灰鸽子木马的监控与清除.pdfVIP

计 算 机 机 计 机 计 网 计 网 技 网 技 安 技 算 安 算 安 算 络 络 术 络 术 全 术 全 全 灰鸽子木马的监控与清除 灰鸽子木马的监控与清除 1.1教学案例：灰鸽子木马的监控分析与手动清除 主要过程: 打开process monitor ，运行灰鸽子服务端，客户端看到上线 使用process monitor设置过滤条件，进行分析，找到木马创建的 文件，和注册表项，进行清除 清除后重启，客户端没有上线主机。 灰鸽子木马的监控与清除 进程活动： 过滤规则： 操作：Process Create 操作：Process Start 灰鸽子木马的监控与清除 经过分析，首先创建了server.exe 进程，之后通过调 用services.exe( 系统服务进程) 创建了Entmian 进程， Entmian 进程又创建了Iexploer.exe 进程，IE 进程打开 Entmian.exe 文件， 灰鸽子木马的监控与清除 文件活动： 方法一： 添加两条过滤 规则： 操作：createfile ， 细节：包含 created 灰鸽子木马的监控与清除 过滤后的结果只有一条，因此可以不必再添加进程进行过滤。 灰鸽子木马的监控与清除 方法二：或者找文件写入操作：wirtefile ，注意是多次写入， 每次写入的偏移量(offset)不同。 灰鸽子木马的监控与清除 注册表活动： 过滤规则： 操作：RegSetValue 仅分析病毒进程名的注册表活动还不够，有的注册表操作是 木马进程通过调用其它进程来实现的。比如，在创建系统服 务项时，是通过调用系统服务进程services.exe 来对注册表进 行修改的。 灰鸽子木马的监控与清除 灰鸽子木马的监控与清除 网络活动：连接木马客户端的8000端口 灰鸽子木马的监控与清除 1.2 实验案例： 对灰鸽子进行监控，并分析，根据分析结果， 手工清除，务必完全清除，不留隐患。 • 进程活动，主要是进程创建 • 文件系统变化，文件创建 • 注册表，注册表修改 （设置） • 网络活动 实验体会： 灰鸽子木马的监控与清除 实验参考： 处理办法： 结束进程 删除自动启动项，灰鸽子服务 删除生成的文件entmian.exe( 隐藏的文件，被使用，在process exploer 里 查找文件名，找到占用的进程，从进程里解除占用)后删除。Win7 以上 可通过 “资源监视器”－ “关联的句柄”找到。 处理后，重启，无进程出