手动剿杀“上兴远程控制”木马(2)
http://www.itjxue.com 2015-07-17 00:49 来源:未知 点击次数:
二、手工查杀木马
没办法只好是上网查询其剿杀办法了，搜询的结果是网上也没有提供详细的查杀方案，无奈之下，只能是参照网上提供的经验自己动手解决了。首先是断开网络，重新启动电脑至安全模式，点击“开始→运行”，在“运行”窗口中输入“regedit”确定，打开“注册表”编辑器，点击“编辑→查找”，在“查找”窗口中输入控制端名称“Windows_rejoice2007_44”，然后点击“查找下一个”，在查找的结果中将其键值“项”删除（如图03），结果并非想象的那样简单，木马程序早已将其键值“项”设为“只读”进行保护，只能是动手修改其权限了，在键值“项”上右击鼠标，选择“权限”，在打开的“权限”窗口中，选中“Administrators”，再点击下方的“高级”，然后在打开的“Microsoft的高级安全设置”窗口中，双击“允许Administrators”，在打开的权限窗口中，选择“完全控制”确定即可，这样就能将其“项”执行删除了，再按下F3键查找下一个，依照上述方法反复查找、删除，直到全部删除与之相关的键值“项”为止。
图3 进入注册表编辑器修改键值
此时再回到C:\Program Files\Common Files\Microsoft Shared\MSINFO\rejoice44.
exe，找到其文件，执行删除。在删除过程中可能会弹出错误信息窗口，原因是注册表中的键值“项”删除后，此时在“服务项”中还是会残留有服务“名称”（文件）（如图04），由于其不能自动激活注册表文件，才会弹出错误信息。关闭“服务窗口”，关闭电脑，重新启动。
图4 关闭木马的服务
重新启动电脑后，再次查看“任务管理器”一切正常，再打开360安全卫士进行系统全面扫描，也没再显示有“上兴远程控制服务端”了，防火墙也显示正常了。