服务管理控制台启动故障分析与解决.pdfVIP

近期发现有多台服务器中木马，导致启用“管理工具”中的“服务”、“性能”等和MMC

有关的进程都无法正常启动，经过排查发现该木马可执行文件命名为mmc.exe（通常只有

60K左右），该文件被放到“系统盘\Windows\System32”下，导致原系统mmc.exe（正确的

有829K）文件被覆盖，从而导致系统中较多的管理控制台无法正常启动。

该木马程序植入主机后会在服务中生成一个SmartCardSupervisor的服务，如下图所示：

大家只需将该服务停止，并到“系统盘\Windows\System32”下将60K大小的mmc.exe

文件删除即可,木马程序mmc.exe删除后原系统的mmc.exe将自动产生。

升腾技术

2007-01-04