkit技术，随时变化自身的文件名和服务名，使它很难被一般用户发现和清除。 “‘飘雪’在逃避查杀方面使用了很多伎俩，比如把其植入系统的驱动伪装成微软公 司编写的，重复扫描HKLM\SYSTEM\CurrentControlSet\Services\下驱动的值，如果被检测到被删除则立即再次生 成。”360安全卫士的开发人员表示:“目前很多恶意软件已经开始专门针对几个最流行的反恶意软件做‘优化’，这让它们作恶的时间可以更长一些。” 记者从360安全卫士方面获悉，在接到大量网民举报之后，开发小组迅速组织对“飘雪”进行样本分析，并以最快时间开发出了专杀工具，可以彻底查 杀该恶意程序。据悉，360安全卫士是第一款能彻底查杀该恶意程序的安全辅助软件。由于“飘雪”修改了Hosts文件，可能导致网民无法打开360安全卫 士官方站点，所以受害网民可以使用以下地址下载专杀工具:http://220.181.34.241/pxzs.exe。 网民普遍怀疑此恶意程序是piaoxue.com和feixue.com为了提升PV流量而采取的恶意行为，该网站提供的服务和界面和 hao123网址站几乎一模一样。记者登录该站点，在其站点页面上并没有感染恶意程序。对此，有安全专家表示，“飘雪”恶意程序主要是通过捆绑相关软件进 行散播，很多站点为了博取流量也采取类似的手法。 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 最新版的Windows清理助手 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ IE主页被修改为飘雪piaoxue.com的解决方法 该流氓的病毒文件不定，所以可能不能清除该流氓，将继续关注，希望中此流氓的网友在晚上加Q：8533525 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ IE浏览器主页被修改为飘雪piaoxue.com的分析与解决办法 还可能被修改为xfkz.com，注意这个飘雪piaoxue.com已经很久了，苦于身边没有中此病毒的电脑，同时又从各种日志上看不出来任何问
题，昨天朋友给推荐看了篇帖子，介绍了该问题的解决办法，后来又找了些相关的文章，这个东东来头不小，如果按照完整描述来看，处理掉它较为麻烦，先说下那
篇帖子的解决办法： －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ rootkit技术 一、什么是"rootkit"？ 入侵者入侵后往往会进行清理脚印和留后门等工作，最常使用的后门创建工具就是rootkit。不要被名字所迷惑，这个所谓的“rootkit”可不是给超 级用户root用的，它是入侵者在入侵了一太主机后，用来做创建后门并加以伪装用的程序包。这个程序包里通常包括了日志清理器，后门等程序。同时，程序包 里通常还带有一些伪造的ps、ls、who、w、netstat等原本属于系统本身的程序，这样的话，程序员在试图通过这些命令查询系统状况的时候，就无 法通过这些假的系统程序发觉入侵者的行踪。 在一些黑客组织中,rootkit (或者backdoor) 是一个非常感兴趣的话题。各种不同的rootkit被开发并发布在internet上。在这些rootkit之中, LKM尤其被人关注, 因为它是利用现代操作系统的模块技术。作为内核的一部分运行,这种rootkit将会越来越比传统技术更加强大更加不易被发觉。一旦被安装运行到目标机器 上, 系统就会完全被控制在hacker手中了。甚至系统管理员根本找不到安全隐患的痕迹, 因为他们不能再信任它们的操作系统了。后门程序的目的就是甚至系统管理员企图弥补系统漏洞的时候也可以给hacker系统的访问权限。 入侵者通过：设置uid程序, 系统木马程序, cron后门等方法来实现入侵者以后从非特权用户使用root权限。 设置uid程序。 黑客在一些文件系统理放一些设置uid脚本程序。无论何时它们只要执行这个程序它们就会成为root。 系统木马程序。黑客替换一些系统程序,如"login"程序。因此, 只要满足一定的条件，那些程序就会给黑客最高权限。 Cron后门。黑客在cron增加或修改一些任务,在某个特定的时间程序运行，他们就可以获得最高权限。 具体可能通过以下方法给予远程用户以最高访问权限: ".rhost" 文件, ssh认证密钥, bind shell, 木马服务程序。 ".rhosts" 文件。一旦 "+ +"被加入某个用户的.rhosts文件里, 任何人在任何地方都可以用这个账号来登陆进来而不需要密码。 ssh认证密钥。黑客把他自己的公共密钥放到目标机器的ssh配置文件"authorized_keys"里, 他可以用该账号来访问机器而不需要密码。 Bind shell。黑客绑定一个shell到一个特定的tcp端口。任何人telnet这个端口都可以获得交互的shell。更多精巧的这种方式的后门可以基于udp,或者未连接的tcp, 甚至icmp协议。 Trojaned服务程序。任何打开的服务都可以成为木马来为远程用户提供访问权限。例如, 利用inetd服务在一个特定的端口来创建一个bind shell，或者通过ssh守护进程提供访问途径。 在入侵者植入和运行后门程序之后, 他会设法隐藏自己存在的证据，这主要涉及到两个方面问题: 如何来隐藏他的文件且如何来隐藏他的进程。 为了隐藏文件, 入侵者需要做如下事情: 替换一些系统常用命令如"ls", "du", "fsck"。在底层方面, 他们通过把硬盘里的一些区域标记为坏块并把它的文件放在那里。或者如果他足够疯狂，他会把一些文件放入引导块里。 为了隐藏进程, 他可以替换 "ps"程序, 或者通过修改argv[]来使程序看起来象一个合法的服务程序。有趣的是把一个程序改成中断驱动的话，它就不会出现在进程表里了。 |
|
|
