⑤.修复自启动
DLL木马会通过注册表键值进行自启动，查看自启动菜单推荐大家使用“Autoruns8.13汉化版”，它也是一款免费工具，可以查看系统所有启动项目。运行后单击“登录”，可以看到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]下，有一“Windows服务”启动项极为可疑(加载的是“E:\WINDOWS\msagent\msymrj.com”)，右击选择“转到具体位置”(如图6)。此时程序将直接打开注册表，随后将该键值删除，至此DLL木马顺利被查杀。那么“msymrj.com”与“rundll”木马究竟是什么关系?这其实是一对守护进程，用于守护嵌入“winlogon.exe”进程的木马，如果发现被插入的进程被终止，立刻重新启动该进程。不过本例的“winlogon.exe”进程如果被终止，系统会重新启动，它也帮不上什么忙了。
下载Autoruns
图6 转到具体位置
小提示
很多DLL木马被终止后立刻又会复活，就是由于有守护进程的存在，只有把守护进程“掐死”后，才能终止木马的运行。
三、总结经验
嵌入式木马作为一种“科技含量”较高的木马，用一般方法不易发现，查杀也有一定的难度，我们只要根据上述流程进行查杀，还是可以将其全部“消灭”。总结一下查杀步骤:首先用“CurrPorts”查看本机开放端口和连接并终止非法连接，找到发起连接进程，接着用“prcmgrWindows进程管理器”找出DLL木马，然后将木马文件删除，最后通过“Autoruns”修复注册表即可。
[上一页] [1] [2] [3]
