用户登录 ?|? 用户注册
设为首页 加入收藏
当前位置:教案试题课件网网络安全

局域网ARP病毒一例

减小字体 增大字体 作者:佚名??来源:本站整理??发布时间:2012-08-24 07:51:46
教案试题课件网WwW.JaSTkJ.cOm全部资源免费下载

局域网ARP病毒一例

病毒迹象:
局域网偶尔出现个别电脑无法上网的迹象;
第一次发作时,表现最严重,整个局域网内部的电脑网络异常,受影响的电脑系统反映迟缓,但是任务管理器显示CPU使用率正常,断开网线,系统马上恢复正常;
部分系统网关地址和IP地址错误,网关的MAC地址是一个不存在的虚拟的MAC地址,手动设置IP地址和网关地址后,网络恢复正常。
查找方法:
因局域网电脑数量较多,一台一台的手工查找比较麻烦,于是在一台打印服务器上,安装了 Anti ARP Sniffer Ver 2.0 工具,终于找到了发起ARP攻击的内网MAC地址。
(在网关地址栏输入局域网网关IP地址,然后,点击获取网关MAC地址,再点击自动防护,这个工具就开始侦测局域网内部的ARP攻击或ARP欺骗数据包,检测到这种数据包后,就在左下方的状态栏里面,自动列出发出ARP攻击数据包的电脑的MAC地址)。
[图]
解决过程:
根据MAC地址,找到局域网里面相应的电脑,运行任务管理器,一下子就发现好几个病毒的进程:
wab.exe.tmp
55.tmp? ?? ?? ?? ? (是由量个数字或一个数字一个字母组成的随机文件名)
cmd.exe
Xsisock.exe
18147071? ?? ?? ? (随机文件名,无后缀)
system.exe? ?? ?? ? (蝗虫军团木马群病毒的进程)
另外,发现中毒电脑的杀毒软件的实时监控已经开不出来了,手动启动杀毒程序,两秒内自动退出;
试着终止以上病毒进程,居然比较顺利的终止了病毒进程;
但是,终止病毒进程后,杀软还是开不出来,而且主要病毒文件无法删除(system32目录下有好几十个病毒,drivers目录下有几个病毒,临时目录和IE缓存目录里面有大量病毒)。
只好用PE光盘,启动到PE界面,手动删除以下病毒:
temp目录清空;
IE缓存目录清空;
删除C:\Program Files\Outlook Express目录下的wab.exe.tmp病毒;
删除C:\Program Files\Internet Explorer目录下的两个病毒文件JentNT64.Jmp 、Jet0nN64.987(从文件日期判断,中毒当天创建的文件就是病毒);
删除windows根目录下的npptools.dll 、 packet.dll 、 WanPacket.dll 、wpcap.dll 、Gameeeeeee.pif 、Gameeeeeee.vbs? ???(前四个是ARP病毒的dll文件);
删除system32目录下的病毒文件,有50多个,包括system.exe等蝗虫军团木马群病毒的众多木马病毒;
与system.exe几乎同时创建的.dll文件、.cfg文件、.sys 、.exe 文件全部删除;
删除drivers目录下的54.tmp 、HBKernel32.sys 、winsawids.sys。根据文件创建日期,把最近创建的删除;(值得注意的是,HBKernel32.sys这个驱动级的病毒隐藏较深,根据www.virscan.org网站的查毒报告,至今为止,没有杀软能认出这个危险的病毒,估计是蝗虫军团病毒又升级了);
经分析,以上病毒绝大部分都是从hxxp://u3.exgif.com/网站自动下载的。(我把http 改成hxxp 了)。
删除以上病毒后,重启到windows界面,杀软还是打不开,这次是根本没反映了,而且病毒正在迅速恢复,只好再次启动到PE界面,按照以上步骤重新清除病毒;
然后,重启到windows安全模式,打开注册表,发现HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File ExecutionOptions键项下病毒添加了大量的映像劫持键项,于是删除了Image File Execution Options 键项;
打开HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks ,删除右边窗口除了“默认”以外的任何内容;
打开HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows,删除右边窗口AppInit键里面的全部内容。
再次试运行杀毒软件,终于可以正常启动了。于是全盘杀毒。
杀毒时,我漏掉的三个病毒被杀软干掉了,还有一个系统文件userinit.exe被病毒感染,被清除病毒后,本来有20多Kb的文件只剩下2Kb了,我估计就是这个文件,导致我刚才手动杀毒差点失败。但是,这个系统文件被杀毒软件杀的太狠了一点,我担心系统会出现问题,于是重启了一次,居然没有问题!!!
此次杀毒后,没有发现后遗症。
后记:
我在IE临时目录里面找到了ARP源病毒vip[1].exe,199kb大小,单独运行这个病毒时发现,离开蝗虫军团木马群病毒的保护伞后,这个病毒一点也不厉害了,狠容易清除,大部分的杀软都能清除这个病毒,包括这个源病毒激活后释放在windows根目录下的几个dll病毒。但是,drivers目录下,后缀为.tmp的ARP病毒文件,至今未有任何杀软认为是病毒。
附注:
文件名称 : HBKernel32.sys
文件大小 : 14703 byte
文件类型 : data
MD5 : 43228c8b8ff196c1c552914aa3f4508a
SHA1 : b7950a4e225393d785bd02cf735cf6a9d9268ac8
扫描结果 : 全部的杀毒软件报告没有发现病毒!
时间 : 2008/12/20 15:48:28 (CST)
后记:
据病毒作者自己透露,这个HBKernl32.sys 的确没有任何作用,程序内容除了一段正版验证程序外,就是骂人的话。到此,基本上可以确认,这次遇到的是蝗虫军团病毒的一个新变种病毒,加入了ARP病毒。??

来源于:教案试题-课件网wwW.JaStkJ.cOm免费下载

Tags:局域网ARP病毒一例

作者:佚名

电脑评论评论内容只代表网友观点,与本站立场无关!

? ?评论摘要(共 0 条,得分 0 分,平均 0 分) 查看完整评论

相关文章

|Copyright ? 2010-2011 jastkj.com. All Rights Reserved .


页面执行时间:93.75000 毫秒
网站制作:三人行网络