中了冰河木马病毒怎么办?怎么清除冰河木马?

编辑:quers 2016-10-11 10:05:25 来源于:系统城 1. 扫描二维码随时看资讯 2. 请使用手机浏览器访问: http://wap.xtcheng.cc/xtjc/13458.html 手机查看

  冰河木马,类似于灰鸽子,其开发初衷虽然只是一个远程控制软件,后成为一款知名的黑客入侵工具,TA不仅可以随时跟踪用户屏幕的变化,还能远程进行文件操作,还能盗取用户所有的保存过的口令密码。阅读下文了解冰河木马的功能和清理方法

中了冰河木马病毒怎么办?怎么清除冰河木马?

  冰河木马,跟灰鸽子类似,在设计之初,开发者的本意是编写一个功能强大的远程控制软件。但一经推出,就依靠其强大的功能成为了黑客们发动入侵的工具,并结束了国外木马一统天下的局面,跟后来的灰鸽子等等成为国产木马的标志和代名词。HK联盟Mask曾利用它入侵过数千台电脑,其中包括国外电脑。

  冰河木马功能:

  在2006年之前,冰河在国内一直是不可动摇的领军木马,在国内没用过冰河的人等于没用过木马,由此可见冰河木马在国内的影响力之巨大。

  目的:远程访问、控制。

  选择:可人为制造受害者和寻找“养马场”,选择前者的基本上可省略扫描的步骤。

  1、自动跟踪目标机屏幕变化,同时可以完全模拟键盘及鼠标输入,即在同步被控端屏幕变化的同时,监控端的一切键盘及鼠标操作将反映在被控端屏幕(局域网适用);

  2、记录各种口令信息:包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现过的口令信息;

  3、获取系统信息:包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据;

  4、限制系统功能:包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制;

  5、远程文件操作:包括创建、上传、下载、复制、删除文件或目录、文件压缩、快速浏览文本文件、远程打开文件(提供了四中不同的打开方式——正常方式、最大化、最小化和隐藏方式)等多项文件操作功能;

  6、注册表操作:包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能;

  7、发送信息:以四种常用图标向被控端发送简短信息;

  8、点对点通讯:以聊天室形式同被控端进行在线交谈。

  从一定程度上可以说冰河是最有名的木马了,就连刚接触电脑的用户也听说过它。虽然许多杀毒软件可以查杀它,但国内仍有几十万种冰河的电脑存在!作为木马,冰河创造了最多人使用、最多人中弹的奇迹,掌握了如何清除标准版,再来对付变种冰河就很容易了。

  冰河的服务器端程序为G-server.exe,客户端程序为G-client.exe,默认连接端口为7626。一旦运行G-server,那么该程序就会在C:/Windows/system目录下生成Kernel32.exe和sysexplr.exe,并删除自身。 Kernel32.exe在系统启动时自动加载运行,sysexplr.exe和TXT文件关联。即使你删除了Kernel32.exe,只要你打开 TXT文件,sysexplr.exe就会被激活,它将再次生成Kernel32.exe,于是冰河又回来了!这就是冰河屡删不止的原因。

  清除冰河木马的方法:

  方法一:安装了冰河服务端的用户:

  如果安装了“冰河”服务端的朋友就很简单了。首先在自动扫描中输入自己的IP,看一下扫描结果是否为“OK”,并且左边的“文件管理器”中会出现自己的IP吗?如果有,在“命令控制台”中的“控制类命令”中的“系统控制”中点击“自动卸载冰河”就可以了。

  方法二:未安装冰河的用户:

  如果没有“冰河”这个软件朋友也不用着急,请用下面的方法查找并解除木马。

  运行REGEDIT命令打开注册表编辑器,在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 查看键值中没有自己不熟悉的自动启动文件,扩展名为EXE。(一般“冰河”的默认文件名为KERNEL32.EXE,注意此文件的名字可能会被种马的人改变)。

  如果有,那我们现在开始进行修改,先删除该键值中这一项,再删除RUNDRIVES这个键值。 一般“冰河”用户端程序的自我保护设为:关联TXT文件或EXE文件,关联的文件为:SYSEXPLR.EXE。

  1、在“查看”菜单中选择“文件夹选项”弹出文件夹选项对话框,选择“文件类型” 在“已注册文件类型”框中找到“TXT FILE”这一项,看一下“打开方式”有无变化(一般为:NOTEPAD),如果关联对象不是NOTEPAD,选择“编辑”按钮,在“操作”框中删除“OPEN”这一项,那关联 TXT文件的用户程序就失效了。

  2、如果是关联的EXE文件,那打开注册表编辑器,在HKEY_CLASSES_ROOT\.exe中把 “默认”的键值随便改成什么(注意看清楚,等会儿要改回来)。

  以上这两步做完后,退出WINDOWS,在DOS状态下删除该“冰河”用户端程序,重新启动即可。

  注意:要把EXE文件的注册表改回来。 好了,再搜索用木马程序看有没有(没有了吧,偷着笑吧^_^,不用格式化硬盘了)

  附:如果关联的是其它类型的文件,修改同上。

  以上便是关于冰河木马的功能和清理方法,冰河木马相对年代比较久了,一般很多杀毒软件都可以查杀,但变种的木马就不一定了。

分享到:

热门图文

热门搜索

返回顶部