admin

目前在网络上流窜作案的木马通常都是使用TCP端口进行远程控制，但是这种木马对稍具网络安全防范意识的朋友来说是很容易被发现的。狡猾的入侵者面对这种情况，开发出了利用UDP端口的木马，这种木马的特点就是隐蔽性极好，不容易被发现。本文就来介绍笔者处理UDP木马神气儿的经过，为大家提供一点参考。 　　一、情况描述 　　开机后，只要我拨号上网，网络防火墙就弹出一个提示窗口，询问是否允许“Internet Explorer”连接网络。我从提示框的“地址”一栏也证实了确实是IE浏览器的进程要求访问互联网，可我上网从来都只用Maxthon。原以为是系统本身的问题，便重新启动系统，可是当我拨号上网后不久，IE浏览器便要求访问互联网。对系统进行一次彻底地病毒扫描，结果一无所获。 　　二、根掘端口查找线索 　　虽然杀毒软件没有扫描出结果，但我隐隐约约感觉到这个幕后黑手可能是一个木马程序，因为流氓软件不会对系统是否联网进行判断，而很多木马才会有这个功能，之所以不被查杀可能因为它是一个全新的木马程序，也可能被入侵者进行了特征码修改的免杀操作。 　　再次拨号上网，防火墙又出现了IE浏览器连接互联网的请求。运行木马辅助查找器(下载地址http://www.ysye.com/soft/446.html)，这是一款可以辅助用户进行恶意程序检查的工具（图1）。点击“端口信息”选项，这里用户不但可以查看到哪些端口被打开使用，还可以看到是哪些进程打开的这些瑞口，从而方便用户根据实际的情况决定是否终止进程来关闭某些端口。点击“刷新”按钮可以及时更新当前的端口情况。 图1

从查找到的信息中我发现一个特别的地方，就是IE浏览器的进程居然用的是UDP协议，也就是说这个木马程序也用的是UDP办议。而正常情况下，不管是IE浏览器的网络访问，还是我们常见的木马程序在进行数据传输的时候，都是采用TCP协议。

　　现在我只要查找到哪些木马程序是采用UDP协议进行数据传输的，就可以判断出是什么木马程序在作祟。通过上网搜索，发现只有一种名为神气儿的国产木马是采用UDP协议进行数据传输的（图2）。


图2

　　事后查出，神气儿是国内第一款UDP木马，此木马号称“无进程、无服务、无DLL”。该木马是以系统服务为启动方式，使用者可以自定义木马启动服务的名称、服务端程序的名称、安装目录以及上线的端口等，增加了发现此木马的难度。

　　三、根据特性清除木马

　　由于神气儿的服务端程序是通过系统服务进行启动的，所以要通过服务管理器来查看系统中可疑的服务。

　　在“我的电脑”图标上点击鼠标右键选择“管理”命令，接着在弹出的“计算机管理”窗口中选择“服务”选项（图3），然后在这些系统的服务中查找可疑的服务。果然从中查到一个名为SQx的可疑服务，接着记录下这个启动服务的名称，以及所指的程序路径：\Windows\system32\sapoolsv.exe。在“开始→运行”输入CMD，进入命令提示符窗口，然后输入“sc delete sqe”（图4），将该服务删除。

图3 图4 　　点击木马辅助查找器中的“进程监控”选项，点击“自动扫描可疑程序”按钮，程序会自动对当前的进程进行查看，判断是否包含可疑进程，结果还是没有查出可疑的线程。 　　我只好选择开IE浏览器的进程，接着就可以在“DLL名称”窗口中查看该进程下所有的线程。我意外地从中找到一个可疑的线程soul.dll。终止这个假IE浏览器的进程，再将C:\Windows\system32目录中spoollsv.exe和soul.dll文件删除。然后重新启动电脑，再次拨号上网，防火墙没有弹出连接请求，木马清除成功。

market5

上海电信六大核心机房代理,上海电信机房,国内国外总出口,顶级路由级别,是广大企业,公司,网站服务器托管的最佳选择
咨询电话:021-58627218转14 王永亮
网上咨询:MSN:wyl@datasupermarket.com咨询QQ541449939
部分客户案例:
             世纪金才网                            www.91gt.com
  
             艺术家生活网                          www.yijia888.com
             汽车消费评论网                        www.whatscar.com
  
             中华第一成功网                        www.yoao.com
             光辉软件(上海)有限公司                www.chinagamenews.cn
  
             上海高林文化传播有限公司              www.golfonlife.com
  
             味之都                                www.qqjam.com
  
经营范围:上海电信六大机房的主机托管,北京双线机房托管,北京网通机房托管
1.上海电信服务器托管,北京网通服务器托管,双线服务器托管
2.IBM.DELL品牌服务器代购,服务器租用,配置
3.上海电信空间租用,域名注册 4.企业邮局
百M独立端口,一年3万块,30M独立带宽,一年8000元(上海电信核心骨干机房)
上海电枭网络科技有限公司----上海市通信管理局经营许可证:沪B2-20050258
上海电信真如机房 上海电信外高桥机房 上海电信信息大楼机房
上海电信张江机房 上海电信国立机房 上海电信武胜机房
1、双线托管机房 1U：5000元/年 2U：6000元/年 4U：8000元/年
2、电信外高桥机房 1U：5000元/年 2U：5500元/年 4U：7500元/年
3、真如机房托管 1U：6000元/年 2U：8500元/年 4U：10000元/年
4、信息大楼机房 1U：6000元/年 2U：8000元/年 4U：10000元/年
5、张江机房托管 1U：6000元/年 2U：8000元/年 4U：10000元/年
6、电信武胜机房 1U：7000元/年 2U：8500元/年 4U：11000元/年
基础服务:
①、免费代装系统及指定程序
②、MRTG专业系统实时流量状态监控
③、品牌服务器硬件一年包换三年售后服务
④、7x24x365免费无限次快速响应重启服务
⑤、合同签订付款后第二个工作日服务器上架
⑥、如遇电信调整线路，更换设备，我们将提前通知到客户
⑦、7x24小时电话技术支持，机房365天工程师服务
⑧、CHINANET国家骨干网，恒温、恒湿，不间断电源UPS系统
⑨、标准100M共享带宽，免费一个固定IP，如需带宽独享，请与我们联系
⑩、提供全方位技术支持：技术咨询、状态监测、紧急情况通知、技术操作服务
更多详情,请登陆数据超市网站:www.datasupermarket.com
===========================================================
销售部服务电话：
021-58627258-14 13774348120 王永亮
网络在线咨询方式: MSN:wyl@datasupermarket.com
QQ:541449939
公司地址:上海浦东新区季景路259弄17号602室(靠近上海电信华信机房)也就是外高桥机房

[此贴子已经被作者于2006-12-28 14:53:08编辑过]