查看: 7565|回復: 7

[求助] 清不掉的 Backdoor.Graybird

[複製鏈接]

小酒蟲

1234 主題	10 好友	1萬積分

該用戶從未簽到

文章: 23086

發消息

電梯直達

1^#

發表於 2005-3-22 20:34 |只看該作者 |倒序瀏覽

回到美國之後，發現 SAV 的自動週期掃描在 server 中發現了 Backdoor.Graybird。由於在離美之前並未發現，而發現日期是在離美一週內，所以很難推測是由何處植入。

好吧，怎麼來的也不重要了，但是怎麼請走就不知道了。把 Symantec 網站上的手動解法都比對過，竟然在登錄檔找不出任何可疑程式；但是我每次一重開機，SAV 就會警告我 rundll.dll 被 Backdoor.Graybird 感染，同時已一併殺掉該檔。

現在全然想不出怎麼「抓鬼」....B)B)B)

淘帖0 分享0 收藏0 頂0 踩0

[1996] 神寶 Palmax PD-95T [2000] Palm IIIx [2001] SONY S300, HandEra330 [2002] Diamond Mako, CASIO G-FORT, JVC MP-C102, SONY SL10, SHARP SL-5500 [2003] SHARP SL-C700, SONY NZ90/NX60, NEC Sigmarion III, SONY NX73V/U [2004] SONY NX73V/E, SHARP SL-6000L, Handspring treo 600 [2005] SE P900i, Tapwave Zodiac 2 [2006] Garmin iQue 3600, Palm Treo 650/680 [2007] Nokia 9300i/E61 [2008] Nokia E70/E90 [2010]

回復

使用道具舉報

筠心

21 主題	3 好友	3175 積分

該用戶從未簽到

文章: 1287

發消息

2^#

發表於 2005-3-22 20:39 |只看該作者

Re: [求助] 清不掉的 Backdoor.Graybird

搜一下Rundll*.* 看看日期...
一般來說會有一個舊的放在根目錄,那個才是真的Rundll...
進安全模式的命令列,把舊的覆蓋過去....

回復

使用道具舉報

小酒蟲

1234 主題	10 好友	1萬積分

該用戶從未簽到

文章: 23086

發消息

3^#

發表於 2005-3-22 20:47 |只看該作者

Re: [求助] 清不掉的 Backdoor.Graybird

根目錄下沒有 rundll*.*，不過倒是在 /winnt 之下，找到兩個隱藏檔：rundll.exe、rundllhk313.dll。先把這兩個不該存在的檔幹掉看看。

[1996] 神寶 Palmax PD-95T [2000] Palm IIIx [2001] SONY S300, HandEra330 [2002] Diamond Mako, CASIO G-FORT, JVC MP-C102, SONY SL10, SHARP SL-5500 [2003] SHARP SL-C700, SONY NZ90/NX60, NEC Sigmarion III, SONY NX73V/U [2004] SONY NX73V/E, SHARP SL-6000L, Handspring treo 600 [2005] SE P900i, Tapwave Zodiac 2 [2006] Garmin iQue 3600, Palm Treo 650/680 [2007] Nokia 9300i/E61 [2008] Nokia E70/E90 [2010]

回復

使用道具舉報

筠心

21 主題	3 好友	3175 積分

該用戶從未簽到

文章: 1287

發消息

4^#

發表於 2005-3-22 20:52 |只看該作者

Re: [求助] 清不掉的 Backdoor.Graybird

這種應該是把你原來的Rundll Rename成別的東西,
當你開機時,系統自動會把假的 Rundll叫起來,由它來執行真的Rundll,
也順便執行木馬...

所以...搞不好你刪掉的東東有一個是真的Rundll.....希望你運氣夠好...

回復

使用道具舉報

小酒蟲

1234 主題	10 好友	1萬積分

該用戶從未簽到

文章: 23086

發消息

5^#

發表於 2005-3-22 21:07 |只看該作者

Re: [求助] 清不掉的 Backdoor.Graybird

不過這兩個檔日期也太新（2005 年），所以才「假定」他們兩個都是假貨。

[ Last edited by 小酒蟲 on 2005-3-22 at 05:12 ]

[1996] 神寶 Palmax PD-95T [2000] Palm IIIx [2001] SONY S300, HandEra330 [2002] Diamond Mako, CASIO G-FORT, JVC MP-C102, SONY SL10, SHARP SL-5500 [2003] SHARP SL-C700, SONY NZ90/NX60, NEC Sigmarion III, SONY NX73V/U [2004] SONY NX73V/E, SHARP SL-6000L, Handspring treo 600 [2005] SE P900i, Tapwave Zodiac 2 [2006] Garmin iQue 3600, Palm Treo 650/680 [2007] Nokia 9300i/E61 [2008] Nokia E70/E90 [2010]

回復

使用道具舉報

grofelin

61 主題	1 好友	588 積分

TA的每日心情

	怒 2011-8-3 14:07

簽到天數: 5 天

連續簽到: 1 天

[LV.2]偶爾看看I

文章: 661

發消息

6^#

發表於 2005-3-23 01:13 |只看該作者

Re: [求助] 清不掉的 Backdoor.Graybird

提供一下個人經驗...參考參考..

由日期判斷是個方法...
可以查一下跟rundll.dll 同一目錄跟同一日期的檔案
有時他是一起放進一堆程式...

或者查一下..service 或許藏在裡面呢！
如果是中文OS，我通常直接檢查一下"描述"的部分是英文或空的...
是不是有奇特的程式跟路徑..
不然win.ini跟system.ini也有可能藏喔...

回復

使用道具舉報

小酒蟲

1234 主題	10 好友	1萬積分

該用戶從未簽到

文章: 23086

發消息

7^#

發表於 2005-3-23 02:23 |只看該作者

Re: [求助] 清不掉的 Backdoor.Graybird

Services 中有一個「Pigeon_Server」也一併被我清掉，之後就尚未發現什麼奇怪檔案；不過登錄檔中有個「LEGACY_PIGEONSERVER」倒是清不掉，老是說刪除時發生錯誤？

[ Last edited by 小酒蟲 on 2005-3-22 at 10:51 ]

[1996] 神寶 Palmax PD-95T [2000] Palm IIIx [2001] SONY S300, HandEra330 [2002] Diamond Mako, CASIO G-FORT, JVC MP-C102, SONY SL10, SHARP SL-5500 [2003] SHARP SL-C700, SONY NZ90/NX60, NEC Sigmarion III, SONY NX73V/U [2004] SONY NX73V/E, SHARP SL-6000L, Handspring treo 600 [2005] SE P900i, Tapwave Zodiac 2 [2006] Garmin iQue 3600, Palm Treo 650/680 [2007] Nokia 9300i/E61 [2008] Nokia E70/E90 [2010]

回復

使用道具舉報