[转帖]关于SearchNet木马病毒

IsaacZ 发表于 2006-2-26 03:39:17

近来有不少电脑中此病毒.本人以亲身的经历向大家介绍... 关于SearchNet病毒... 一、隐藏文件 该木马隐藏了Program File下的SearchNet文件夹和Drivers下的驱动文件。 资源管理器下没有发现SearchNet文件夹 用IceSword能发现SearchNet文件夹 资源管理器下没有发现其驱动文件 用IceSword发现三个驱动文件: FAD.sys Anfad.sys hProcess.sys 二、隐藏进程 该木马隐藏了自己的两个进程：SearchNet.exe 和 ServeHost.exe 任务管理器下没有发现SearchNet.exe 和 ServeHost.exe进程 用IceSword发现SearchNet.exe 和 ServeHost.exe进程 (IceSword自动用红色将其显示) 用IceSword查看内核模块（发现该木马的底层驱动） 三、隐藏注册表 该木马隐藏了与其相关的所有注册表项： 用Regedit无法查看其注册表启动项 用IceSword查看到 SearchNet_Up启动项和FAD.sys，Anfad.sys，hProcess.sys驱动项 四、监视用户操作 该木马，安装了WH_MSGFILTER WH_KEYBOARD_LL WH_MOUSE钩子，监视着用户的一举一动。 用IceSword能查看到SearchNet进程安装的全局钩子 五、自我保护，自我修复 该木马采用驱动文件FAD.sys Anfad.sys hProcess.sys对其所有和注册表进行了保护，甚至用IceSword都无法删除！ 六、网络访问与后台升级 该木马可通过悄悄访问网络，后台升级，以保持其最新版本，躲过杀毒软件的查杀。 七、卸载欺骗 该木马提供一个虚假的卸载方式，来欺骗用户。 用户按其提供的虚假卸载方式，卸载后，控制面板内就没有中搜寻址卸载项了，但用IceSword查看，其文件和注册表都原封不动的保存在原地，而且其驱动依然在保护着自己不被用户发现，不被用户删除。也就是说，用户根本无法删除这个木马！ 删除方法.. 1.如果你的C盘是FAT32的就好办了.在DOS下删除C: Program FilesSearchnet文件夹就OK了.. 2.双系统可以进另一系统删除 3.如果是NFTS的,就用一些工具盘.如系统维护光盘就行..进入到光盘中的启动项..运行 WinPE 深山红叶进入到系统.点击资源管理器.找到C: Program FilesSearchnet文件夹并删除它...重新启动机器就OK了... 4.就是把中招的硬盘拿下放在其他机器上.用挂双硬盘的方法删除c: program filessearchnet文件夹也可以... 我试试很灵的.希望对中招的朋友有所帮助...... 好的话就顶一下.......

IsaacZ 发表于 2006-2-26 04:12:46

幽灵伴随的猪

wangzhangaaa 
网络猪，这只猪似有似无，幽灵一样往来于网络之间，挥之不去，查无所在，让人感到很可怕。如果你的电脑中安装过中搜，你会发现，你没有启动网络猪，只要一开机网络猪就会自动跳出来，第一时间强迫用户使用其桌面寻址功能。这也许不算什么只不过，你开机的时候会延长而已，如果你不着急使用，权当没看见，然而我们知道，机器的启动项是由我们用户自己添加或修改的，可怕的是，你却在启动项中无法找到网络猪，这是幽灵之一。 因为中搜的流氓行为，已经被广大的网民不容接受，很多人自发的进行删除，从理论上来说只要把中搜的文件夹删除了，就应该删除了这个软件，然而事实却让你心惊，你会发现即使你删除了文件夹，这只可恶的猪依然存在，你却找不到他的踪影，这是幽灵之二。 当你发现机器运行很慢，能过任务管理器想结束一些进程，你会发现，进程中并没有网络猪的程序运行，然而网络猪依然在使用，你对他的运行，无法停止，因为你更本找不到他的进程在那里，这是幽灵之三。 以下是笔者对此三种情况做的一个详细剖析，揭露网络猪的真实面目，以示公众。 启动项幽灵： 中搜在未经用户许可的情形下强行将桌面寻址写入启动项，用户一开机，网络猪桌面寻址就自动运行。为阻止用户在启动项将其删除网络猪，中搜再次无耻的利用其技术资源隐藏启动项，强暴用户用户使用其病毒软件。 下图为被中搜隐藏的网络猪启动项： <IMG src="http://www.pcshow.net/bbs/attachments/08TB6bDpy+a1xNbtMQ==_2Aqgt76gdtBF.jpg" border=0> 幽灵文件夹 安装网络猪桌面寻址，新建正常文件夹c:\program files\zsxz，存储桌面寻址相关文件。与此同时新建隐藏文件夹c:\program files\searchnet，存储另一套桌面寻址文件，不借助专业的木马查杀工具，用户完全不知晓中搜已经在机器中种下幽灵备份。用户正常卸载网络猪桌面寻址只会删除表面文件夹c:\program files\zsxz，隐藏的幽灵文件夹c:\program files\searchnet仍然占据用户机器，且无法删除。 下图为安装网络猪桌面寻址时自动生成的幽灵文件： <IMG src="http://www.pcshow.net/bbs/attachments/08TB6bDpy+a1xNbtMg==_qDiROiSMM6HJ.jpg" border=0> 幽灵进程 网络猪桌面寻址随机调用正常文件夹或幽灵备份中的程序文件并载入进程。随机调用程序文件属于典型的病毒特征，任何正当的软件都不会采用这种机制。用户卸载网络猪桌面寻址后，中搜可以在后台调用幽灵备份中的程序文件，并在进程中隐藏运行程序。基于此种病毒机制网络猪桌面寻址极其流氓的禁止了用户对程序的主动卸载。网络猪所有卸载项完全是对用户的愚弄和欺骗，把一个安装后完全不能卸载的恶意病毒伪装为有卸载界面的正当软件。 下图为隐藏的幽灵进程： <IMG src="http://www.pcshow.net/bbs/attachments/08TB6bDpy+a1xNbtMw==_ZvFbi9yAGXqv.jpg" border=0> 关于网络猪带有木马程序的问题大家可以借用现在业内比较常用的共享木马检测工具IceSword测试一下，便可知真像。

IsaacZ 发表于 2006-2-26 04:13:35

杀毒软件报警病毒位置：“C:\Program Files\Searchnet\serveup.exe” 特征：自我隐藏，自我保护，自我恢复，网络访问，后台升级，监视用户操作，无法彻底删除 该木马提供一个虚假的卸载方式来欺骗用户，输入密码后可卸载，实际无效。 危害：可监视用户全部操作。 确诊：查找windows(winnt)\System32\Drivers下是否包含FAD.sys、Anfad.sys hProcess.sys文件。 原因：安装过中搜网络猪、划词搜索等工具，也可能是误安装，因为经常有其他工具软件下载捆绑此类流氓软件。 解决： 安装Unlocker（顽固软件删除工具）； 删除C:\Program Files\Searchnet\下的所有文件和该文件夹（选中文件后右键单击->Unlocker->删除）； 删除System32\Drivers下的FAD.sys、Anfad.sys hProcess.sys文件，当时不会删除，提示重启后... 开始->运行->执行“regedit”，搜索整个注册表，删除“serveup”相关内容； 开始->运行->执行“msconfig”，在“启动”选项卡中禁用serveup，需要重启，会有提示； 使用IceSword重新检查进程，使用杀毒软件重新扫描； Unlocker1.77下载地址：http://ccollomb.free.fr/unlocker/unlocker1.7.7.exe 或者:单击“开始”－“运行”，输入“msconfig”，回车后在弹出的窗口中选择“启动”标签，在启动中找到“SEARCH.EXE”，去除前边的勾选；按“Ctrl+Shift+ESC”打开“任务管理器”，在进程中结束“SEARCH.EXE”；单击“开始”－“运行”，输入“regedit”，打开注册表，搜索“SEARCH.EXE”的项值，删除相关的项。最后删除整个安装目录。 PS:网上找的,楼主试试看

页: [1]

点拨论坛，菜鸟家园's Archiver

[转帖]关于SearchNet木马病毒

幽灵伴随的猪