近日,开机时发现多了个IEXPLORE.EXE进程,而且是system用户,比较奇怪.查找msconfig里面的启动项和注册表里面的run项里面,甚至服务里面都没有, 查看该进程的启动目录为: C:\Program Files\Internet Explorer\IEXPLORE.EXE. 看来是有木马嵌入iexplore.exe进程运行了.查看任务栏管理器,发现一个很奇怪的现象, cpu每过30秒左右会飙到100%, 按cpu比率排序,竟然就是IEXPLORE.EXE, 如下图: (cpu规律性的跳高) (进程cpu 97% 内存 6.3M) cpu规律性的提高,是什么原因呢? 程序里面规律性的进行某项操作,而且相当占用cpu. 一个木马程序, 要嵌入系统进程,并驻留长期运行, 肯定是作为客户端上报数据(监听键盘,用户输入,盗取帐号)或者服务端提供服务(由对方主动操纵). 这里就必然离不开网络的基础. 我打开360卫士, 查看里面的网络链接情况,但是相当的奇怪,什么都没发现....-_-百度一下吧, "syetem用户 iexplore.exe", 搜到了很多结果, 情况比较多, 相对集中的是一种: 运行了好几个iexplore.exe,都是system用户, 都是syetem32目录下有exe木马文件,注册表里面也有, 罪魁祸首都是一个叫"灰鸽子"的家伙.我都按照操作走了一遍, 文件夹system32里面没有相应的文件, 而且注册表也找不到, 可以说一点痕迹没有.但确实活生生的开机就启动了这么个占CPU又占内存的iexplore.exe令人讨厌的东西.我只好再启动安全卫士,看一下网络链接状态,这时有了个意外,而且相当重要的发现,就是下面这个: 哼哼, 小家伙开始工作了, 已经链接上了主机124.229.156.206的8000端口, 确信无疑的灰鸽子木马! 典型的8000端口. 看来刚才的工作, 完全是不断的重试链接远程的主机....connect, connect, connect again.木马隐藏在哪里呢?确实是个问题.....找杀毒工具吧, 搜了一下, 弄了个"金山毒霸的灰鸽子专杀3.6".运行就逮着这个家伙:Win32.Hack.Huigezi 原来这么轻松解决掉的,一下删除掉了..重启后再没那个让人不太舒服的虫子了...
