科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道木马防御技巧之Wincfg和Svhost后门清除

木马防御技巧之Wincfg和Svhost后门清除

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

最近发现有一种木马:包括的进程名字有:Wincfgs.exe和Svchost.EXE。以下是手动清除:在清除前请在文件夹选项里设置“显示所有文件”和显示“隐藏受保护的操作系统文件”。

作者:hacker1125 来源:赛迪网 2008年10月22日

关键字: 木马后门 木马清除 木马

  • 评论
  • 分享微博
  • 分享邮件

  最近发现有一种木马:包括的进程名字有:Wincfgs.exe和Svchost.EXE。

  目前发现的现象是:启动时候会自动弹出记事本,且会在进程的启动项中多增加Adobe的进程,不过Adobe是被木马调用的,本身不是木马。(这是很菜的木马,一般按我提供以下方法可以清除)

  个人分析:这种木马很可能是通过WORD文件在磁盘介质进程传播。警告大家在使用U盘,软盘拷贝WORD和其他文本文件时候,最好先杀毒。

  以下是手动清除:在清除前请在文件夹选项里设置“显示所有文件”和显示“隐藏受保护的操作系统文件”。

  (1)清除Svchost.exe

  windows\system32里面的svchost.exe一般是正常的系统程序。如果在在WINDOWS目录下的,如果发现svchost.exe,先结束掉系统进程,在把该文件删除(注意:在XP系统中,很多个的进程都是svchost,但一般的系统进程用户都是SYSTEM,如果该进程是与你的用户名字使用,说明是木马程序)

  (2)清除Wincfgs.exe

  Wincfgs.exe文件一般是在WINDOWS-\SYSTEM32目录下,也同样是先结束进程,再删除该文件。

  然后进入注册表:regedit

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

  中,如果出现上面2个进程名字,则删除键属性值。

  同样进入MSCONFIG,把启动项的钩去掉。然后重新启动。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章