删除新浪游戏总动园类病毒插件DIY - 病毒木马 - - 网络安全

社区导航: 专家门诊网络技术操作系统数据库程序设计系统应用考试认证 CIO及信息化站长交流综合交流下载基地 51CTO产品服务

【设为首页 | 收藏本站】

51CTO技术论坛» 网络安全 » 病毒木马 » 删除新浪游戏总动园类病毒插件DIY [ 打印] [ 订阅] [ 收藏] [ 推荐给朋友] [ 本帖文本页]

论坛跳转:

otta13
技术员

帖子 145
精华 0
无忧币 1285
积分 206
阅读权限 30

注册日期 2008-6-18

最后登录 2008-8-22

离线

[查看资料] [发短消息] [Blog]

发表于:2008-7-5 13:31　　标题：删除新浪游戏总动园类病毒插件DIY
＜上一帖 | 下一帖＞

删除新浪游戏总动园类病毒插件DIY

信息来源：HackBase.com
　　2004年7月18日晚，打开计算机桌面出现一个名为“新浪游戏总动园”的快捷方式直接连接到新浪http://igame.sina.com.cn/。经过研究，是新浪利用了系统漏洞传播的一个类似于病毒的小插件！产生名为nmgamex.dll、sinaproc327.exe、csrss.exe三个常驻文件，并且在系统启动项中自动加载。也就是说，如果你不处理这两个文件，就会自动在桌面产生一个名为“新浪游戏总动园”的快捷方式。不仅仅如何，新浪还将NMgamex.dll文件与系统启动文件rundll32.exe进行绑定，并且伪造系统文件csrss.exe，产生一个同名的文件与系统绑定加载到系统启动项内，无法直接关闭系统进程后删除。
　　
　　删除方法：首先修改注册表，关闭名为启动项：nmgamex.dll、csrss.exe，然后删除nmgamex.dll、sinaproc327.exe两个文件，再修改csrss.exe文件为任意一个文件名。从新启动计算机后删除修改的csrss.exe文件。
　　本人计算机为WIN2K操作系统，其动项键值如下：
　　一：启动名称为：nmgamex_autorun 类型：REG_SZ 键值：C:WINNTsystem32Rundll32.exe NMGameX.dll,LiveProcess/aa
　　二：启动名称为：csrss.exe 类型：REG_SZ 键值：C:WINNTcsrss.exe
　　
　　文件所在目录：
　　csrss.exe c:winntcsrss.exe; 正确的系统文件目录为：c:winntsystem32csrss.exe;
　　cctv5.exe c:cctv5.exe;
　　sinaproc327.exe c:winntsystem32sinaproc327.exe;
　　NMWizardA14.exe c:winntNMWizardA14.exe
　　nmgamex.dll c:winntsystem32nmgamex.dll
　　
　　察看文件NMGameX.dll属性：在版本项中可以看到如下信息：
　　备注：SPORT-新浪体育频道
　　产品版本：1，0，0，24
　　产品名称：NMGAMEN.XEngine
　　个人用内部版本说明：无
　　公司名称：NMGameX
　　合法商标：无
　　内部名称：NMGameX
　　特殊内部版本说明：无
　　语言：中文（中国）
　　源文件名：NMGameX.dll