標題:
lssass.exe病毒是怎樣運作的
[打印本頁]
作者:
admin
時間:
2009-11-16 22:27
標題:
lssass.exe病毒是怎樣運作的
lssass.exe
可能是個木馬（後門）一類的東東。
這個木馬比較狡猾。處理時須仔細分辨真假。否則，容易上當！
木馬運行後，用假
SERVICES.EXE
替換真正的系統程式
services.exe
（將
C:\WINDOWS\system32\
目錄下的系統程式
services.exe
改名為
hbaxcsnp.dll
，移到
C:\WINDOWS\system32\wins\
目錄）；
C:\WINDOWS\system32\
目錄下的
SERVICES.EXE
變為木馬程式。這個假冒的
SERVICES.EXE
檔大小與真的系統程式相同，只是
MD5
值不同。此外，還釋放一個
qrafgsy.dll
到
C:\WINDOWS\system32\
目錄下，此
dll
插在那個假冒的
SERVICES.EXE
進程中運行。
中招後的典型症狀：
用
IceSword
查看進程列表時，可以發現兩個
services.exe
進程。一個是
dll
圖示，另一個是
.exe
圖示。用
SRENG
掃日誌，唯一可見的異常是
:
[PID: 628][C:\windows\system32\services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\UmxSbxExw.dll] [Computer Associates International, Inc., 6.0.1 .58]
[C:\windows\system32\UmxSbxw.dll] [Computer Associates International, Inc., 6.0.1.58]
[PID: 1716][C:\windows\system32\services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\UmxSbxExw.dll] [Computer Associates International, Inc., 6.0.1.58]
[C:\windows\system32\UmxSbxw.dll] [Computer Associates International, Inc., 6.0.1.58]
[C:\windows\system32\qrafgsy.dll] [N/A, ]
歡迎光臨 頭彩論壇 (http://r560421.freebbs.tw/)
Powered by Discuz! 5.0.0
