磁碟機木馬最近成為安全領(lǐng)域的熱門話題，據(jù)悉，進入3月以來，“磁碟機”木馬作者已經(jīng)更新了數(shù)次，感染率和破壞力正逐步提高。 i 1{Lx)  
zK5/0zMZ  
　　磁碟機木馬介紹： \@3B%RW0  
p;P"mp\'  
　　“磁碟機”木馬也叫dummycom，該程序運行后關(guān)閉并阻止360安全衛(wèi)士和卡巴、瑞星、金山、江民等安全類軟件的運行，除此之外還會刪除系統(tǒng)中含有“360”字樣的文件。感染后，進程中會多出smss.exe和lsass.exe進程，使用任務(wù)管理器結(jié)束后會造成計算機重啟，并自動下載大量的木馬到本地機器。 M`~UH\  
zP F0M(  
　　據(jù)分析，該木馬使用的關(guān)閉安全軟件的方法和以往不同，其通過發(fā)生一堆垃圾消息，導(dǎo)致安全程序的崩潰，連icesword（冰刃）也未能幸免。其在運行后，會在 system32的Com 目錄下生成smss.exe,lsass.exe, netcfg.dll等文件并在system32下生成dsnq.dll文件，在關(guān)機瞬間會寫一個文件到開始菜單的啟動項中； de&*#O5  
WlJ$p$I`  
　　需要注意的是，該病毒使用極其惡毒的感染方式，感染除SYSTEM32 目錄外其它目錄下的所有可執(zhí)行文件(*.exe)，導(dǎo)致文件被感染后無法使用且部分文件無法恢復(fù)。 3/j^Ao\fw  
sX :)g>b   
　　感染磁碟機木馬后的癥狀： _~=qByD   
G(n e8L8  
　　1、系統(tǒng)運行緩慢、頻繁出現(xiàn)死機、藍屏、報錯等現(xiàn)象； AxsTB9/  
　　2、進程中出現(xiàn)兩個lsass.exe和兩個smss.exe，且病毒進程的用戶名是當前登陸用戶名； Hw(_l,Xf  
　　3、殺毒軟件被破壞，無法正常開啟，多種安全輔助工具無法正常開啟； zn=Ifz)#|  
　　4、系統(tǒng)時間被篡改； rQuozbBb  
　　5、病毒感染.exe文件導(dǎo)致其圖標發(fā)生變化； vzr?#FG  
　　6、無法進入安全模式； I 19 
/  
　　7、隱藏文件無法顯示； ;E!(W=]*F  
　　8、組策略被破壞。 !P_8D*
^9  
{`Jr$*;  
查殺磁碟機木馬 3 W%Bsqn  
\E!a=cL!  
　　1、用改名大法將system32和dllcache目錄下的cmd.exe臨時改名為cm.dll（圖1），重啟系統(tǒng)看看。 "$lE~d">  
　　2、重啟系統(tǒng)后，檢查system32和dllcache目錄。發(fā)現(xiàn)改名后的cm.dll都在，但是，system32目錄下出現(xiàn)了一個怪怪的cmd.exe（見下圖）。這個cmd.exe的logo不同于正常的cmd.exe，該不會是病毒現(xiàn)從I386目錄里找來的吧？汗！估計這DD不能運行。 ;$\?o  
　　3、不管這些，先看看病毒文件能否手工刪除（如果那個cmd.exe管用，NetApi000.sys即可加載，病毒已經(jīng)完整運行了。病毒文件是刪不掉的）。 d&@>P&AT  
-_p