首页 > 学院 > 安全知识 > 正文

教你手工斩杀“灰鸽子”木马

2020-04-09 20:00:15
字体:
来源:转载
供稿:网友

  说到木马,最令人恶意和恐惧的应该就是远程控制木马了,想象一下,当你欢快地操作着电脑,和MM聊得火热的时候,背后正有一双邪恶的眼睛盯着你的一切,这种感觉是不是让人毛骨悚然呢?而在远程控制木马中,最令国内用户熟知的应该就是“灰鸽子”木马了。作为国内远程控制木马的鼻祖,“灰鸽子”历经数年,更新了无数个版本,直至今日仍然是网络上的头号公敌。本期就让我们来学习一下“灰鸽子”木马的手工清除方法。

  ★编辑提示:“灰鸽子”的前世今生

  “灰鸽子”是国内著名的远程控制木马。其丰富而强大的功能、灵活多变的操作、良好的隐藏性使其他后门都相形见绌。

  为什么“灰鸽子”会成为网络公敌?这与其强大的功能是分不开的。首先是反弹连接功能,“灰鸽子”是国内首款使用反弹连接功能的远程控制木马,突破了传统主动连接方式木马的弊端,该功能让“灰鸽子”一下子成为了国内黑客的首眩其次是其隐藏性,“灰鸽子”诞生之初,即以超强的隐藏性和反查杀能力令杀毒软件厂商头痛不已,最终只得发布专杀工具才得以清除。

  2007年以后,“灰鸽子”系列木马停止了开发,但是其爱好者并不甘愿这一著名品牌就此没落。直至今日,“灰鸽子”仍然在不断更新,当然这都是爱好者自行开发和修改的结果。

  为什么说“灰鸽子”很难清除呢?这是因为“灰鸽子”采用了驱动技术,在Windows中的权限很高,因此杀毒软件在对其进行查杀后,只要系统一重启,“灰鸽子”就会死灰复燃。其实,要想对付“灰鸽子”,掌握手工查杀的技术,比使用任何杀毒软件都有效。下面我们就来看看如何手工删除“灰鸽子”。

  结束进程

  要让运行着的“灰鸽子”失效,首先第一步就是结束“灰鸽子”的进程。当然,用Windows自带的“任务管理器”是不行的,功能太弱,不给力。我们得请出专业的安全工具“冰刃”。双击运行“冰刃”,点击“进程”按钮对当前系统中的进程进行检测。

  通常在这里我们会碰到两种情况,一种是进程列表中出现了一个红色字体的进程,这是因为早期的“灰鸽子”会对系统进程进行dll注入。另一种情况是伪造的系统进程,例如svchost.exe,正常的svchost.exe在冰刃中看起来会是一个空白的图标,而假的svchost.exe看起来会是一个小电脑的图标。如果程序名本身就比较可疑,那么这是最好不过的了,一眼就能认出来,例如本例中的“.exe”。找到后在进程上点右键,选择“结束进程”即可。这样“灰鸽子”就暂时无法运行了。

教你手工斩杀“灰鸽子”木马 武林网教程

  ▲“灰鸽子”的进程

  停止服务

  结束了进程,为了让其无法自动启动,我们还要禁止其进程。点击“开始”菜单→“运行”,输入“msconfig”运行“系统配置实用程序”,切换到“服务”标签,勾选下方的“隐藏所有Microsoft服务”选项。这样非Windows系统的服务就被列出来了,我们要从中寻找可疑的服务,本例中为“Windows”。

木马并不可怕 教你手工斩杀“灰鸽子”

  ▲“灰鸽子”的服务

  我们回到“冰刃”,进入到“服务”功能,找到“Windows”服务对应的应用程序恰恰就是“.exe”,位于C:Windows目录。可见,这就是“灰鸽子”的服务。

木马并不可怕 教你手工斩杀“灰鸽子”

  ▲禁用“灰鸽子”服务

  接下去就好办了。在“Windows”服务上点右键,选择“禁用”。然后再进入C:Windows目录,删除.exe文件。这样“灰鸽子”就被彻底清除了。其实不光是“灰鸽子”,其他的远程控制木马也都可以按照这样的步骤来手工删除。

发表评论 共有条评论
用户名: 密码:
验证码: 匿名发表