黑暗幽灵（ DCM）木马专杀工具

[wbsdty331]

看了一下乌云的分析报告，手杀应该没问题，过两天写一个小工具出来好了 (水表在屋外，最近没网购，不需社区温暖，谢谢。)

杀毒

• 删除木马释放的下列所有文件:

XP ：%windir%\ntshrui.dll

Win7 ：%windir%\msls32.dll

Win8 及以上：%windir%\AduioSes.dll

还有：
%CommonProgramfiles%\Microsoft Shared\Web Folders\msaodex.dll
%CommonProgramfiles%\Microsoft Shared\TEXTCONV\*elp.dll
%CommonProgramfiles%\Microsoft Shared\Web Folders\klive.exe
%CommonProgramfiles%\Microsoft Shared\Web Folders\rscom.dll
%windir%\Temp\{E53B9A13-F4C6-4d78-9755-65C029E88F02}
QQHelperDll.dll
a360se_.exe
aIexplore.exe
RtkBdll.dll
PInfos.dll
iestorage.dll
111.iesd
SAM.dll
lmha.slld
所有后缀名为.k 的文件

• 修复 LSP 连接

netsh winsock reset

• 用 PC Hunter 之类的 ARK 工具，清除所有被挂的 DLL （均没有微软数字签名)：

msaodex.dll
QQHelperDll.dll
RtkBdll.dll

检查所有杀毒软件的白名单，清除被木马静默加入的部分

这个就得你自己做了..

说两句题外话

好了，这下子这个“黒暗幽灵”应该就从你的电脑里面消失了，至于下一步木马溯源的问题，由于这个木马将数据封装成固定包头的DNS协议包，发送到大型网站来实现数据传输，说明作者的功底还是非常强的，我感觉可以继续深挖下去，等会...有人敲门，应该是我买的东西到了，我去拿忄

[ytf4425]

资瓷一个

[ovear]

前排资糍
你们搞的这个专杀工具 excited

[wbsdty331]

@ovear 过两天搞个 EXE 出来

[grant]

没找到这些文件啊，看来没中毒了？这个是什么时候开始有的

[fengjianxinghun]

前排资兹。。。。。

[wbsdty331]

专杀已更新。

[strwei]

就不能编译个 exe 吗