|
魔兽世界realplayer漏洞木马杀毒方法
|
|
来源：游戏秘籍转载 作者：游戏网友贡献 [注册会员分享你的秘籍]
|
|
打开我的电脑，选上面的“工具”，选择“文件夹选项”，点击“查看”，去掉“隐藏受保护的操作系文件(推荐)”前面的勾，点选“显示所有文件和文件夹”，再点“应用”。
然后看看是否有C:\WINDOWS\system32\gdmsi32.dll这个文件，这个文件在正常的电脑里是没有的，也是病毒的主要文件。
查杀方法：
重新启动计算机，按F8进入安全模式。
删除以下文件:
C:\WINDOWS\system32\gdmsi32.dll(关键文件！)
C:\WINDOWS\system32\gdmsi32.cfg(以上2个文件删除时会提示是系统文件，正常，加上系统权限的话一般就看不到了。直接确认就可以了。)
C:\name.log(如果没有则不用理他，关键的是其他3个文件)
c:\documents and settings\username(这里可能不同，选你当前账号命名的文件夹就是了)\local
settings\temp\tmp3.tmp(也可能是其他类似的文件，比如temp7c.tmp或temp13.tmp。该文件是驱动文件)
很简单的病毒，但是很实用。由于不会逆向，所以病毒的工作原理就不大清楚了。但是清除以上文件后他也无法运作了。
解决方法：
没升级RealPlayer最新安全补丁的以后都别随意浏览网站了。
升级方法，点击RealPlayer上面的“工具”，然后选择“检测更新”。
也可以点击以下站点调用RealPlayer自动更新：
[ http://service.real.com/realplayer/security/191007_player/en/securitydb.rnx ]
关于该病毒：
运行exe文件后，生成gdmsi32.dll和name.log，然后生成tmp3.tmp(也可能是其他的)并注册成名为ms的驱动，这样他就可以随系统启动找不到痕迹了。然后删除自身。这时候病毒已经开始起作用了，盗号就不说了。重新启动后，利用驱动把gdmsi32.dll注入进程，关键系统进程没发现注入，但是开的程序基本都被注入，包括windows更新用的wuauclt也被注入，那WOW也不在话下。所以，对比WOW的MD5已经没用了，因为病毒已经注入到其中了(并没有修改本身的文件，MD5不变)。病毒盗号主要是利用gdmsi32.dll来进行工作的。安全模式下多余驱动不会被加载，所以安全模式下删除这些文件后基本清除干净。但是驱动列表中还会有病毒残留的注册表信息，但是已经没有任何作用，因为需要的文件已经被删除。
其他：
用暴风影音的建议安装最新版本(暴风影音2最近也有执行任何文件的漏洞)，并停用ccosmContrl Center of Storm Media服务，停用方法如下：
控制面板>管理工具>服务>双击ccosmContrl Center of Storm Media服务，先点“停止”，然后在启动类型的下拉菜单中选择“已禁用”再确定就可以了。
关于此服务：该服务是暴风影音用在自动更新的，但是近日爆出的漏洞就是由于该程序。一般不需要该服务！
首页 更多有关魔兽世界realplayer漏洞木马杀毒方法话题
上一篇：魔兽世界元素萨满做DPS的可行性分析 下一篇：神泣刺客被遗弃的职业
|
| |
|
|
[新注册]
[收藏]
[推荐给好友]
[发表评论(0条)]
[返回顶部] [打印本页]
[关闭窗口] |
| |
|
|
|
