什么是 Run a dll as an app ？
來(lái)自:
http://www.kesin.cn木馬：Run a DLL as an App
木馬名稱：3721潛伏者
執(zhí)行文件大?。篧IN9X下：24KB 2000/XP下：31/32KB
特征：感染系統(tǒng)后自動(dòng)與3721網(wǎng)絡(luò)實(shí)名系統(tǒng)的Cnsmin.dll關(guān)聯(lián)，并在WIN9X系統(tǒng)的WINDOWS目錄下生成不規(guī)則名稱的.EXE文件，2000和XP下則在X：＼WINDOWS＼SYSTEM32下生成
特殊特征:與Cnsmin.dll關(guān)聯(lián)(這招很毒),有雙系統(tǒng)的機(jī)子自動(dòng)同時(shí)感染雙系統(tǒng)(這招更毒)
非重要特征：QQ啟動(dòng)異常（至少導(dǎo)致珊瑚蟲版的QQ異常），報(bào)告出錯(cuò)并且輸入密碼后感覺(jué)還沒(méi)登陸QQ就跳掉了
解決方法：抓住這個(gè)木馬作者最得意的地方，利用現(xiàn)在國(guó)人電腦上幾乎人人都有的網(wǎng)絡(luò)實(shí)名系統(tǒng)的關(guān)鍵動(dòng)態(tài)鏈接庫(kù)Cnsmin.dll關(guān)聯(lián)，利用 Cnsmin.dll在開(kāi)機(jī)后時(shí)刻重復(fù)運(yùn)行的特征，使木馬啟動(dòng)程序在被禁止后馬上重新生成新的啟動(dòng)文件（在WINDOWS的注冊(cè)表 HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Run有關(guān)的幾項(xiàng)里注冊(cè)，以達(dá)到啟動(dòng)加載的目的），這是這個(gè)軟件的最成功之處，也是最失敗的地方，因?yàn)檫@是一個(gè)要害，利用這個(gè)要害，我們： 網(wǎng)羅天下 www.Txia.net
1）首先卸載網(wǎng)絡(luò)實(shí)名功能，（其中WIN9X用戶可以先斷開(kāi)網(wǎng)絡(luò)后操作以防止“菜客”在你操作時(shí)從中作梗）直接在控制面板的刪除/添加程序里反安裝； 2000 及XP等NT內(nèi)核操作系統(tǒng)用戶因?yàn)闊o(wú)法在控制面板的刪除/添加程序里找到有關(guān)卸載項(xiàng)，所以要到網(wǎng)絡(luò)實(shí)名的網(wǎng)站http: //www.3721.com/setup-...頁(yè)面的第二項(xiàng)里選擇卸載，所以不能斷開(kāi)網(wǎng)絡(luò)（誰(shuí)有可以卸載網(wǎng)絡(luò)實(shí)名的工具請(qǐng)推薦，謝謝）?！ ?br>2） WIN9X/XP用戶運(yùn)行msconfig命，打開(kāi)啟動(dòng)菜單，找到木馬的啟動(dòng)項(xiàng)（注：文件名是隨機(jī)的，不一樣，但都是.exe文件，并且命令行里有明顯和 Cnsmin.dll關(guān)聯(lián)的顯示，具體可參看附圖），2000用戶可選擇從98用戶那里COPY一個(gè)msconfig.exe來(lái)完成該操作（運(yùn)行 msconfig時(shí)有提示出錯(cuò)，不用理會(huì)，點(diǎn)確定就行，接下來(lái)的操作和9X/XP用戶一樣，一般卸載網(wǎng)絡(luò)實(shí)名后該啟動(dòng)項(xiàng)就自動(dòng)刪除了，但我們還要 ……看３）?！ ?br>3）重啟電腦，雙系統(tǒng)用戶請(qǐng)還是啟動(dòng)剛才運(yùn)行的系統(tǒng)，否則系統(tǒng)之間會(huì)交叉感染。WIN9X用戶到WINDOWS目錄下查找大小為 24KB和31/32KB的.exe可執(zhí)行文件，如果該文件符合圖中的幾個(gè)的特征，即文件版本為5.1.2600.0，描述為：Run a DLL as an App這兩個(gè)待征，即為木馬服務(wù)器端執(zhí)行文件，好了，現(xiàn)在把它shift+Del掉吧；2000和XP用戶則應(yīng)到windows＼system32下查找，特征相同。不要試著在做完1）2）步工作或重啟電腦前用軟件或2000/XP的進(jìn)程管理器終止該木馬的用戶進(jìn)程，因?yàn)槟憬K止不了的，試過(guò)你就知道了。（注意不要把WIN9X自帶的RUNDLL32.exe和rundll.exe誤刪掉，分清楚）。
網(wǎng)羅天下 www.Txia.net
4）雙系統(tǒng)用戶在當(dāng)前操作系統(tǒng)下到另一系統(tǒng)的分區(qū)下的相應(yīng)文件夾下刪除有上述待征的木馬程序，注意另一系統(tǒng)下木馬程序文件不止一個(gè)，請(qǐng)逐個(gè)找出刪除，然后重啟電腦到該操作系統(tǒng)下進(jìn)行上面從頭進(jìn)行1）2）3）4）。。。等的操作。（注意XP或2000用戶如果系統(tǒng)盤為NTFS結(jié)構(gòu)，請(qǐng)先在XP/2000系統(tǒng)下進(jìn)行除馬操作，因?yàn)槟闳绻Q在9X系統(tǒng)下，你無(wú)法看到NTFS盤也無(wú)法進(jìn)行3）的有關(guān)操作?！ ?br>5）到我的文檔下查找有關(guān)文件，你會(huì)發(fā)現(xiàn)有一個(gè)或以上的文件是你在感染木馬時(shí)運(yùn)行過(guò)的文檔，圖片，或者別的，請(qǐng)不要點(diǎn)擊它們，而是關(guān)掉按WEB頁(yè)查看的功能，然后把這些文件刪除掉，如果你分不清楚究竟是哪些文件，請(qǐng)按shift+Del刪掉所有老文件以外的所有可能的新文件，圖片，或者文檔，因?yàn)樗鼈兌际莻窝b的（非常高明，一點(diǎn)都看不出來(lái)的）請(qǐng)刪掉它們，也許有幾個(gè)正好是你的網(wǎng)友或朋友傳過(guò)來(lái)的MM圖片或者別的圖片，千萬(wàn)不要再多看它們一眼，否則大俠請(qǐng)重新來(lái)過(guò)吧，重復(fù)1、2、3步?！ ?br>6）更改你所有用過(guò)的密碼，系統(tǒng)、QQ、EMAIL及網(wǎng)上所有用到的登陸密碼，無(wú)論是以前用的還是現(xiàn)在用的，因?yàn)槟抉R的一個(gè)顯著特點(diǎn)就是查看所有歷史內(nèi)存駐留密碼（其實(shí)是在硬盤上存著的），以及你當(dāng)前的鍵盤操作?！ 〉雀鞔髿⒍痉篮谲浖?jí)后，大家可用這些軟件清除木馬，目前還沒(méi)有有效的軟件能夠清除該木馬。殺不如防，所以請(qǐng)大家不要隨意打開(kāi)網(wǎng)上陌生網(wǎng)友的圖片，文檔等，也不要聽(tīng)陌生網(wǎng)友的指示去某某網(wǎng)頁(yè)看
