如何彻底删除木马

目前，网游盗号现象愈演愈烈，网游玩家整天提心吊胆，怕哪天盗号盗到自己的头上。难道一味地防守就能够保住我们的号吗？不行，我们要防守反击，给盗号者当头棒喝，运用法律手段保护自己的权益。本期，来自四川的刘勇，将告诉我们，他是如何来防范盗号木马并找出盗号者的信箱的。

　　使用系统：Windows XP SP1
　　一直以来我都非常注意个人电脑的安全防范，暗自庆幸自己的网游账号没有被黑客盗取。可是好景不长，前些时候我的账户就不幸被盗，当我将账户找回后，发现自己的网游人物已经被剥了个“精光”。

　　更为可恶的是，在游戏账户丢失的同时，我的QQ密码、信箱密码也几乎同时被盗。我心里明白，自己的系统一定是中了木马程序，而且还不是一个普通的木马程序，因为一般的木马程序都只能盗取一种程序的密码，看来这个木马程序一定“不简单”啊！
寻找蛛丝马迹逮住木马“尾巴”
　　首先打开注册表管理器，在其中的Run启动项中发现了可疑程序的启动项，键值名称为“getpsw”，关联的程序为“C:\WINNT\system32\qijian.exe”。
　　我们知道，所有的恶意程序都会通过各种各样的方式进行程序的随机启动，而通过注册表的Run启动项是其中最常被病毒、木马、盗号工具利用的。从这些可疑的名称中我们就可以得知，这个程序是获取密码的意思。
　　接着来到系统的system32目录下，我们都知道system32目录一般是用于存放系统重要文件的地方。黑客正是利用了我们这些普通用户不熟悉系统目录和系统文件，不敢轻易对系统目录和文件进行操作的情况，将恶意程序安装到system32目录中，进而迷惑用户使之以为这些都是系统的必要文件。
　　其实我们只要通过对恶意文件的创建日期进行查看和对比，就可以找出很多的可疑之处。我通过对“getpsw.exe”文件的属性进行查看后发现，“getpsw.exe”这个文件的创建日期为2006年，而我的Windows系统的大多数系统文件的创建日期在2001年，看来这个文件越来越可疑了。
　　为了查找其他可能和“getpsw.exe”相关联的文件，首先记录下“getpsw.exe”文件的创建日期，点击“开始”菜单中“搜索”中的“文件或文件夹”命令，在弹出的搜索窗口点击“所有文件或文件夹”选项，然后通过指定日期来进行查找。果然很快又查找到两个和getpsw.exe同样日期的文件，名称分别为psw.dll和psw.bpl。
　　打开任务管理器，经过认真的查看后，并没有发现可疑的进程，看来该木马使用了线程插入技术。马上又运行木马辅助查找器，点击其中的“进程监控”标签，很快就在资源管理器的进程Explorer.exe中发现了可疑的“psw.dll”。
猛追狠打，斩草除根
　　现在我打算开始清除操作，首先到注册表的Run启动项中删除getpsw这个启动项，然后来到系统的system32目录找到getpsw.exe、psw.dll、psw.bpl这三个文件进行删除，由于psw.dll正在被使用，所以暂时不能被删除。
　　马上重新启动系统，再对psw.dll这个文件进行删除即可。接着再对系统的进程、启动项、系统目录进行检查，没有发现可疑文件的踪迹，确定已经将恶意程序成功地清除了。
　　虽然已经成功地清除恶意程序，但还没有完，我打算将这个盗号的黑手找出来。由于文件已经清除，所以想通过嗅探抓包分析是不可能了，不过通过十六进制工具对程序进行分析也可以。
　　运行Ultra Edit载入getpsw.exe，由于一般的恶意程序都是将获取的信息发送到指定的信箱或网址，所以搜索“.net”这个关键词，很快就得到了盗号者的信箱，但是没有获得信箱的用户名和密码。同时也得到了另一个信箱“max@juntuan.net”，看样子很熟悉，好像是黑客组织“第八军团”的信箱。马上登录他们的网站，果然在“军团作品”中发现了一个名为“军团侦察员”的盗号工具。
　　刘勇朋友轻易地将这款名为“军团侦察员”的盗号木马清除，可见他对如何清除类似木马有相当的经验。
　　同时，我们通过该木马程序的特点，比如截取多种程序的密码；通过采用DNS查询MX邮件服务器技术，成功绕开SMTP服务器认证，实现密码文件特快直达目标邮箱；可以看到未来盗号工具的一些雏形。
　　虽然该木马程序使用了线程插入技术，但是仍然可以看出该程序在隐蔽性方面的脆弱。另外阿良提醒大家，在获得盗号者的信箱后，我们可以通过法律手段来保护自己的权益，因为目前国家已经有明确的立法，将非法盗取别人虚拟财产作为偷盗罪的一种。