手动查杀乔装成音乐文件的传奇木马--西部E网weste.net

手动查杀乔装成音乐文件的传奇木马

作者：小生发布时间：2003-12-26 10:03:25 | 【字体：大中小】

　　小生驰骋网络多年，虽不敢以“高人”自居，但亦可称“老鸟”。近日亲身遭遇了一次木马，虽然最后有惊无险，但是也大费周章。

　　■ 屡屡碰壁

　　一日，小生边上网边打开Windows XP自带的Media Player 8.0听音乐，甚是自在（我喜欢用Media Player播放MP3，它的音响效果甚佳）。在播放第一首歌的时候，一切正常，当跳到下一首歌时，怪事发生了。Windows XP弹出“WMPlayer.exe非法操作即将被关闭选择发送错误‘发送’、‘不发送’”对话框，点击[不发送]，重新开启一次Media Player继续播放MP3，现象依旧。难道是Media Player程序有问题，重新启动计算机，在不打开其他程序的前提下尝试，但问题依然存在。升级试试看？将Media Player升级为9.0，还是不行。没办法，我又使出我的杀手锏——恢复系统。Windows XP的系统恢复功能相当强大，它可以在不破坏其他程序的情况下，帮你恢复核心的程序组件，当然也包括Media Player。经过30分钟的漫长等待，系统恢复完毕，可是打开Media Player试验时，天啊！它还是“报错”。

　　至此，我还没有意识到是木马在作怪。

　　■ 灵光乍现

　　我不经意地用[Ctrl+Alt+Del]打开“系统进程”窗口，发现里面多了个不认识的“Dxmusic.exe”进程（如图）。将其终止掉，Media Player竟然恢复正常了。问题在这里？我又通过“Msconfig”查看系统的启动项，没有发现里面有和“Dxmusic.exe”相关的启动项。看来就是它了！在网上查找，果然找到了相关资料。

　　病毒名称：Trojan．Legend．ga．enc

　　破坏方法：偷传奇密码，发到指定邮箱。隐藏在后台运行。拷贝自身到系统目录，命名为 Msdnhome．htm和 Dxmusic．exe启动Dxmusic，释放文件Ldpowerpor．dll到系统目录。将注册表run项LoadPowerproFile的值改为“RUNDLL32．exe LdPowerpor．dllLoadCurrentPwrScheme” 病毒把记录保存到ntldr．log。

　　真相大白了！小生正是一位“传奇”玩家，虽然也曾听闻战友被盗号之事常有发生，但没想到竟然发生在自己身上。第一件事情：拔掉网线，木马程序需要网络传送盗取的信息；第二件事情：在终止掉“Dxmusic.exe”，进我的传奇游戏看看，还好，“龙文”尚在，ID尚在。修改了登录密码后，我开始了杀毒工作。利用计算机的查找程序，搜索“Msdnhome.htm”和“Dxmusic.exe”，分别在“C:\Windows\System32”目录下找到这个两个文件，立刻将其删除掉；然后再寻找“Ldpowerpor.dll”，不过没有找到，估计是需要Dxmusic.exe运行后才释放“Ldpowerpor.dll”，因为我已将进程终止了，所以“Ldpowerpor.dll”就没有出现。

　　

　　接下来是修改注册表了，在找到Run项的LoadPowerproFile键值后，将前面的“LdPowerpor.dll,”字段删除掉。重新启动计算机，里面没有“Dxmusic.exe”进程了，看来木马清除成功。

　　■ 经验教训

　　在整个杀毒过程中我走了很大一段弯路，原因是把目标锁定在程序上，而不考虑全局，以至于木马程序轻易得逞。通过这次清除木马，我总结了一些经验与大家分享：

　　1. 在计算机出现异常时，应该从整个计算机的全局角度出发，看看会不会是其他问题导致的程序出错，因为整个系统的运行带有牵连作用。

　　2. 系统的进程对于解决计算机问题是很有帮助的，它可以很清楚地知道到底有哪些程序在运行，能够帮你捕获一些可疑程序的踪迹。你可以在刚安装的系统里抓一张进程图，在计算机出问题时，用这张原是图片进行对比。

　　3. 如果遇到杀毒软件解决不了的问题，可以通过网上一些相关资料进行手工杀毒。

文章来源：cce