怎样判断进程是否被注入木马?

number321 2011-03-01 10:37:17

之前一台电脑中毒.重装以后过了一会也中毒了.目前能发现的现象是

注册表中添加了很多常用软件和杀毒软件的exe文件,指向c:\windows\system32\svchost.exe,做了镜像劫持导致这些软件打不开.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]

另外系统中的svchost.exe进程也比其他装了几乎完全一样软件的电脑多一个.

其他的似乎看不出什么异常.

这有可能是什么病毒呢.另外怎样看出是哪个svchost.exe有问题,病毒是怎样运行起那个进程的呢
另外有没有于注进程注入的方法和检查方法.

...全文

235 3 打赏收藏转发到动态举报

写回复

3 条回复

切换为时间正序

请发表友善的回复…

发表回复

luoran5848 2011-03-01

打赏
举报

回复

可以用一些简单的命令，比如说 NETSTAT -AN 之类看看开否了哪些端口。
还有一些360啊，金山卫士等等，都可以搞定的嘛

number321 2011-03-01

打赏
举报

回复

我似乎找到有病毒那个电脑上的可疑svchost.exe进程了
它的 commandline是:
C:\WINDOWS\system32\SVCHOST.EXE -k NetworkServices
正常的系统中是没有这个进程的

另外这个进程模块里有一个名称为 C:\windows\system32\ngvoxh.hun 的文件,是有这个对应文件的,而且是中毒时候新建的.
有人知道这是什么病毒吗

窗外雨潇潇 2011-03-01

打赏
举报

回复

可以用injectdll这个软件检查是什么程序注入了系统进程

当你拿到了系统控制权之后如何才能更长的时间内控制已经拿到这台机器呢？作为白帽子，已经在对手防线上撕开一个口子，如果你需要进一步扩大战果，你首先需要做的就是潜伏下来，收集更多的信息便于你判断，便于有更大的收获。用什么方法才能有尽可能高的权限，同时能更有效的隐藏自己，是留webshell，留后门，种木马还是Rootkit？webshell，哪怕是一句话木马都很容易被管理员清除，放了木马，也容易被有经验的管理员查出，不管是早期自己创建进程，进程被干掉就完了，还是注入进程的木马，或者是以服务自启动的木马，哪怕是替换次要的系统服务自己启动的木马，隐蔽性都太差了。不管后门留的如何完美，木马免杀做的多好，最

机器狗木马病毒介绍：机器狗木马病毒是用一个C语言编写的木马病毒。病毒运行后会删除系统目录下的userinit.exe，并建立一个包含病毒的userinit.exe，随系统每次启动时加载到系统中。此文件运行后会在系统的SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下添加一系列反病毒软件和安全工具的键值，使这些软件和工具无法正常运行。另外病毒还会尝试注入IE进程通过互联网下载病毒的更新，达到躲避查杀与侦测的目的。机器狗病毒的判断方法：方法1：打开C:\WINDOWS\system32文件夹（或打开系统对应目录），找到userinit.exe、explorer.exe点击右键查看文件的属性，若在属性窗口中看不到文件的版本标签则说明该文件已经被病毒替换系统已经染毒。

本课程主要分享Kali Linux渗透测试实战：Msfvenom生成木马攻防实战教程！ 2、课程目标本课程致力于帮助广大学员掌握Msfvenom木马生成与攻防实战技巧！ 3、适合人员 &...

机器狗木马病毒介绍：机器狗木马病毒是用一个C语言编写的木马病毒。病毒运行后会删除系统目录下的userinit.exe，并建立一个包含病毒的userinit.exe，随系统每次启动时加载到系统中。此文件运行后会在系统的SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下添加一系列反病毒软件和安全工具的键值，使这些软件和工具无法正常运行。另外病毒还会尝试注入IE进程通过互联网下载病毒的更新，达到躲避查杀与侦测的目的。机器狗病毒的判断方法：方法1：打开C:\WINDOWS\system32文件夹（或打开系统对应目录），找到userinit.exe、explorer.exe点击右键查看文件的属性，若在属性窗口中看不到文件的版本标签则说明该文件已经被病毒替换系统已经染毒。方法2：双击瑞星杀毒软件的快捷方式，以及卡卡上网安全助手的快捷方式，没有任何反应（不是窗口打开后迅速关闭或报错崩溃）。

DRAT 2010 V4.3 正式版 Build 1220(已完美脱壳) 编译环境：Vista+Delphi7 使用环境：Win2K\WinXp\Win2003\Vista\Win2008\Window7 1.系统信息:可以查看操作系统版本、Cpu类型、内存信息、杀毒软件、防火墙、检测辅助（虚拟机、360安全卫士等）、硬盘大小等 2.文件管理:文件浏览、上传、下载、删除、运行目录创建和删除。 3.屏幕控制:可以查看对方屏幕，鼠标控制,键盘控制 4.视频捕捉:可以捕获对方的视频摄像头影像 5.超级终端:也就是telnet命令执行 6.进程管理:可以查看对方进程，并可以终止进程。 7.插件管理:可以加载自定义插件扩展功能。服务端体积:44.5 KB(压缩) 97.5 KB(无压缩) 启动方式简要说明 1.Active启动第一次安装：360安全卫士无提示,即时上线更新安装：文件及时替换完成不重复上线 2.新建服务: 第一次安装：360安全卫士有提示,即时上线更新安装：文件及时替换完成不上线(防止重复上线发生) 插件使用及插件相关参数说明： HTTP.dll Http插件 0.1 By New4[D.S.T] 开放端口：5555 Socks4.dll Socks4插件 0.1 By New4[D.S.T] 开放端口：8080 Open3389.dll Open3389插件 0.1 By New4[D.S.T] 开放端口：3389(或原来的端口) UnSRAT.dll UnSRAT插件 0.1 By New4[D.S.T] 加载后自动清理,成功后生成日志log.txt 插件添加后：%SystemRoot%\System32\DRAT 为插件存放目录，如需可手动上传即可。 DRAT.exe 主程序文件校验： MD5: F543BDCB5282307AA37DAEDA72A16002 SHA1: 194ECC0483AA17FB7AFF6BF437FE02560ED1A63D CRC32: 666CDFD5 Server.dat 服务端文件校验：（如果发现MD5有问题请不要使用） MD5: 4CFC55CD6FAEAB3E4ACE1FD80F63A5E9 SHA1: 7EBCED74F6F5C421E9EDBA0DFD5AC2B1D7ECAAFF CRC32: 0C79CD0D 更新日志: V3.3 更换网络核心组件到Indy10 修正屏幕监控无法停止的错误修正屏幕控制停止后连接未断开的错误修正键盘输入时回车符导致客户端掉线键盘输入不兼容旧版修正GB内存的错误显示问题修正客户端在注销状态无法控制的错误增加发送Ctrl+Alt+Del键功能用于远程登录（只支持服务启动）支持多选文件下载（暂时还不稳定） V3.4 修正异常掉线导致控制端崩溃的Bug 重写并优化屏幕控制部分代码修正主机下线日志不显示及统计不正常的bug 重写插件管理接口代码配置服务端可自选保存路径修正文件传输被控端异常断开导致控制端内存占用过高的bug 修正文件传输控制端异常断开导致被控端出错的bug V3.5 修正Active Setup启动不稳定的bug 重写被控端网络连接逻辑判断修正控制端关闭时导致掉机的bug 由于屏幕算法原因暂时不支持远程登录暂时删除 V3.6 屏幕监控增加捕获层功能(完美屏幕查看) 屏幕监控增加全屏模式(按F12键) 屏幕监控增加剪切板功能(尚有bug) 获取外网IP函数改写(不会出现程序打不开的bug) 修正一个http上线可能导致暂时性掉鸡的bug 支持远程登录修复发送Ctrl+Alt+Del键功能用于远程登录（只支持服务启动） V3.7 优化远程信息获取部分代码通信协议修改不兼容旧版修正一个上线可能存在的bug 重写视频功能速度有所提升被控端掉线检测功能修复在次修正Active Setup启动不稳定的bug 配置服务端默认.exe后缀异常掉线容错次数设置为5次 V3.8 修正无视频点击视频设备主机掉线的bug 文件传输代码更换回DRAT3.2版使用最新的系统判断函数(支持显示Vista\2008) 重新开启皮肤渲染效果(并提供56款皮肤更换,可到主页下载) 修改服务端和客户端掉线检测机制 V3.9 重写文件传输现在更加稳定文件续传功能仅支持下载续传文件传输功能支持Bit位传输修正掉线检测的一个逻辑错误新版修改协议不兼容旧版 V4.0 兼容Windows7 RTM版(由于注入原因暂时还不支持屏幕监控) 屏蔽了Active启动状态下发送Ctrl+Alt+Del键功能的错误修正一个Active启动状态重复上线的问题关闭窗口时如果出现关闭困难或者跳至主窗口请关闭皮肤功能修正控制端心跳包检测时间为60秒修正被控端心跳包检测错误导致上下线修复下线气泡提示的Bug 增加服务端配置信息保存项修正设置皮肤导致读取其他配置的逻辑错误修正摄像头MPEG录像功能并启用修正屏幕传输掉线时出现的无法关闭窗口的错误(Error #10054) 修正大量主机掉线时可能会导致程序停止响应并出现内存错误由于indy10线程池问题将网络组件换回indy9 插件管理功能移至控制中心增加屏幕控制顶部标示主机IP地址修正3.3之后版本可能会出现占CPU高的bug 修正内测第5版的主机下线后主机总数计数错误的bug 管理中心插件模块增加本地上传插件功能优化自动上线主机统计部分代码对服务端部分代码进行优化缩小体积修正内存识别错误采用MB为单位计算重写文件管理部分代码加快传输不兼容旧版增加连接上限设置\是否使用服务端心跳设置\自动断开重复主机设置(默认不启用) 修改文件下载路径文件夹名以IP地址命名修正旧版下载无法续传的错误优化控制端命令发送部分代码 V4.1 修正一个同主机屏幕多开的bug 修正一个插件管理功能无法删除插件的bug 重写优化控制中心部分代码使运行更稳定文件传输删除任务功能支持多选删除控制中心获取的信息细节优化修正上一个版本无法删除目录的bug 传输命令格式变更完全加密 V4.2 修正上一个版本插件传输失败的bug 抛弃旧版本文件传输功能重写文件传输功能支持断点续传文件传输功能支持文件多选操作抛弃旧版本文件浏览功能重写使用windows接口打造仿真explorer 使用windows本地图标组最大限度保证显示与类型相符可正常读取网络磁盘\可读写光盘的数据(DRIVE_REMOTE\DRIVE_FIXED) V4.3 修正部分机器远程主机图标获取失败的bug

6,849

社区成员

178,034

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章