微点交流论坛

标题: (第一次发帖)感染userinit.exe的木马 [打印本页]

作者: sysnap 时间: 2007-10-16 22:02 标题: (第一次发帖)感染userinit.exe的木马

开机发现userinit.exe停留了很久才退出,感觉不对劲,看了一下微点的"程序生成日志",发现userinit.exe进程创建俩个文件,分别是C:\WINDOWS\SVCHOST和C:\WINDOWS\UAY.SYS看到SVCHOST.EXE在WINDOWS目录下就知不对.赶紧搜索这俩个文件,却找不到,以为他HOOK了什么API,用一写工具却没发现.分析了一下USERINIT.EXE发现有"lisent on port 9929"字眼,应该是木马吧,关于这个木马是干什么的,运行机制是什么,我还没弄明白.还是清除再说,到别的地方COPY一个USERINIT.EXE替换原来的就可以,下次开机再看微点程序生成日志,一切正常,看来微点这个功能不错
注:正常的userinit.exe只有27K,感染后是127K
百度搜索好像没有关于这个木马的信息,晕

作者: Legend 时间: 2007-10-16 22:08
请楼主将userinit.exe以及微点的技术支持信息文档发到support@micropoint.com.cn，我们根据您的信息具体测试分析，感谢您的反馈。

作者: 反黑先锋 时间: 2007-10-17 00:00
又是userinit.exe 大型木马群：
http://bbs.micropoint.com.cn/sho ... 4%BA%DA%CF%C8%B7%E6

建议微点对userinit.exe进行保护阻止修改删除系统关键文件

作者: caibin870 时间: 2007-10-17 07:40
进来学习一下

作者: Legend 时间: 2007-10-19 15:40
楼主的邮件我们尚未收到，方便的话，请您重新发送，谢谢您的支持。
另外请楼主将您的邮箱地址以论坛短消息的方式发给我，以便我们跟踪处理。谢谢您的反馈。
http://bbs.micropoint.com.cn/pm.asp?action=send&uid=77

作者: Legend 时间: 2007-10-24 14:33
我们没有收到楼主的进一步反馈
此主题暂做关闭主题处理，如有其他的问题，请另开新帖讨论。

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn