0257期：木馬屠城(矛與盾的戰爭)
作者：CGS • 日期：2008/01/25 • 類別: 技術新探 ;•
;•
前一陣子 ,網站的電腦因為我測試一些來自網路的執行檔 ,後來電腦就變成 100% 負載 ,本來我用工作管理員看了一下高負載的程式是 mysql 跟 apache 的程式 ,就沒有特別去注意 .本來以為大概是網路存取增加吧 .
後來狀況一直持續 ,我也從我的寄信信箱中收到發信延遲或失敗的訊息 ,不過寄信內容是色情廣告信 ,信箱地址也不知道是那來的 ,我想我大概中了網路的木馬程式, 讓電腦中毒了 .他也透過本機的 Melon SMTP Server ,轉寄信件 ,所以我會看到很多奇奇怪怪的信 .
這隻來自德國的病毒 WINTEMS.EXE使用了蠻多技術躲過一般使用者的觀察 ,他採用了Rootkit 的隱形技術 ,讓你不管用工作管理員或是直接進到目錄 DIR 都看不到程式 ,後來是用 netstat -b -o 觀察有使用網路通訊的程式,才看到程式的名稱 .特別的是用 taskkill 或 ntsd 都無法殺掉這個程序 ,更不要說刪除或搬動檔案 .
我當下選擇先用 Google Pack 的 Norton Security Scan 跟 SpyBot Doctor ,安裝後 ,系統卻告訴我這不是正確的 Win32 應用程式 ,原來他也順便監控了寫檔的動作 ,如果是反病毒或反 Rootkit 的著名程式 ,他在寫檔時會把執行檔改掉 ,讓程式無法執行 .
最早安裝可以看出這是什麼病毒的是 Prevx CSI ,不過他掃描是免費 ,除毒要收費 ,後來找了一陣子找到 RegRun 5,可以試用 30 天 ,他有在開機時監控所有載入程式的能力 ,逐步把 Wintems.exe , hldrrr.exe, srora.sys 先殺掉 ,讓防毒軟體可以安裝 .也將被綁架的軟體如 MySQL , GoogleToolbarNotifier 除毒 .
因為不是一直都有空來處理這些事 ,整個過程花了幾天才完成 ,大概這也算是我遇到病毒裡比較難纏的一種了 ,木馬屠城只是因為一時無心之過 ,不過這次矛盾戰爭 ,也看到了超強電腦病毒進化的速度 ,不過或許是作者猜想不會太久就會被發現 ,負載和錯誤信的比例太高 ,否則如果緩慢的作業 ,或許一般使用者還很難發現 .
後來狀況一直持續 ,我也從我的寄信信箱中收到發信延遲或失敗的訊息 ,不過寄信內容是色情廣告信 ,信箱地址也不知道是那來的 ,我想我大概中了網路的木馬程式, 讓電腦中毒了 .他也透過本機的 Melon SMTP Server ,轉寄信件 ,所以我會看到很多奇奇怪怪的信 .
這隻來自德國的病毒 WINTEMS.EXE使用了蠻多技術躲過一般使用者的觀察 ,他採用了Rootkit 的隱形技術 ,讓你不管用工作管理員或是直接進到目錄 DIR 都看不到程式 ,後來是用 netstat -b -o 觀察有使用網路通訊的程式,才看到程式的名稱 .特別的是用 taskkill 或 ntsd 都無法殺掉這個程序 ,更不要說刪除或搬動檔案 .
我當下選擇先用 Google Pack 的 Norton Security Scan 跟 SpyBot Doctor ,安裝後 ,系統卻告訴我這不是正確的 Win32 應用程式 ,原來他也順便監控了寫檔的動作 ,如果是反病毒或反 Rootkit 的著名程式 ,他在寫檔時會把執行檔改掉 ,讓程式無法執行 .
最早安裝可以看出這是什麼病毒的是 Prevx CSI ,不過他掃描是免費 ,除毒要收費 ,後來找了一陣子找到 RegRun 5,可以試用 30 天 ,他有在開機時監控所有載入程式的能力 ,逐步把 Wintems.exe , hldrrr.exe, srora.sys 先殺掉 ,讓防毒軟體可以安裝 .也將被綁架的軟體如 MySQL , GoogleToolbarNotifier 除毒 .
因為不是一直都有空來處理這些事 ,整個過程花了幾天才完成 ,大概這也算是我遇到病毒裡比較難纏的一種了 ,木馬屠城只是因為一時無心之過 ,不過這次矛盾戰爭 ,也看到了超強電腦病毒進化的速度 ,不過或許是作者猜想不會太久就會被發現 ,負載和錯誤信的比例太高 ,否則如果緩慢的作業 ,或許一般使用者還很難發現 .
