Exeroute木马清除方法

2023-08-29 1278阅读 0评论

上次我机器中了exeroute，有中过的人也知道，这个后门还不错，也有点变态了。

共产生14个文件和2个文件夹。注册表部分，除了1个Run和System.ini，比较有特点是，非普通地利用了EXE文件关联。先修改了.exe的默认值，改.exe从默认的exefile更改为winfiles，然后再创建winfiles键值，使EXE文件关联与木马挂钩，它的一个可执行体是.com的。当然，清除的方法也很简单，不过需要注意步骤：

一、注册表

先使用注册表修复工具，或者直接使用regedit修正以下部分1.SYSTEM.INI

NT/XP系统在注册表

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion/\Winlogon

shell = Explorer.exe 1 修改为shell = Explorer.exe。

2.将

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

下的Torjan Program-C:\WINNT\(windows)services.exe删除。

3.HKEY_Classes_root.exe默认值 winfiles 改为exefile。

4.删除以下两个键值：HKEY_Classes_rootwinfiles和HKEY_Local_machinesoft wareclasse swinfiles。

二、重启系统

然后重启系统，删除以下文件部分，注意打开各分区时，先打开“我的电脑”后请使用右键单击分区，选“打开”进入。删除以下文件c:\antorun.inf(如果你有多个分区，请检查其他分区是否有这个文件，有也一并删除)

%programfiles%common filesiexplore.pif
%programfiles%Internat exploreriexplore.com
%windir%1.com
%windir%exeroute.exe
%windir%explorer.com
%windir%finder.com
%windir%mswinsck.ocx
%windir%services.exe
%windir%system32command.pif
%windir%system32dxdiag.com
%windir%system32finder.com
%windir%system32msconfig.com
%windir%system32
egedit.com
%windir%system32
undll32.com

删除以下文件夹：

%windir%debug
%windir%system32NtmsData

然后重新启动计算机。

相关阅读：

1、IK分词器和ElasticSearch集成使用

2、群晖NAS搭建WebDV服务手机ES文件浏览器远程访问

3、网络空间搜索引擎- FOFA的使用技巧总结

4、YOLOv8目标检测：使用ONNX模型进行推理

5、【C语言】文件操作（1）

免责声明

1、本网站属于个人的非赢利性网站，转载的文章遵循原作者的版权声明。
2、本网站转载文章仅为传播更多信息之目的，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所
提供信息的准确性及可靠性，但不保证信息的正确性和完整性，且不对因信息的不正确或遗漏导致的任何
损失或损害承担责任。
3、任何透过本网站网页而链接及得到的资讯、产品及服务，本网站概不负责，亦不负任何法律责任。
4、本网站所刊发、转载的文章，其版权均归原作者所有，如其他媒体、网站或个人从本网下载使用，请在
转载有关文章时务必尊重该文章的著作权，保留本网注明的“稿件来源”，并白负版权等法律责任。

手机扫描二维码访问