破除隐身僵尸木马的隐身妖术

论坛求助人气帖：我的电脑最近老是弹出6.cn/xxxx网页以及一些广告页面，安装的杀毒软件检查出很多病毒，查杀后过几天就又出现许多木马。请问《电脑报》的安全专家，这是什么原因?怎么才能彻底解决?

根据上述信息，可以判断中了隐身僵尸木马。中招的电脑会弹出6.cn/xxxx网页以及一些广告页面，后进入潜伏期。

隐身僵尸木马会在用户开机启动的时候开始运行，并在硬盘上删除自身文件，只是在进程中存在，而在用户关机的同时，又将自身文件写入硬盘，此招数是专门为躲避杀毒软件的追杀而设计的，所以在日志中不会显示。

其基本启动思路是开机后先由注册表启动，成功注入后删除这个注册表项，那么日志就不会有异常。然后使用Rootkit技术隐藏自身，保证不被任务管理器或日志扫描发现，然后在即将关机的时候，捕捉关闭电脑命令，在关机前由注入进程的重新写回注册表，实现循环启动。由于的隐蔽性，中了它的电脑也会自动下载大量ARP攻击木马和流行盗号木马，危害极大。

隐身僵尸木马通用解决方案

临时方法：编辑HOSTS文件阻止弹窗

如果你的电脑暂时是在局域网内，不能上外网，可以先进到电脑中C:\WINDOWS\system32\drivers\etc文件夹中，双击HOSTS文件，在弹出的打开方式对话框中选择“记事本”选项(图1)。

图1　打开HOSTS文件

小提示：可以直接将C:\WINDOWS\system32\drivers\etc输入到地址栏中按回车进入此文件夹。

在打开的HOSTS记事本文件中，如图2所示修改并添加union.mmtw.cn及6.cn二个网址，然后单击右上角的关闭按钮，在弹出的提示中单击“是”保存。重启电脑可以暂时解决弹出广告的问题。

图2　添加—保存—退出

终极方法：用专杀工具清除木马

临时方法并没有真的清除木马，我们可以使用360安全中心提供的《隐身僵尸木马专杀工具》(下载地址：http://www.cpcw.com/bzsoft)。软件使用比较简单，打开软件后单击“开始查杀”即可(图3)。

图3　隐身僵尸木马专杀工具

在用专杀工具进行清除时，建议大家配合其他安全工具使用，效果更佳，例如《Windows 清理助手》等等。

总结

这款木马隐蔽性很强，不容易被发现，惟一的特征就是要弹出专门的广告。如果你的电脑突然弹出6.cn/xxxx，就意味着你中了该木马。此外，木马的制作思路和my123非常相似，二者之间可能有某种联系。