冲浪生活：UDP木马奇遇记（图）
发布时间：2006-08-14 10:22:58 来源：硅谷动力 网友评论 0 条一、情况描述
开机后，只要我拨号上网，网络防火墙就弹出一个提示窗口，询问是否允许“Internet Explorer”连接网络。我从提示框的“地址”一栏也证实了确实是IE浏览器的进程要求访问互联网，可我上网从来都只用Maxthon。原以为是系统本身的问题，便重新启动系统，可是当我拨号上网后不久，IE浏览器便要求访问互联网。对系统进行一次彻底地病毒扫描，结果一无所获。
二、根掘端口查找线索
虽然杀毒软件没有扫描出结果，但我隐隐约约感觉到这个幕后黑手可能是一个木马程序，因为流氓软件不会对系统是否联网进行判断，而很多木马才会有这个功能，之所以不被查杀可能因为它是一个全新的木马程序，也可能被入侵者进行了特征码修改的免杀操作。
再次拨号上网，防火墙又出现了IE浏览器连接互联网的请求。运行木马辅助查找器(下载地址http://www.ysye.com/soft/446.html)，这是一款可以辅助用户进行恶意程序检查的工具（图1）。点击“端口信息”选项，这里用户不但可以查看到哪些端口被打开使用，还可以看到是哪些进程打开的这些瑞口，从而方便用户根据实际的情况决定是否终止进程来关闭某些端口。点击“刷新”按钮可以及时更新当前的端口情况。
图1
从查找到的信息中我发现一个特别的地方，就是IE浏览器的进程居然用的是UDP协议，也就是说这个木马程序也用的是UDP办议。而正常情况下，不管是IE浏览器的网络访问，还是我们常见的木马程序在进行数据传输的时候，都是采用TCP协议。
现在我只要查找到哪些木马程序是采用UDP协议进行数据传输的，就可以判断出是什么木马程序在作祟。通过上网搜索，发现只有一种名为神气儿的国产木马是采用UDP协议进行数据传输的（图2）。
图2
事后查出，神气儿是国内第一款UDP木马，此木马号称“无进程、无服务、无DLL”。该木马是以系统服务为启动方式，使用者可以自定义木马启动服务的名称、服务端程序的名称、安装目录以及上线的端口等，增加了发现此木马的难度。
推荐阅讯
- winlogon.exe病毒的查杀方法(落雪病毒专杀工
- 卡巴斯基 360安全卫士 v1.41版发布
- 奇虎建立360安全卫士“督导委员会”
- 打造可管理的安全 瑞星新产品剑指国外厂商
- 程序监控专家让程序按需运行
- 净化网络行动受阻奇虎安全卫士遭黑手
- 卡巴斯基6.0使用感受!
- 一盘在手杀毒无忧 DIY超完美杀毒闪盘
- LSASS.exe进程病毒查杀方法
- 体验瑞星杀毒软件2006网络版核心功能
阅读排行
- 1.sxs.exe 病毒专杀工具
- 2.winlogon.exe病毒的查杀方法(落雪病毒专杀工
- 3.lsass.exe病毒的查杀方法,附专杀工具
- 4.木马 wol.exe KB49400M.LOG 清除方法
- 5.征途木马病毒ztdll.dll和svhost32.exe的解决
- 6.svhost32.exe,msdll.dl 梦幻木马解决方案
- 7.comine.exe 病毒清除方法
- 8.卡巴斯基6.0使用感受!
- 9.“落雪”木马疯狂盗号 下载江民专杀
- 10.加速你的杀毒引擎 卡巴斯基设置教程
专题教程
- 大话G游 专题：手机病毒揭密
- ARP攻击防范与解决方案 路由故障处理手册
- Picasa中文版_Picasa教程 专题：清除流氓软件
- Firefox专题 seo搜索引擎优化专区
- 重装Windows必知的事情 装机之必备软件大行动
病毒专杀栏