暗云木马Ⅲ病毒

暗云木马Ⅲ病毒

1、病毒简介

暗云木马是迄今为止最复杂的木马之一，其通过感染硬盘MBR(主引导记录)——这是电脑开机时最早加载的程序位置，此时Windows尚未被加载，更不用说依赖Windows的杀毒软件了，所以当电脑完成正常开机过程后，病毒已在内存运行多时了，一般方法极难清除。就算用户将电脑硬盘格式化重装，因为暗云病毒存在于硬盘MBR，仅仅格式化硬盘不会对病毒造成任何影响。 

2、病毒危害

暗云木马是一个云控的木马，云端可以下发指令，动态地控制这些感染的机器，那么它可以做任何事情，它可以去窃取用户的账号、密码信息，也可以去偷用户虚拟的财产。目前“暗云3”木马程序控制的主机已经组成了一个超大规模的跨境僵尸网络，黑客不仅可以窃取网民个人隐私信息，而且一旦利用该僵尸网络发起DDoS攻击，将对互联网稳定运行造成严重影响。

3、终端验证

暗云木马使用了BootKit技术，无文件、无注册表、无进程，所以是非常难发现和清理的，通过进程追踪的方式在这里根本行不通。

1、磁盘

在问题主机上，使用WinHex（到百度软件中心下载）解析系统盘，查看是否存在特征串maimai666。

 “Tools”选项下拉，“Open Disk”打开系统盘即可：

 “Ctrl”键 + “F”键，打开搜索功能，输入特征串“maimai666”

如果存在，则证明有问题。

2、使用wireshark抓包，则能看到有解析maimai666.com的字符串

4、查杀处理

1、安天专杀：

（1）使用PE镜像方式启动操作系统（推荐使用大白菜作PE工具，此处不再赘述）

（2）在WinPE启动环境下，运行安天RainbowDay（暗云Ⅲ）专杀工具，并点击“开始排查”按钮。当显示发现MBR被“暗云Ⅲ”修改后，提示是否修复，点击“确定”按钮开始修复

（3）扫描完毕后点击“威胁清除”按钮，清除检测到的“暗云Ⅲ”恶意代码

（4）重新启动操作系统，结束修复 

 下载地址： 

http://down.lmtxz1.net/20171205/LaoMaoTao_STA_bd.exe

http://www.antiy.com/tools/rainbowday.zip

安天专杀说明：已经直接找安天的人确认过了，此专杀工具不支持Win10，有蓝屏风险，并不能保证一定清理干净，并不能保证系统起不来等风险。 PE镜像启动意味着客户需要有一个U盘PE系统或者光盘PE系统，插入到中毒主机后，使主机从PE启动。

2、深度格式化后重装系统

将中毒主机硬盘拆卸下来，挂载到干净系统中，进行全盘深度格式化处理，最后才重装系统。此方法干净、彻底，记得把需要的文档资料备份出来即可