论坛徽章:: 0

电梯直达

1楼 [收藏(0)] [报告]

发表于 2006-06-21 13:12 |只看该作者 |倒序浏览

现有1pc win2K 某日中了一木马表现特征:
1. 不断向某ip 80端口发送syn包试图握手
2. 嵌入IE 调用以下模块
  a. c:\Documents and Settings\administrator\Local Settings\vhfnvaam.dll
  b. c:\winnt\system32\vhfnvaam.dll
  c. c:\winnt\system32\drivers\klif.sys
  ......
3.曾试图自IE卸载上述模块，但卸载任何一个均会导致win 重启

各位可有良策对付这个木马么?谢谢。

文库|博客

teczm

家境小康

论坛徽章:: 0

2楼 [报告]

发表于 2006-06-21 14:07 |只看该作者

杀毒软件日志

在系统内存中发现a variant of Win32/PcClient.IF 木马。可以删除档案。强烈建议你继续清除前备份任何重要数据。在内存中的受感染文件无法被修复。按 "离开" 以继续扫描所有本机硬盘。请于扫描完成后到安全模式再次扫描，详情请参阅：http://www.nod32.com.hk/safemode 系统内存感染源自文件c:\winnt\system32\vhfnvaam.dll.

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

lunchan

荣誉版主

论坛徽章:: 0

3楼 [报告]

发表于 2006-06-21 14:14 |只看该作者

http://www.sogclub.com/forum/vie ... 4970&sid=7dsjm1

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

teczm

家境小康

论坛徽章:: 0

4楼 [报告]

发表于 2006-06-21 14:40 |只看该作者

楼上给的那个url打不开

我是这样清除的，
1. 进入安全模式
2. 把c:\winnt\system32\vhfnvaam.dll 和 c:\Documengts and Setting\administrator\Locatting Settings\temp\vhfnvaam.dll 改名
3. 正常进入win2k后删除之