前段时间，我因为用了一个比较新的黑客工具，结果中了病毒。本文就是我杀毒的全过程，虽然走了些弯路，不过，也是为了让大家看看中毒后，要如何思路分析，免得大家认为装个杀毒的或者木马克星什么的就一些没问题了 
。

    1.杀毒软件先清理

    平常我为了保留一些黑客软件，经常是关闭杀毒软件的文件监控功能，这次中了招，自然要先杀毒，结果杀到一个比较“郁闷”的文件

    C:\Windows\system32\lasse.exe，如不仔细观察，还以为它是系统进程中的lsass.exe，将其清除。

    我又习惯性地看了看天网，在应用程序网络状态栏中发现，iexplore.exe(IE进程)每隔几秒就自动访问北京电信的一个IP，显示为QQ的8000端口，看来还没清理完，继续！

    2.隐藏服务也清除

    现在应该看看是否有隐藏的服务在系统中，我们用的工具是命令行工具knlsc(下载地址:http://www.newhua.com/cfan/200601/knlsc13.zip)。它是个查找隐藏服务的小程序。可以显示多种隐藏的服务。而发现隐藏的服务后，可以使用本程序禁用它。

    打开“命令提示符”窗口，进入knlsc解压缩目录，输入knlisc -f，出现在了下面的信息。

    C:\knlsc.exe  -f

    >Yelfbaav   

    Yelfbaav

    [Driver] [Disabled][2005-09-04 03:27:23]

    \??\C:\Windows\system32\drivers\Yelfbaav.sys

    名为Yelfbaav就是隐藏的服务，以驱动形式加载，极有隐蔽性。再用knlsc13.exe -cd Yelfbaav来禁用此服务，重新启动电脑后，用knlsc -f再查看，果然没有再发现隐藏服务。

    本以为问题已经解决，可谁承想打开天网一看，怎么iexplore.exe进程还在不停的外连，而且直接用天网防火墙结束端口的时候就自动启动。看来问题还是没有解决。

    3.DLL和DL1大不同

    拿出我们的骨灰装备IceSword好好分析一下，启动组是一定没有陌生进程的，果然在IceSword的SSDT(系统服务描述列表)项下发现了几个可疑之处。包括C:\DOCUME~1\swap\LOCALS~1\Temp\Yelfbaav.DL1(注意显示小写，但为了有所区别这里改为大写，下同)和312bus.sys。

    一般来说，Temp目录下的文件都可以随意删除的，可是Yelfbaav.dl1是与进程关联在一起的，禁止删除，于是，我就一边关IE，一边在“命令提示符”窗口中删除的这个文件。

    而312bus.sys，则是通过全盘搜索后，终于在D:\WINDOWS\system32\drivers\打开了它，也将其删除。重启电脑后，天网防火墙上那可恶的TCP连接依然存在，看来问题还没解决！

    4.认真分析解决问题

    想了半天，利用天网的进程拦截功能，把iexplore.exe进程彻底停止外连，这样可以专心的分析下去。不过进程依然存在，刚启动的机器，IE都没打开呢，它就开了。关闭后，这个进程就立刻恢复。

    我又试了Windows优化大师自带工具WinProcess继续分析，这个小东西功能很强大，可以详细显示进程列表和当前进程的详细信息，如模块信息、内存信息、设备驱动程序等。果然，在眼花了半个小时左右，终于在模块信息中发现一些眉目，找到了C:\Windows\system32\下有Yelfbaav.DL1及Yelfbaav.D1L两个文件。

    现在一共有三个文件要删除，C:\DOCUME~1\swap\LOCALS~1\Temp\Yelfbaav.DL1(又恢复了)、C:\Windows\system32\Yelfbaav.D1L及Yelfbaav.DL1，其中最难搞定的是Yelfbaav.D1L，总提示“拒绝访问”，于是找来了CopyLock，这款可以让你替换，关闭系统正在使用的文件。把Yelfbaav.D1L往CopyLock软件窗口中一拽，这个世界清静了……

    5.问题往往很简单

顺利干掉三个文件后，重启，一切正常，天网也不报警了，不过iexplore.exe却还依然开着，再次用knlsc查看了一次系统服务，这次是命令换为knlsc -law，仔细查找，终于看到了服务名为dmserver的服务调用了%SystemRoot%\System32\Yelfbaav.d1l，于是用knlsc  -cd  dmserver停止此服务，重启后问题解决。其实要是能早点发现这个服务，停掉它，不就一切太平了吗？

欢迎访问最专业的网吧论坛,无盘论坛,网吧经营,网咖管理,网吧专业论坛https://bbs.txwb.com

关注天下网吧微信,了解网吧网咖经营管理，安装维护: