如今木马病毒的流传形式越来越来隐蔽，让不少用户防不胜防。特意是针对某款网游的盗号木马，假设不加以控制，将给这款网游带来消灭性劫难。最近针对《征途》游戏出了一款木马，它的暗藏形式相当狡诈，十分难以发现。不过，关于这类劣迹斑斑的病毒，安保诊所的裘文锋医生早已怪罪不怪了。上方就帮史玉柱揪出这款针对《征途》游戏的木马。介绍文章征途木马档案Svhost32.exe征途木马可以盗取《征途》的明码、其余游戏明码、IM工具明码等等。感化病毒之后，会生成Svhost32.exe、Rundl132.exe进程、msccrt.exe进程等，这些蛊惑性进程并不是木马的外围，真正的主谋其实藏匿在明朗处。该木马的杀手锏应该是拔出到Explorer.exe进程的DLL文件。Svhost32进程“出卖”征途木马当天安保诊所迎来了一个就诊者。从他恨之入骨地叙说中，裘医生了解到小王对该病毒忘恩负义。这也不奇异，病毒盗取了他的征途游戏的明码，让他损失不小。盗取明码的普通是木马病毒，那么究竟是哪种木马呢？从小王形容的病毒发作特色中，裘医生发现病毒修正了IE的自动主页为。该木马占用了少量系统资源，使系统稳固性大大降低。在义务治理器的进程窗口产生了Svhost32.exe进程，疑似病毒进程，封锁之后重启系统，依然会产生。木马占用了网络带宽向黑客发送明码消息，而且把自己的线程拔出了系统关键进程。另外失掉用户的明码消息的形式也极端风险，极易造成系统解体。病毒还封锁了瑞星杀毒监控。经过小王的叙说，裘医生发现这个系统的状况和中Svhost32.exe征途木马后的状况对上了号，因此，当即就开局诊治起来。去除木马病毒的伪装由于Svhost32.exe征途木马有一些没有破坏性的伪装文件，裘医生选择先去除这些渣滓文件。关上了IceSword，裘医生很快便在其进程选项中发现了Svhost32.exe进程的文件是“C:\Windows\Download\Svhost32.exe”。右键单击该进程选用“完结进程”命令即可，接着进入该目录删除该文件。雷同的，Rundl132.exe进程的文件是C:\windows\rundl132.exe，完结进程后也删除该文件。雷同的，发现msccrt.exe进程的文件是C:\windows\msccrt.exe，完结进程后也删除该文件。由于这些进程都能自启动，关上System Repair Engineer来肃清自启动名目。关上程序后，选中“启动名目”时弹出了两次正告消息框，默以为空的注册表值load被修正成了“C:\windows\rundl132.exe”用以启动加载rundl132.exe这个病毒进程。清空load值来防止病毒自启动。接着删除值为“C:\windows\Download\svhost32.exe”的启动名目xy和值为“C:\DOCUME~1\ADMI NI~1\LOCALS~1\Te mp\upxdn.exe”的启动名目upxdn。由于病毒试图篡改UserInit名目来到达运转自己的目标，不过这次并未启动实质性修正，只是破坏了原来的值，因此把UserInit名目从新修正为反常的“C:\windows\system32\Userinit.exe”（不包含引号）即可。幕后主谋现身裘医生肃清完这些病毒文件，上方就是让拔出Explorer.exe进程的病毒文件现身了。关上了《超级巡警》，选用“进程治理”选项，依据病毒发作期间很快便发现了位于“C:\Program Files\Common Files\Microsoft Sha red\MSINFO”的可疑文件xiaran.dat；位于“C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp”的可疑文件upxdn.dll和位于“C:\Windows\system32”的可疑文件msccrt.dll。这些文件岂但以黄色正告色显示，而且文件属性显示创立期间都是病毒发作期（图4）。
主谋就地正法狡诈的主谋曾经被发现了，上方就开局肃清这些文件吧。裘医生选中这些文件，右键单击选用“强迫卸载标志模块”命令，这样这些文件就不能失掉Explorer.exe进程的包庇了。接着就可以进入这些文件的目录一一删除了。实现之后，从新启动计算机，未发现病毒进程，系统运转也稳固了。这说明病毒曾经被成功肃清了。Svhost32.exe征途木马，普统统过阅读恶意网站来流传。因此，咱们装置杀毒软件开启网页和文件实时防护性能，可以比拟好地防范这类木马。开启下载软件（如：迅雷、慢车）的文件病毒监控也是必要的。
如何肃清红蜘蛛键盘记载器当天刚刚下班不久，病毒诊所的王斌医生就应酬了“病人”家眷小张。看着他满头大汗的样子，听着他急切的叙说，王斌医生了解到小张的淘宝网的明码被盗。与此同时，其余的一些账户明码也同时被盗。一听明码被盗，王斌医生的头脑马上显现出“木马”二字。那么是什么木马这么凶猛呢？从小张口中得悉，该木马在进入系统不久，就会产生资源治理器进程要求衔接网络的提示。介绍文章该木马运转后岂但占用了少量系统资源，而且使系统运转十分地不稳固。木马会将自己的进程拔出到资源治理器的进程中，而后依据黑客设置的窗口题目关键字，去失掉指定窗口的键盘输入，从而取得关系的明码消息。经过小张述说的木马特色，王医生果决公开了论断：小张的计算机系统被人种植了“红蜘蛛”木马。红蜘蛛木马档案“红蜘蛛键盘记载器”这款木马可以失掉多种程序中的消息内容，比如即时通信软件、游戏、电子邮件等等。该木马在感化系统后，会在系统的System32目录中生成RedSpider.dll和RedSpider.exe这两个文件。其中文件RedSpider.exe是木马程序的主文件，经过它来调用文件RedSpider.dll来口头，最终经过文件RedSpider.dll来失掉用户的键盘输入消息。
把握“蜘蛛”行迹首先关上系统的义务治理器，经过仔细的检测检查后，并没有发现其中有什么可疑的进程，王医生剖析该木马或者是经常使用了Rootkit技术对木马进程启动了暗藏。于是运转IceSword这款可以检测到暗藏进程的工具，点击左侧工具栏中的“进程”按钮，结果和在义务治理器检查的结果一样，也没有发现任何暗藏的进程。既然没有发现暗藏的进程，那么还有一种或者就是该木马经常使用了线程拔出技术。经常使用线程拔出技术的木马程序都有一个特点，就是青睐将其线程拔出到IE阅读器或资源治理器的进程中，这重要是由于这两个进程是Windows系统中最经常出现的进程。依据小张先前的提示，看来该木马最有或者将线程拔出到资源治理器的进程中（图2）。发现藏身之所王医生经过鼠标选用资源治理器的进程Explorer.exe，接着在这个进程上单击鼠标右键，并选用菜单中的“模块消息”命令。而后在弹出的“进程模块消息”窗口仔细查找，果真在其中发现了一个名为“RedSpider.dll”的可疑DLL文件。
王医生接着经常使用System Repair Engineer（SREng）来审核该木马产生的启动项。假设 SREng发现一个可疑的名目，那么它会以色彩高亮显示从而提示用户。点击SREng窗口中的“启动名目”按钮后，在启动列表发现了一个名为“RedSpider”的启动项。该启动项的称号和可疑DLL文件如出一辙，所以它就是木马程序的启动项。断其头斩其身既然曾经成功的发现木马文件的启动项，如今就可以开局肃清木马了。王医生首先在SREng的“启动名目”选项中找到该木马的启动项“RedSpider”，接着点击操作窗口中的“删除”按钮将该启动项删除掉。
然而该木马的进程删除起来却有些费事，由于要删除该木马的进程，首先要完结资源治理器的进程，而资源治理器进程又是系统必定运转的进程之一，操作起来有些辣手。好在IceSword可以帮用户很好的处置。首先在IceSword的进程当选用资源治理器的进程，接着关上其“进程模块消息”窗口，在窗口中找到“RedSpider.dll”后点击“强迫解除”按钮即可卸载该DLL文件。最后关上系统的system32目录，找到RedSpider.dll和RedSpider.exe这两个文件启动删除。随后从新启动系统再对系统的进程、启动项、系统目录启动审核，没有发现可疑文件的形迹，确定曾经将该木马程序成功的肃清了。防范第一“红蜘蛛”木马重要还是经过网页木马、文件捆绑等形式启动流传。因此，咱们须装置杀毒软件来启动木马程序的实时防护，尤其是脚本监控性能可以及时的发现网页中链接的网页木马。最后，提示大家留意，资源治理器的进程是一个本地进程，假设有一天防火墙提示你该进程须要访问网络，那么这个进程必定是被恶意程序所应用了。