| 冰刃是一款功能強大的殺毒輔助軟件，號稱(chēng)專(zhuān)門(mén)針對功能強大的內核級后門(mén)而設計，深受很多殺毒高手的青睞，但對新手而言往往不知道該如何使用。 本文將詳細介紹清理隱藏進(jìn)程、Rootkit類(lèi)程序、強力刪除文件與清理注冊表的流程及方法，暫不解釋原理術(shù)語(yǔ)。 一、界面介紹 打開(kāi)軟件，顯示在系統任務(wù)欄或軟件標題欄的都只是一串隨機字串“CE318C”，而不是常見(jiàn)的程序名，這是IceSword獨有的隨機字串標題欄。每次打開(kāi)出現的字串都是隨機生成，這樣那些通過(guò)標題欄來(lái)關(guān)閉程序的木馬和后門(mén)就無(wú)用了。還可以更改其文件名，比如改為killvir.exe，顯示的進(jìn)程名就變?yōu)榱薻illvir.exe。 （一）設置IceSword 運行IceSword.exe。如果無(wú)法運行，請先試著(zhù)將文件名改成隨即名字。如：188965.com
（二）進(jìn)程 1、查找并結束可疑進(jìn)程 點(diǎn)擊窗口左側的“進(jìn)程”，查看系統當前進(jìn)程。顯示為紅色的為隱藏進(jìn)程，系統默認是沒(méi)有的（系統自帶的“任務(wù)管理器”是看不到的，有時(shí)另一款功能強大的進(jìn)程查看軟件Process Explorer也無(wú)法查到），因此紅色項應全部結束（當然主程序IceSword.exe除外）。如果你確定那些是正常的，可以不關(guān)。順便結束這些進(jìn)程：Explorer.exe、iexplore.exe、rundll32.exe。 按Ctrl鍵選擇多個(gè)項目，然后再點(diǎn)開(kāi)右鍵菜單中的“結束進(jìn)程”，可一次搞定所有需結束的進(jìn)程。 注意：記錄源文件地址，到時(shí)候一并刪除。
IceSword可結束除Idle進(jìn)程、System進(jìn)程、csrss進(jìn)程這三個(gè)進(jìn)程外的所有進(jìn)程，這一點(diǎn)，很多同類(lèi)軟件是做不到的。但是有些進(jìn)程也不是隨便可以結束的，如系統的winlogon.exe進(jìn)程，一旦殺掉后系統就崩潰了。 2、終止插入的DLL文件 舉例：很多木馬程序都喜歡插入explorer.exe，來(lái)執行需要的操作，對于這些插入的DLL文件怎么辦呢，選中explorer.exe進(jìn)程，然后點(diǎn)右鍵菜單中的“模塊信息”，會(huì )看到所嵌入進(jìn)程的所有DLL文件，找到病毒模塊，點(diǎn)擊卸載即可結束掉這個(gè)DLL，如果病毒程序比較厲害，可能無(wú)法卸載，那么強制解除就起了作用，一般的DLL包括系統DLL都可以強制解除掉，所以慎用這個(gè)功能。
進(jìn)程里面還有其他功能，比如強制結束線(xiàn)程，包括右鍵菜單中還有線(xiàn)程信息、內存讀寫(xiě)等，在此就不一一介紹了。 （三）內核模塊 內核模塊是加載到系統內和空間的PE模塊，內核程序是通過(guò)C:\windows\system32\ntkrnlpa.exe等程序啟動(dòng)，基本上是C:\windows\system32\drivers\下的驅動(dòng)程序 *.sys文件，當然也有少部分C:\windows\system32\目錄下的sys文件，僅有很少的幾個(gè)dll文件，我計算機有3個(gè)。冰刃中的內核模塊只能察看簡(jiǎn)單的內核信息，靠知識去分析正常和不正常的內核。 （四）啟動(dòng)組 和內核程序一樣，只能查看，無(wú)法作任何處理。只顯示以下幾個(gè)地方的啟動(dòng)項目，不全面，可用冰刃的注冊表刪除可疑啟動(dòng)，操作方法見(jiàn)下文。 注冊表中，僅包括HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run兩個(gè)項目，文件夾包括C:\Documents and Settings\您所使用的用戶(hù)名稱(chēng)\「開(kāi)始」菜單\程序\啟動(dòng)和C:\Documents and Settings\All Users\「開(kāi)始」菜單\程序\啟動(dòng)
（五）服務(wù) 1、顯示隱藏服務(wù) 服務(wù)中可以顯示隱藏服務(wù)，用紅色表示，和進(jìn)程一樣 2、修改服務(wù)狀態(tài)（啟動(dòng)、停止等） 打開(kāi)服務(wù)，選中要進(jìn)行操作的服務(wù)，按Ctrl鍵可以選擇多個(gè)項目，在右鍵菜單里面選擇要作的操作，比如停止、啟動(dòng)、暫停、恢復。這里面要注意一個(gè)問(wèn)題，就是系統的關(guān)鍵服務(wù)是不能停止的，否則系統會(huì )自動(dòng)重新啟動(dòng)計算機。這個(gè)僅修改當前狀態(tài)，而重新啟動(dòng)計算機后，如果服務(wù)的啟動(dòng)類(lèi)型是自動(dòng)，還會(huì )啟動(dòng)該服務(wù)。 3、修改服務(wù)的啟動(dòng)類(lèi)型（禁用、自動(dòng)、手動(dòng)） 打開(kāi)服務(wù)，選中要進(jìn)行操作的服務(wù)，按Ctrl鍵可以選擇多個(gè)項目，在右鍵菜單里面選擇要作的操作，比如禁用、自動(dòng)、手動(dòng)。這個(gè)修改的是啟動(dòng)類(lèi)型，所以修改后，不可能修改當前狀態(tài)。 （六）注冊表 冰刃對注冊表有非常高的權限（管理員權限），可以看到某些系統注冊表編輯器中不可見(jiàn)的項目，所以在進(jìn)行操作的時(shí)候要有十足把握，不要因為錯刪、錯改某些系統關(guān)鍵項目，使計算機系統崩潰。 （七）文件 文件是一個(gè)瀏覽計算機所有文件的地方，可以看到任何隱藏的文件，對付無(wú)法刪除的文件，也可以使用強制刪除等特殊方法刪除，具體方法下面會(huì )有具體介紹。 二、清理方法 （一）恢復SSDT SSDT--系統服務(wù)表，一些 "rootkit" 經(jīng)常通過(guò)hook截獲你系統的服務(wù)函數調用，以實(shí)現注冊表、文件的隱藏。被修改的值以紅色顯示，不過(guò)，當然有些安全程序也會(huì )修改，如windows\System32\drivers\klif.sys 就是卡巴斯基內核驅動(dòng)。 下圖為恢復默認的方法：
記下這里顯示的可疑文件位置以及文件名，到時(shí)候刪除源文件。 （二）清理文件 1、首先應清理隱藏進(jìn)程的程序。 2、清理SSDT中顯示的文件 為完全清理文件，可以右鍵文件夾，選“搜索文件”查找前面找到的文件。具體方法同注冊表搜索，有時(shí)強制刪除文件會(huì )失敗，請先使用“刪除”。
若你的分區格式是NTFS，在清理時(shí)請使用管理員權限賬戶(hù)登陸，并右鍵目錄，選擇“枚舉ADS（不包含子目錄）”（全部的話(huà)時(shí)間較長(cháng)）。這樣可以揪出利用NTFS交換數據流（Alternate Data Streams，簡(jiǎn)稱(chēng)ADS）隱藏的文件。
清理方法：選中文件，右鍵菜單中選擇“刪除”，如果刪除不了，選擇“強制刪除”即可。 （三）清理BHO IceSword 的“BHO”的功能，可以檢查可以瀏覽器劫持項。
（四）刪除注冊表相關(guān)信息 1、系統服務(wù)所在位置： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 2、常見(jiàn)啟動(dòng)項位置： HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 有些可以直接刪除主鍵，如圖：
有的直接刪除項，如下圖：
搜索注冊表中其他位置，方法如下：
系統啟動(dòng)項Run的刪除。示例：
三、最后的修復 （一）首先應該還原第一步中對IS的設置。 （二）裝好殺軟，聯(lián)網(wǎng)、升級、重啟殺毒。 （三）處理病毒修改的系統設置 比如隱藏文件的設置、HOST文件的修改、主頁(yè)等IE項目的修改、文件關(guān)聯(lián)的修改等等。這些修改一般都要等殺毒結束后進(jìn)行。 注意事項： 如何退出IceSword：直接關(guān)閉。 若你要防止進(jìn)程被結束時(shí)，需要以命令行形式輸入：IceSword.exe /c，此時(shí)需要Ctrl+Alt+D才能關(guān)閉（使用三鍵前先按一下任意鍵）。 如果最小化到托盤(pán)時(shí)托盤(pán)圖標又消失了：此時(shí)可以使用Ctrl+Alt+S將IceSword主界面喚出。 |
聯(lián)系客服
