• 軟體損壞資料救援
    誤分割、誤格式化、誤ghost、駭客攻擊、PQ調整失敗等...
  • 硬體損壞資料救援
    電路板芯片燒壞,不認碟、碟體書寫錯誤等...
  • 伺服器資料救援
    磁碟陣列RAID0 、RAID1、RAID1+0、NAS、SAN 、JBO
  • 筆電資料救援
    東芝、日立、邁拓、三星、富士通、昆騰、筆記型等...
  • RAID資料救援
    對RAID0、RAID1、RAID1E、RAID5E、RAID6等救援...
  • 硬碟資料救援
    IDE、SCSI、S-ATA介面的IBM、易拓,昆騰硬碟,移動硬碟...
目前位置: 首頁 > 新聞中心 > IT資訊

系統自帶工具不弱 任務管理器揪出暗藏木馬

【賽迪網-IT技術報道】Windows任務管理器是大家對進程進行管理的主要工具,在它的「進程」選項卡中能查看當前系統進程信息。在默認設置下,一般只能看到映像名稱、用戶名、CPU佔用、記憶體使用等幾項,而更多如I/O讀寫、虛擬記憶體大小等信息卻被隱藏了起來。可別小看了這些被隱藏的信息,當系統出現莫名其妙的故障時,沒準就能從它們中間找出突破口。

1.查殺會自動消失的雙進程木馬

前段時間朋友的電腦中了某木馬,通過任務管理器查出該木馬進程為「system.exe」,終止它後再刷新,它又會復活。進入安全模式把c:/windows/system32/system.exe刪除,重啟後它又會重新加載,怎麼也無法徹底清除它。從此現象來看,朋友中的應該是雙進程木馬。這種木馬有監護進程,會定時進行掃瞄,一旦發現被監護的進程遭到查殺就會復活它。而且現在很多雙進程木馬互為監視,互相復活。因此查殺的關鍵是找到這「互相依靠」的兩個木馬文件。借助任務管理器的PID標識可以找到木馬進程。

調出Windows任務管理器,首先在「查看→選擇列」中勾選「PID(進程標識符)」,這樣返回任務管理器窗口後可以看到每一個進程的PID標識。這樣當我們終止一個進程,它再生後通過PID標識就可以找到再生它的父進程。啟動命令提示符窗口,執行「taskkill /im system.exe /f」命令。刷新一下電腦後重新輸入上述命令,可以看到這次終止的system.exe進程的PID為1536,它屬於PID為676的某個進程。也就是說PID為1536的system.exe進程是由PID為676的進程創建的。返回任務管理器,通過查詢進程PID得知它就是「internet.exe」進程。

找到了元兇就好辦了,現在重新啟動系統進入安全模式,使用搜索功能找到木馬文件c:/windows/internet.exe ,然後將它們刪除即可。前面無法刪除system.exe,主要是由於沒有找到internet.exe(且沒有刪除其啟動鍵值),導致重新進入系統後internet.exe復活木馬。

2.揪出狂寫硬碟的P2P程序

單位一電腦一開機上網就發現硬碟燈一直閃個不停,硬碟狂旋轉。顯然是本機有什麼程序正在進行資料的讀取,但是反覆殺毒也沒發現病毒、木馬等惡意程序。

打開該電腦並上網,按Ctrl+Alt+Del鍵啟動了任務管理器,切換到「進程」選項卡,點擊菜單命令「查看→選擇列」,同時勾選上「I/O寫入」和「I/O寫入字節」兩項。確定後返回任務管理器,發現一個陌生的進程hidel.exe,雖然它佔用的CPU和記憶體並不是特別大,但是I/O的寫入量卻大得驚人,看來就是它在搗鬼了,趕緊右擊它並選擇「結束進程」終止,果然硬碟讀寫恢復正常了。

(

加入好友line@vga9721w
線上客服
@hd119