Caution microsoft sata emulation services

前天客户送来个笔记本说是笔记本开机登陆系统就无法再上网了，[@more@]

IE浏览器无法打开任何网页，网卡获取ip地址正常也能解析。安装firefox浏览器故障现象一样，先查看通讯再说，netstat－－发现本地网卡不断的扫描netbios－ssn（tcp 139)而且向internet地址发送大量的攻击包，于是判断大概是中了木马或者僵尸类病毒，而且具有可传播性（主动扫描).

开始诊断msconfig先查看有没有可疑启动项，然后隐藏所有windows服务，看看有没有可以的非windows服务，然后开始查看注册表启动、IE等选项均无收获 :( 查看一下进程管理器发现了一个可以进程名字是mside.exe，运行tasklist /svc look look，找到了一个叫microsoft sata emulation的服务（自动启动）开始以为这是sata的驱动程序呢，呵呵，因为客户的笔记本是sata的驱动器 :) 但是发现mside.exe位置是在windows-system里面而且是隐藏的，我晕，这个家伙8成是个木马注册成windows services了。最恨的就是这个了，伪装的非常象的。于是禁用这个服务，重启测试。进入系统发现它又自动启动了，故障依旧！开始停止服务，kill进程。regedit 编辑注册表找到关于mside的选项后全部删除！！找到windows-system-mside.exe文件删除！

重启！一切正常！:-)

--The End--

Nick

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/90162/viewspace-890078/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/90162/viewspace-890078/