PCSHARE是一款計算機遠程控制軟件,采用HTTP反向通信,屏幕數據線傳輸,驅動隱藏端口通信過程等技術，達到系統級別的隱藏.
PCSHARE服務端運行后一般釋放三個文件(以y開頭的隨機文件名),而且文件屬性可以被設置為"系統"|"隱藏"|"只讀" y???????.d1l (位置在%SystemRoot%\System32下) y???????.sys (位置在%SystemRoot%\System32\drivers下)
y???????.dll (位置在%SystemRoot%\System32)
需要在安全模式下才能正常清理,附dos命令行模式下的清理方法:
首先在系統盤根目錄下運行 dir y*.d1l/s/a 檢測以y開頭,d1l為后綴的文件
注:比如找到yuadtsdf.d1l(隨機的),以下的y*都是指yuadtsdf.d1l
然后執行
|
attrib -r -h -s %SystemRoot%\System32\y*.d1l attrib -r -h -s %SystemRoot%\System32\y*.dll attrib -r -h -s %SystemRoot%\System32\drivers\y*.sys del %SystemRoot%\System32\y*.d1l del %SystemRoot%\System32\y*.dll del %SystemRoot%\System32\drivers\y*.sys |
本站之前有發表一篇關于清理頑固dll的另類方法,可供參考[ 文章地址 ]
推薦一款木馬檢測軟件ICESWORD,基本上所有的木馬都可以檢測出來（包括內核級別的后門）
清理頑固dll的另類方法
環境: 操作系統 Win2000Server(磁盤格式為ntfs格式,如果您采用fat32或者其他,本方法就不適用了) 瀏覽器 IE 6.0 殺毒軟件 Norton8.0
癥狀: 存在惡意插件2個,導致ie訪問速度變慢,經常彈出惡意廣告,無法正常卸載和刪除,norton查殺不了
解決流程:
一.查找windows常見的自啟動項,將可疑的啟動項目移除(重啟后病毒依然存在)
二.分析后發現在program files目錄下的2個目錄中的dll在搞鬼,刪除時提示文件正在使用中,搜索注冊表,查找該dll文件,找到了5處,把對應的鍵都刪除,重啟后這兩個插件所調用的dll還是不能刪除,說明這兩個插件還有自我保護的程序,如果檢測到生存環境遭到破壞就自動再還原出來.
三.如何不讓他們搶先進駐到內存的避風港中? 我取消了兩個dll文件的ntfs權限,原本是administrators和system組的完全控制,現在都刪除了,重啟后惡意dll沒辦法加載到內存中了,這下就可以輕松剿滅了.
