病毒：自动在C:\windows\system32下生成NewPM文件夹，NesTM文件夹

来源：百度知道 编辑：UC知道 时间：2024/05/26 02:23:24
不知道有没有哪位高手可以帮我找到如何对付这个木马（病毒）的办法，我愿意将我所有的分数都给对方，并且，只要能解决了，在我能力允许的范围内，我愿意最大程度的感谢对方。
病毒的特征是：每天自动的在C:\windows\system32下生成NewPM和NewTM文件夹，在这个文件夹里就有各种数字组成的exe,例如：5221222.exe, 2283473.exe等等，我把这个文件夹的安全权限改为不允许操作，不允许访问，今天我又发现了NewCM文件夹，里面仍是这些个数字构成的exe文件，我重装机子后这些问题仍然存在，从网上搜索至现在也没有找到合适的解决方案，因此特别发贴求助。
如果有高手，请您帮忙，多谢多谢！
我的QQ：103290415
听取一位网友的建议，说是可能中了：C:\WINDOWS\system32\dnsq.dll病毒,但是我的瑞星居然一点也没有提示它就是病毒，上网上查说是 磁碟机病毒，于是将dnsq.dll进行删除，我是通过在安全模式下修改它的安全权限，将它删除的，不知道是否算是清除了。如果哪位有高见，请不吝赐教。

你是否使用了文件加密？？

没有试过遇见你这种这问题的，我也爱莫难助

我也困扰了好长时间，终于发现了好办法。
原因是你的SQL数据库问题。
最好把Server的xp_cmdShell存贮过程消除。1433端口正常了，而且ftp.exe和cmd.exe也再没有出现过了！问题确实出在安全设置上。

另外为了安全在瑞星杀毒软件中，在防御、应用程序访问控制中，添加c:\windows\system32\cmd.exe,在规则中全选拒绝，添加c:\windows\system32\FTP.exe，在规则中全选拒绝， 这样只能cmd.exe只能建立newpm或其他目录，但无法下载那些1254.exe或其他程序了。
另外在防御、程序启动控制中也可添加。

最后可以将system32、system32\dllcache下的cmd.exe、ftp.exe改名如cmd.exeren、ftp.exeren

关键字xp_cmdshell
据资料介绍，xp_cmdshell 是操作系统命令外壳 ，这个过程是一个扩展存储过程，用于执行指定命令串，并作为文本行返回任何输出。一般来说，xp_cmdshell很容易被黑客利用，带来不安全的隐患，而且xp_cmdshell对管理员来说也是不要,xp_cmdshell的消除不会对服务器造成任何影响