|
主题：gog.exe |
|
|
| 版主 |
 |
|
 |
|
 |
| 头衔: 版主 |
等级:  中级技师 |
勋章:  |
| 发贴: 1384 |
| 积分: 3251 |
| 经验: 420 |
| 体力: 1120 |
| 货币: 287 币 |
| 注册: 2004-06-01 |
|
|
|
 gog.exe |
最近上网时QQ好友发来一个网址(千万不要浏览) http://www.1688688.com/kuaile，点击后就弹出一个标题为“正在生成图片”的窗口，当时我看着就感到不妙，立刻终止它，但已经晚了，我开始感到机子的速度正在下降，于是关闭所有程序，打开系统信息发现已加载32位模块中有一个不明程序在运行：GOG.EXE。重启进入纯DOS将其删除，回到WINDOWS后WINDOWS目录中又出现了一个(实际上是等进入WINDOWS后等了好长时间才弹出一个资源管理器的窗口，其他什么都没有，桌面任务栏什么都不见了)。按了CTRL+ALT+DEL键后终止GOG.exe进程后，打开注册表编辑器将所有RUN键里面的GOG.EXE项和可疑程序删除。之后重启再进入纯DOS删除GOG.EXE，进入WINDOWS，一切依旧。于是格式化C区重装系统，刚开始运行正常，WINDOWS目录下也不再出现GOG.EXE文件，可是运行了安装在其他分区上的软件后，GOG又出现了，真郁闷！
B：
于是来到网上寻求解决之道，才知道GOG是一个偷网络游戏传奇密码的木马程序，GOG 一旦运行，就会寻找机器上其他EXE文件，感染给它。这样一运行被感染的程序，GOG程序就会脱壳并且运行。看了几位网友的贴子，说是给硬盘分区全格会彻底清除GOG木马，但我的硬盘上有5214个EXE文件有超过50000个其他文件，分区格式化后我上哪找这些文件呀！又听说金山毒霸的最新病毒库虽然可以查杀GOG，但是在某些受感染的机子上的EXE文件就不能用了(可能是因为发放GOG木马程序的人不唯一，造成GOG.EXE文件不同。本人机器上的GOG.EXE文件大小是204800字节)，不行，不太敢用金山毒霸，这怎么办才好啊？机器还等着要用呢！等待出专杀工具也不知要等到什么时候。反正已经感染了，索性自己研究一下……
C：
研究中发现被GOG木马感染的程序在运行时会生成与程序同名的扩展名为TMP的文件(有时在程序所在目录中生成，有时则在WINDOWS目录中)，有时又会生成一个与程序同名的扩展名为MM的文件，它们都是隐藏的。其中TMP文件是原程序文件，也就是被GOG木马感染前的完好的程序；MM文件就是GOG木马的原程序，它的文件大小与GOG.EXE文件大小相同，文件内容也是相同的(不同的地方可能是文件图标)。
于是使用写字板(够菜~)分别打开一个受GOG感染的程序文件和其生成的TMP文件来比较，发现受GOG感染的文件结构是：MM文件+TMP文件+结尾标志字串(忘记是什么了)
，也就是木马程序+完好的原程序+木马程序能识别的一串特殊字串(可能是为了在程序运行时，能够方便木马程序与完好的原程序进行分离)。于是用VB编了一个全盘文件恢复器，先查找受感染的程序，然后删除其内部的木马程序和结尾标志字串，从而恢复正常的EXE文件。
运行该程序前必须不能让GOG运行(本人太菜，不知道怎么用VB编程终止GOG的进程)。可以格式化C区，重装系统，进入WINDOWS后不运行任何程序，然后恢复所有受感染的EXE文件；或者有GHOST的，恢复C区，进入WINDOWS前进入纯DOS，修改你记忆中在WINDOWS启动后自动运行的程序的目录名，比如：Ren Kingsoft KingsoftM，就是让WINDOWS找不到自动运行的程序，OK，这样GOG就不会被运行。
最后为了更加安全放心，你可以在删除GOG.EXE文件之前，使用写字板打开它，在里面找到一段连续的中间没有空格或非标准字符的文字，这段文字应是你机器里其他正常文件中没有的，如：“您现在使用的是测试版本”，打开开始菜单查找对话框，包含文字栏中输入那段字符(注意不能有误)开始全硬盘搜索。在找到的文件中再加以判断(文件大小与GOG.EXE文件相同，文件修改时间又与中木马时间后程清除木马前相符，一定是GOG的残兵)……
（本人附上VB源程序附件，仅供参考，本人不对程序作任何保证。见意您要是使用请先将所有EXE程序备份为其他一个特殊的扩展名，如：GEXEBAK，特殊些方便查找处理。然后使用程序先恢复几个的EXE文件，然后按“停止”，去试试那几个已经被恢复的EXE文件看看好不好使了，如好使，就可以放心的使用它了。然后再查找所有的GEXEBAK文件，删除它们吧。你可以修改程序到你满意，本人不会DOS程序编写，否则就编它一个DOS下的程序……！！！本程序仅供参考啊，本人不对程序作任何保证！！！）
http://bbs.kingsoft.net/attachment.php?aid=119686&sid=xADZOL
D：
我经过一天的艰苦奋战终于把GOG杀掉！真是大块人心！~~
我的压缩包中有一个名为gog1.dat的文件，先万不要把它改为EXE文件并运行它，它是本人机器上中的GOG木马原程序。我是用它来作为种子，然后查找机器上的其他文件中是否包含GOG木马程序。我忘了把它删除。。。。
|
|
| -------------------------------------------------------- |
http://ufo3000.uueasy.com.cn/index.php
衡水家电维修技术论坛欢迎您 |
| 如果论坛附件不能下载，请登陆电信站点（http://www.ma163.com)下载 |
|
|
|
|
 2004-6-2 22:09:38 |
|
|
|
|
|
|
|
|
|
 |
等级:  新手上路 |
| 发贴: 98 |
| 积分: 0 |
| 经验: 4 |
| 体力: 664 |
| 货币: 16 币 |
| 注册: 2004-06-15 |
|
|
|
| |
| 你教教我怎么用好不好？ |
|
| -------------------------------------------------------- |
ぁ学无止境，为了将来的一切，我要努力，努力，再努力。
|
|
|
| 2004-6-29 17:18:32 |
|
|
|
状态： |
|
|
|
4202030
