解决system用户自动启动iexplore.exe灰鸽子病毒

近日,开机时发现多了个IEXPLORE.EXE进程,而且是system用户,比较奇怪.

查找msconfig里面的启动项和注册表里面的run项里面,甚至服务里面都没有, 查看该进程的启动目录为: C:/Program Files/Internet Explorer/IEXPLORE.EXE.   看来是有木马嵌入iexplore.exe进程运行了.

查看任务栏管理器,发现一个很奇怪的现象, cpu每过30秒左右会飙到100%, 按cpu比率排序,竟然就是IEXPLORE.EXE, 如下图:

(cpu规律性的跳高)

(进程cpu 97% 内存 6.3M)

 

cpu规律性的提高,是什么原因呢? 程序里面规律性的进行某项操作,而且相当占用cpu. 一个木马程序, 要嵌入系统进程,并驻留长期运行, 肯定是作为客户端上报数据(监听键盘,用户输入,盗取帐号)或者服务端提供服务(由对方主动操纵).  这里就必然离不开网络的基础.  我打开360卫士, 查看里面的网络链接情况,但是相当的奇怪,什么都没发现....-_-

百度一下吧, "syetem用户 iexplore.exe", 搜到了很多结果, 情况比较多, 相对集中的是一种:  运行了好几个iexplore.exe,都是system用户, 都是syetem32目录下有exe木马文件,注册表里面也有, 罪魁祸首都是一个叫"灰鸽子"的家伙.

我都按照操作走了一遍, 文件夹system32里面没有相应的文件, 而且注册表也找不到, 可以说一点痕迹没有.但确实活生生的开机就启动了这么个占cpu又占内存的iexplore.exe令人讨厌的东西.

我只好再启动安全卫士,看一下网络链接状态,这时有了个意外,而且相当重要的发现,就是下面这个:

哼哼, 小家伙开始工作了, 已经链接上了主机124.229.156.206的8000端口, 确信无疑的灰鸽子木马! 典型的8000端口. 看来刚才的工作, 完全是不断的重试链接远程的主机....connect, connect, connect again.

木马隐藏在哪里呢?确实是个问题.....找杀毒工具吧, 搜了一下, 弄了个"金山毒霸的灰鸽子专杀3.6".

运行就逮着这个家伙:Win32.Hack.Huigezi

 

原来这么轻松解决掉的,一下删除掉了..重启后再没那个让人不太舒服的虫子了...