路過MIS的睏貓

 以下全文取自http://home.so-net.net.tw/akjean/Doc1.htm，感謝原作者的介紹教學。
 
        利用CPorts 檢測木馬簡易教學
 
        平常我對於防毒軟體檢測木馬通常抱著保留的態度 , 因為防毒軟體只能防已知木馬
        但萬一有新的木馬出來時, 若防毒軟體公司沒收到最新的資料
        該防毒軟體就不可能達成保護的效果
        所以求人不如求己, 過度依賴防毒軟體未必能保證自己安全
 
        目前我所提供的方法, 適用於灌了 N 套防毒軟體掃描後
還是無法確認自己到底有沒有中木馬的人
 
        CPorts 這套軟體的功能在於掃描電腦中所有的通訊埠 , 而且列出的資訊非常詳盡
        若一部電腦處於乾淨無木馬狀態, 掃描結果應該如下圖所示
       
 
  
        Local Port                自己電腦上的通訊埠
        Local Address          自己電腦的 IP
        Remote Port             遠端連線電腦的通訊埠
        Remote Port             遠端連線電腦的 IP
        State                        Listening 代表等待連線    Established 代表已建立連線中
        Process Name          通訊程式名稱
        Precess Path            每支通訊程式在硬碟中的所在位置
        Product Name          軟體產品註冊名稱
 
        System 代表 Windows 系統本身的服務 , 平常可以忽略, 但也可檢查目前電腦有多少埠是打開著的
        一般而言可以利用防火牆或 控制台->系統管理工具->服務 選項將多餘的 Port 關閉
 
        而我們檢測木馬就是要看屬於非 System 的通訊狀態…
        由上圖可以檢測到有 6 個程式正在執行 , State 欄位的狀態為 Listening / Established
        代表處於 等待連線/正在連線 的狀態 , 這時候我們觀看 Product Name
        如果以乾淨電腦而言, 應該只會看到 Microsoft(R) Windows(R) XXXXXX  的說明
        如果有任何程式不屬於 MS 所有, 就要注意是否為其他自己已知軟體的服務
        通常自己安裝的軟體自己一定會知道的, 像上圖的 InterBase Server 一樣
 
        現在為了測試木馬 , 我特地將一隻木馬放到自己電腦
        把 CPorts 軟體開著 , 然後執行天堂二 ( 用視窗模式 )
        進入天二後, 然後在 CPorts 中按 reflash 的按鈕 ( 隨便輸入一組不相關的密碼或許也行 )
        此時赫然發現木馬已經啟動如下圖 … ( 為了抓圖畫面乾淨,已經關閉L2,所以沒顯示L2的連線 )
        而且遠方通訊端的 IP 為 219.153.10.36 狀態為連線中
        而且經過 IP 查詢 ( 利用 nslookup 219.153.10.36 )
該 ip 網址為 www.1ineage2.com.tw ( 1ineage2 開頭是 1 而不是 L )
        是知名的木馬網址 ….       ( 不用為我擔心 , 我拿的是 7 天試玩帳號測試的 )
  
 
 
        若不幸檢測真的中木馬的人, 要立刻採取動作
        用滑鼠選擇那個服務然後按右鍵 , 會出來如下圖的選單
        選單的第一和第二項 Close Selected XXX 和 Kill Processes OF XXXX
        分別為關閉該服務的連線和關閉使用該埠的軟體
        然後立刻到天二官網修改自己的密碼 , 修改時為了保險起見
        還是要多讓 CPorts reflash 幾次 , 確認木馬軟體沒有繼續工作
        改完密碼後就請重灌或 Ghost 還原電腦吧
 
 
 
祝大家都能順利遠離木馬的摧殘 ….. 阿門 …
Cports 下載可到 google 搜尋 Cports
或到 http://www.nirsoft.net/utils/cports.html 官網下載 ...
 
另外這是原作者整理的繁體中文化版本
cports.zip

a-squared Free 病毒防護
http://www.emsisoft.com/
網路不僅替我們帶來了大量的知識，也讓電腦彼此間的訊息傳遞變得更加容易，不過也正因為如此，你的電腦也等同於連接在這個開放的世界裡，若是沒有做好防備，那麼它就會赤裸裸地被攤在陽光下。
有越來越多的木馬與間諜程式出現在網路上，這些惡意程式平時或許沒有什麼影響，但是其實卻是伺機而動，準備竊取你的資料或是以你的電腦為跳板來進 行不法行為。而它們通常是以隱藏在一般正常檔案中的方式讓使用者下載，讓使用者在不知不覺中被它們附著，因此要如何才能夠即時發現自己是否身處危險呢？ a-squared Free 也許能夠幫得上忙。
a-squared Free 是一款免費的防護程式，它的操作相當方便，使用者只需要在安裝後定期使用它來掃瞄系統，就可以發現是否有惡意程式潛伏在你的電腦當中，讓你可以及早發現並且移除這些不速之客。
http://toget.pchome.com.tw/intro/utilit ... 26625.html

在恆毅的公用電腦看到類似的工具，很好奇。
就想要類似這種會自動偵測可攜式儲存設備的軟體。
還寫信去問卡巴，因為大多防毒不會先自動偵測可攜式儲存設備，使用者是不會多做這件事的。
有些病毒在按下二下Click後就中標了!!!防毒有時根本來不及反應(←真的)
參考以下文章

病毒防護

---

http://www.twncert.org.tw/tw/security_solution_content.php?id=3218
日期：2008-02-19名稱：下載其它惡意程式的 W32.Mikbaland蠕蟲類別：蠕蟲簡介：W32.Mikbaland 下載其它惡意程式並散播到所有分享與行動裝置中的蠕蟲。受影響系統：Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Vista, Windows XP內容：當 W32.Mikbaland 執行時，會產生下列動作：
1.建立下列檔案：
　C:\1.hiv
　C:\2.hiv
　C:\AUTORUN.INF
2.復製本身成下列檔案：
　%System%\iexplorer.exe
　%System%\wuauc1t.exe
3.復製到所有分享與行動裝置中：
　%DriveLetter%\explorer.exe
4.復製 %System%\urlmon.dll檔到下列檔案中：
　%System%\urlurl.dll
5.建立下列登錄機碼，當windows每次啟動時執行：
　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\
　"IEXPLORER"="%System%\iexplorer.exe"
6.建立下列子登錄機碼：
　HKEY_CURRENT_USER\Software\mmtest
　HKEY_CURRENT_USER\Software\mmtest\IEXPLORER
7.修改下列登錄機碼：
　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\
　advanced\folder\hidden\showall\"CheckedValue" = "0"
8.修改下列登錄機碼，取代應用程式：
　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
　Image File Execution Options\[FILE NAME]\"Debugger" = "%System%\wuauc1t.exe"
9.[FILE NAME]可為任何執行檔，不包含下列字串：
　360rpt.EXE
　360safe.EXE
　360tray.EXE
　ANTIARP.exe
　Ast.EXE
　AutoRunKiller.exe
　AvMonitor.EXE
　AVP.EXE
　CCenter.EXE
　Frameworkservice.EXE
　IceSword.EXE
　Iparmor.EXE
　KASARP.exe
　KRegEx.EXE
　KVMonxp.kxp
　KVSrvXP.EXE
　KVWSC.EXE
　Mmsk.EXE
　Navapsvc.EXE
　Nod32kui.EXE
　QQDOCTOR.EXE
　Regedit.EXE
　VPC32.exe
　VPTRAY.exe
　WOPTILITIES.EXE
　Wuauclt.EXE
10.結束下列程序：
　360Safe.exe
　360tray.exe
　ANTIARP.exe
　KASARP.exe
　KRegEx.exe
　kvsrvxp.exe
　KVWSC.EXE
　runiep.exe
　scan32.exe
　TBMon.exe
　UpdaterUI.exe
　VPC32.exe
　VPTRAY.exe
　VsTskMgr.exe
11.連接下列網址下載檔案：
　[http://]2.trojan8.com/dd/[REMOVED]
　[http://]2.trojan8.com/dd/10.[REMOVED]
　[http://]2.trojan8.com/dd/11.[REMOVED]
　[http://]2.trojan8.com/dd/12.[REMOVED]
　[http://]2.trojan8.com/dd/13.[REMOVED]
　[http://]2.trojan8.com/dd/14.[REMOVED]
　[http://]2.trojan8.com/dd/15.[REMOVED]
　[http://]2.trojan8.com/dd/16.[REMOVED]
　[http://]2.trojan8.com/dd/17.[REMOVED]
　[http://]2.trojan8.com/dd/[REMOVED]
　[http://]2.trojan8.com/dd/[REMOVED]
　[http://]2.trojan8.com/dd/[REMOVED]
　[http://]2.trojan8.com/dd/[REMOVED]
　[http://]2.trojan8.com/dd/[REMOVED]
　[http://]2.trojan8.com/dd/[REMOVED]
　[http://]2.trojan8.com/dd/[REMOVED]
　[http://]2.trojan8.com/dd/[REMOVED]
　[http://]2.trojan8.com/dd/ar.[REMOVED]
　[http://]2.trojan8.com/dd/do.[REMOVED]
　[http://]2.trojan8.com/dd/gz.[REMOVED]
　[http://]2.trojan8.com/dd/self[REMOVED]解決方案：1.暫時關閉系統還原功能 (Windows Me/XP)
　系統還原功能能夠使系統回復到預設狀態，假如電腦的資料毀損，則可以用來復原資料。
　系統還原功能也會記錄下病毒、蠕蟲或是木馬的感染。Windows 預防任何外部程式來修改
　系統還原功能，當然也包括了防毒軟體。因此防毒軟體或是工具無法移除系統還原資料夾
　中的威脅。即使已經在其他的資料夾清除了感染的檔案還是有可能經由系統還原來回復受感染的檔案。
　關閉系統還原功能的方法可以閱讀Windows 的文件或是參考以下網頁：
　關閉Windows Me還原功能
　關閉Windows XP還原功能
2.更新病毒定義檔
　至所使用防毒軟體之公司網站下載最新的病毒定義檔
　賽門鐵克
　趨勢科技
3.執行全系統掃描
　(a)執行防毒軟體，並設定為執行全系統掃描
　(b)如果偵測到病毒，則採取防毒軟體所建議的步驟
　(註1)如果沒有防毒軟體，可以到以下網站線上掃毒：
　http://www.kaspersky.com.tw/virusscanner/#
　http://www3.ca.com/securityadvisor/virusinfo/scan.aspx
　http://housecall.trendmicro.com/
　(註2)如果防毒軟體無法刪除病毒，則需重新啟動至安全模式，
　　　 依防毒軟體指示刪除病毒，再進行下一步驟。
　(註3)如果出現檔案遺失的訊息，在完全移除病毒後便不會再出現，請點選「確定」略過訊息。
　(註4)如何開啟安全模式請參考。
　http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid
　/2001052409420406?OpenDocument&src=sec_doc_nam
　(c)如果掃描出任何病毒，請刪除病毒
　(註)假如防毒產品無法移除受感染的檔案，請以安全模式開啟，並再次執行掃毒程序，
　　　移除受感染的檔案後再重新開機至正常模式。重新開機時會有警告訊息
　　　(Warning messages)，因為此時威脅仍未完全解除，可忽略此警訊點選OK，
　　　指令完全移除後，重新開機便不會再出現警訊，警告訊息呈現如下列所示：
　　　Title: [FILE PATH]
　　　Message body: Windows cannot find [FILE NAME].
　　　Make sure you typed the name correctly, and then try again.
　　　To search for a file, click the Start button, and then click Search.
4.刪除登入檔內的值(value)：
　(a)滑鼠左鍵點選 開始\執行
　(b)鍵入 regedit
　(c)滑鼠左鍵點選 確定
　(d)刪除下列登錄項目：
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\
　　"IEXPLORER"="%System%\iexplorer.exe"
　(e)刪除下列子登錄項目：
　　HKEY_CURRENT_USER\Software\mmtest
　　HKEY_CURRENT_USER\Software\mmtest\IEXPLORER
　(f)如有需要，恢復下列登錄項目初始值：
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\
　　advanced\folder\hidden\showall\"CheckedValue" = "0"
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
　　Image File Execution Options\[FILE NAME]\"Debugger" = "%System%\wuauc1t.exe"
　[FILE NAME]可為任何執行檔，不包含下列字串：
　　360rpt.EXE
　　360safe.EXE
　　360tray.EXE
　　ANTIARP.exe
　　Ast.EXE
　　AutoRunKiller.exe
　　AvMonitor.EXE
　　AVP.EXE
　　CCenter.EXE
　　Frameworkservice.EXE
　　IceSword.EXE
　　Iparmor.EXE
　　KASARP.exe
　　KRegEx.EXE
　　KVMonxp.kxp
　　KVSrvXP.EXE
　　KVWSC.EXE
　　Mmsk.EXE
　　Navapsvc.EXE
　　Nod32kui.EXE
　　QQDOCTOR.EXE
　　Regedit.EXE
　　VPC32.exe
　　VPTRAY.exe
　　WOPTILITIES.EXE
　　Wuauclt.EXE
　(g)離開登錄檔編輯器
 

這是個好工具。
定期隔二周的每星期三下載來用。