用SSM清除难缠的.dll后门

今天，拿到网友传来的一个后门——Trojan.Win32.PcClient.bk。
这个后门感染系统后，在%system%文件夹中创建两个文件：AUTOEXEC.BAT和00001370.dll。
在註册表的HKEY_LOCAL_MACHINESYSTEMCURRENTCONTROLSETSERVICES分支添加启动加载项messenger。
00001370.dll插入winlogon.exe和iexplore.exe进程。
手工查杀这类后门有一定难度——如果用IceSword强行卸载插入winlogon.exe的00001370.dll，系统立即崩溃/重启；如果不卸载0001370.dll，重启后，病毒依然运行，00001370.dll无法删除。
对付这类典型的.dll后门，SSM是个有用的工具（网上可以找到）。下面是用SSM杀死Trojan.Win32.PcClient.bk的操作步骤：

1/在SSM的“应用程序规则”（application rules）中添加两条规则，禁止AUTOEXEC.BAT和0001370.dll运行（见图1）。
（图1）


2/重启系统（重启前检查SSM的设置，确保其启动加载）。
3/删除%system%文件夹中的AUTOEXEC.BAT和0001370.dll（图2）。
（图2）

4/去掉后门添加的註册表项（图3）。
（图3）

至此，这个棘手的后门就被彻底干掉了！

大家可以举一反三，使用SMM这个免费工具，对付那些难缠的后门/木马。