徹底明晰 文件關聯型木馬的特殊化查殺

【賽迪網-IT技術報道】【社區整理】

一、什麼是並聯方式

令人費解的是，自己明明已經刪除了木馬文件和相應的啟動項，卻為什麼不能恢復正常呢？不少用戶都很疑惑，難道刪除的木馬竟然惡意修改了操作系統核心嗎？要想解開這些疑惑，我們就不得不從什麼是文件的「並聯方式」說起，因為這種木馬修改了應用程序文件（通常是EXE）的並聯方式。說起Windows系統，就不能不談到註冊表，註冊表在Windows系統中的地位是高高在上的，如果用戶使用的是Windows系統，而至今還不知道什麼註冊表的話，那麼還是先找些註冊表和Windows系統原理的資料好好補習補習吧！

在Windows系統中，幾乎所有文件的打開操作都是通過註冊表內相應鍵值指定的應用程序來執行的，這個部分位於註冊表的「HKEY_CLASSES_ROOT」主鍵內。當系統收到一個文件名請求時，就會根據這個文件的後綴名結合註冊表裡儲存的相應鍵值來識別文件類型，從而調用相應的程序將其打開、執行。無論是文件夾、文檔還是應用程序，Windows系統都將其視為一個文件，當然也擁有文件類型，同樣可以用其他方式開啟。例如：各種音頻、視頻文件（如：rm、avi、wmv、mp3等）都可以使用兩種以上的程序將其打開播放。只不過Windows系統將應用程序（EXE）設置它的調用程序為「"%1" %*」，讓系統內核理解為「可執行請求」，它就會為使用這種打開方式的文件創建進程，最終文件就被加載執行了。如果有其他的程序更改了這個鍵值，Windows就會調用那個指定的文件來開啟它。

二、木馬原理

那些文件並聯木馬程序會把EXE後綴名對應的exefile類型的「打開方式」改成為「木馬程序」%1" %*」，運行程序時系統就會先為「木馬程序」創建進程，把緊跟著的文件名作為參數傳遞給木馬執行，這樣用戶就被木馬欺騙了，用戶會覺得程序已經被正常啟動了。因為木馬程序被作為所有EXE文件的調用程序，使得它可以長期駐留記憶體，每次都能恢復自身文件，所以在一般用戶看來，這個木馬就做到了「永生不死」或認為是又「死灰復燃」了，其實用戶瞭解這些木馬的原理後，就知道它既不能「長命百歲」，也沒有「死而復生」的能力。

三、後果嚴重

然而，用戶一旦將木馬程序刪除，Windows系統就會找不到相應的調用程序，於是正常程序就無法執行了，這就是所謂的「所有程序都無法運行」的情況來源。並不是木馬更改了系統核心，當然用戶也就沒必要因此重裝整個操作系統啦。

四、根除方法

根除這種木馬的最簡單方法只需要查看EXE文件的打開方式被指向了什麼程序，立即停止這個程序的進程，如果它還產生了其他木馬文件的話，也一起停止。緊隨其後，在保持註冊表編輯器開啟著的情況下（否則你的所有程序都會打不開了）刪除掉所有木馬文件（前提是用戶知道哪些是目木馬文件，所以還不熟悉系統的用戶抓緊時間惡補吧），把exefile的「打開方式」項

（HKEY_CLASSES_ROOT/exefile/shell/open/command）

改回原來的「」%1」 %*」即可。

註冊表鍵值

如果刪除木馬前忘記把並聯方式改回來，就會發現程序打不開了，這時候千萬不要亂了方寸。如果你是Win9x用戶，請使用「外殼替換大法」：重啟系統後，按F8進入啟動菜單選擇MS-DOS模式，把Explorer.exe隨便改個名字，再把REGEDIT.EXE改名為Explorer.exe，再次重啟後會發現進入Windows只剩下一個註冊表編輯器了，趕快把並聯方式改回來吧！再次重啟的時候，別忘記恢復以前的Explorer.exe程序名。

對於Win200用戶而言，這個操作就更簡單了，只要在開機時按F8進入啟動菜單，選擇「命令提示符的安全模式」進行啟動，系統就會自動調用命令提示符界面作為外殼，直接在裡面輸入REGEDIT即可打開註冊表編輯器！

而XP用戶甚至不需要重啟系統，就可以直接在「打開方式」裡輸入「CMD」後回車，就能打開「命令提示符」界面，然後運行註冊表編輯器REGEDIT.EXE就OK了。接下來需要做的就是把程序的打開方式改成「」%1」 %*」即可。

（