用“无毒空间”消灭“改变你的一生”木马

发布:admin | 发布时间: 2010年8月23日

改变你的一生木马确实是花了一些工夫的高级木马，接管内核，干掉杀软，疯狂下载子木马，不断更新免杀模块，等等招数。都让中招的用户非常头痛。这些招数对付传统的杀毒软件有效，但在无毒空间眼里基本就是杂耍。
下面就演示一把无毒空间大战“改变你的一生”木马，说是大战，有点夸张，习惯用语，准确的描述是“小菜一碟”。
演示环境：
Windows XP sp2
无补丁
无防火墙
注：本测试故意做了断网处理，这个木马非常疯狂，不断从网上下载新的版本以逃避查杀，如果联网操作，无毒空间需切换至增强保护模式才能将其搞定，这是更加高级一点的技巧，有机会专门介绍增强保护模式的使用方法。
样本制作：上挂马网站，故意中一下“改变你的一生”木马。
中马后的电脑桌面有“改变你的一生”快捷方式，指向某个网站，无法删除。
电脑运行速度变慢，关机及重启均有延迟。
任务管理器能看见假冒的qq.exe kav.exe等可疑进程。
截图如下：

安装无毒空间，看看能发现什么？
安装过程（略）
重启计算机等无毒空间正常工作后，点击"分析"按钮。

有经验的用户马上就能看出这中间除了vfsetup.exe是我们自己无毒空间的安装程序之外，其它的程序都或多或少的有些问题？
原因如下：
safemon.dat，这个文件的疑点多多：正常系统的C盘根目录下不应该有这样的文件；冒充dat数据文件，实为执行文件；文件名是安全监控的意思，保不齐是反义词。
qq.exe，一个证据就可以判它为木马，还没有见过qq在temp临时目录下启动执行的。当然在任务管理器里看见qq.exe确实有足够的欺骗性，但无毒空间捕捉的是程序加载执行时的路径，这样就几乎不用劳神研究了，铁定是木马。
suossu.dll，这个程序是随机文件名，使用了巨大文件的招数对付云查杀，是木马辅助程序。
itss.exe，在回收站里执行的程序，想都不用想，木马。
game8.exe，windows系统文件夹里，居然执行了一个貌似游戏的程序，木马。
kav.exe，冒充杀毒软件的名称，在windows系统文件夹里执行，木马。
tvplus.sys，显示厂商为CCTV，中央电视台？没装过呀，木马。
当然，最简单可靠的办法就是上传一下，看看国际知名的40家杀毒软件怎么判断的！！！
无毒空间的新手们可以一个个上传后再确认结果。
截图如下：

看见木马了，选中禁止，关闭主界面，重启。

重启后能看见无毒空间自动禁止了刚才那几个木马的加载，虽然我们没有删除任何程序，但木马们都已经歇菜了。
要杀要剐听凭用户的爱好。

从图上的禁止清单上我们也能看出点名堂，原本禁止的是一个动态链接库程序suossu.dll，结果在实际操作时居然禁止了一个名tabit.exe的可执行程序，这个现象刚好暴露了木马的一个欺骗招数。
从这个例子我们可以看出，使用无毒空间查杀病毒木马还是蛮锻炼电脑使用技巧的；
经常使用无毒空间分析自己的电脑，能迅速将自己培养成为电脑高手。无毒空间官网下载地址：http://www.virusfree.com.cn