20CN网络安全小组论坛 - 病毒专区

论坛: 病毒专区标题: internat.exe

作者: bluefire76 [bluefire76]

论坛用户

我的电脑的winnt下有个internat.exe文件，有175K大，而且其标志不再是个问号了，在system32下也有个internat.exe，有21K大，现在的现象是，我的cpu几乎是满负荷运转，而就是internat.exe文件占用了90%以上，我现在怀疑就是中了木马，可是用iparmor查了，没有发现，请问我是否真的中了木马，如果是与internat.exe有关，我如何杀掉该木马，而且我的输入法已经在任务栏中看不到了。

地主发表时间: 04/04 17:28

回复: CyberSpy [cyberspy]

论坛用户

（请将注册表中的启动项拿上来看看，这些项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和runonce，runservicers等run有关项。运行->regedit->找到以上的右边的项，抄上来吧~）
怀疑可能是QQ密码侦探木马~

.用进程管理软件杀掉这个进程（internat.exe文件占用了90%以上，我现在怀疑就是中了木马）
.删掉这个文件，同时将smaxinte.exe改名为internat.exe
.修改注册表，去掉启动项中的关于winnt/internat.exe项，删除��HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\SysTASK ��HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\SysTASK��HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\CurrentVersion\\SysTASK 几项

B1层发表时间: 04/04 18:26

回复: bluefire76 [bluefire76]

论坛用户

版主,我看过你说的那个办法,可是不行,因为我根本找不到那些文件
我马上把注册表的内容放上来

B2层发表时间: 04/04 19:11

回复: bluefire76 [bluefire76]

论坛用户

版主,我的注册表上在下面两个里有如下的internat.exe信息.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices有:
CnsMax   C:\WINNT\internat.exe
而且我用netstat -an发现了如下情况:

C:\>netstat -an

Active Connections

  Proto  Local Address          Foreign Address        State
  TCP    0.0.0.0:21             0.0.0.0:0              LISTENING
  TCP    0.0.0.0:25             0.0.0.0:0              LISTENING
  TCP    0.0.0.0:80             0.0.0.0:0              LISTENING
  TCP    0.0.0.0:135            0.0.0.0:0              LISTENING
  TCP    0.0.0.0:443            0.0.0.0:0              LISTENING
  TCP    0.0.0.0:445            0.0.0.0:0              LISTENING
  TCP    0.0.0.0:1033           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:1050           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:1052           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:1097           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:1118           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:1741           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:2690           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:7161           0.0.0.0:0              LISTENING
  TCP    0.0.0.0:42343          0.0.0.0:0              LISTENING
  TCP    0.0.0.0:57860          0.0.0.0:0              LISTENING
  TCP    127.0.0.1:1050         127.0.0.1:7161         ESTABLISHE
  TCP    127.0.0.1:1433         0.0.0.0:0              LISTENING
  TCP    127.0.0.1:7161         127.0.0.1:1050         ESTABLISHE
  TCP    192.168.1.139:139      0.0.0.0:0              LISTENING
  TCP    192.168.1.139:1433     0.0.0.0:0              LISTENING
  UDP    0.0.0.0:135            *:*
  UDP    0.0.0.0:161            *:*
  UDP    0.0.0.0:162            *:*
  UDP    0.0.0.0:445            *:*
  UDP    0.0.0.0:1048           *:*
  UDP    0.0.0.0:1049           *:*
  UDP    0.0.0.0:1084           *:*
  UDP    0.0.0.0:1102           *:*
  UDP    0.0.0.0:1434           *:*
  UDP    0.0.0.0:3456           *:*
  UDP    0.0.0.0:8161           *:*
  UDP    192.168.1.139:137      *:*
  UDP    192.168.1.139:138      *:*
  UDP    192.168.1.139:500      *:*

B3层发表时间: 04/04 19:33

回复: bluefire76 [bluefire76]

论坛用户

而且在注册表中并没有如下三项:
HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\SysTASK ��HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\SysTASK��HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\CurrentVersion\\SysTASK
也没有文件:smaxinte.exe
我用了很多木马工具,包括木马克星都杀不了它,现在有什么办法啊?

B4层发表时间: 04/04 19:36

回复: CyberSpy [cyberspy]

论坛用户

最好在注册表中查找：C;\Winnt\internat.exe（或者只查找internat.exe），看是否有其他文件关联，比如关联txt或者exe等，那样直接删除掉就可能打不开那些关联文件类型。有就恢复关联（具体等你看了再说）。

一般手段：
1.用进程管理软件，推荐TaskInfo2000，上网down一个，查看进程，杀掉internat这个进程。
2.然后打开删除C;\WInnt\internat这个文件。（如果有exe文件关联就要注意这一步了）
3.打开注册表，删掉上面的那个internat启动项。
4.重新启动（其实没有实际用处的，哈哈）。
应该可以搞定了。

B5层发表时间: 04/05 09:18

回复: bluefire76 [bluefire76]

论坛用户

"最好在注册表中查找：C;\Winnt\internat.exe（或者只查找internat.exe），看是否有其他文件关联，比如关联txt或者exe等'
请问：如何查看文件关联？

B6层发表时间: 04/07 14:59

回复: bluefire76 [bluefire76]

论坛用户

版主，我按你的方法做过，可一重起机子后，internat.exe文件在注册表和winnt下又出现了，有没有好的杀木马软件啊？

B7层发表时间: 04/07 16:32

回复: CyberSpy [cyberspy]

论坛用户

注册表中查找：C;\Winnt\internat.exe（或者只查找internat.exe）

把找到的项目写上来~

或者msconfig启动项放上来~

B8层发表时间: 04/07 22:50

回复: bluefire76 [bluefire76]

论坛用户

我运行msconfig时，系统告诉我找不到该组件，internat.exe相关的内容如下：
数值名称      数值数据
CnsMax       C:\WINNT\internat.exe  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

CnsMax       C:\WINNT\internat.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunService

B9层发表时间: 04/08 08:49

回复: CyberSpy [cyberspy]

论坛用户

难道在注册表中就这两个位置有internat.exe？？

1.那你去掉这两项启动项先；用进程管理软件，推荐TaskInfo2000，上网down一个，查看进程，杀掉internat这个进程。
2.然后打开删除C;\Winnt\internat.exe这个文件。

B10层发表时间: 04/08 09:53

回复: bluefire76 [bluefire76]

论坛用户

版主，你说的那个方法我试过，不行，重起后，internat.exe在注册表和winnt下又存在了，我用iparmor查了一下，它告诉我
Text file connects to Trojan that was found.
Trojan name is C:\WINNT\SYSTEM32\KERNEL.EXE %1
Text file connects to Trojan that was found.
Trojan name is C:\WINNT\SYSTEM32\KERNEL.EXE %1

B11层发表时间: 04/08 10:23

回复: bluefire76 [bluefire76]

论坛用户

我做了一个实验，当我把任务管理器中internat.exe进程杀掉后，我随便找个.txt文件打开，internat.exe又出现在了任务管理器，而那个.txt文件本身却没有被打开，可不可以认为internat.exe跟.txt文件关联了？

B12层发表时间: 04/08 13:03

回复: CyberSpy [cyberspy]

论坛用户

是啊所以叫你在注册表中搜索internat.exe一下嘛（应该会搜索吧？ ^_^）~ 看还有没有其他的关联被改了？
这样：
HKEY_CLASSES_ROOT\txtfile\shell\open\command
右边默认改成：
%SystemRoot%\system32\NOTEPAD.EXE %1

再用上面的方法搞定

B13层发表时间: 04/08 21:56

回复: bluefire76 [bluefire76]

论坛用户

版主，你说的方法我都试了，我把我现在所碰到的问题再说一遍，这也是我多次实验后得到的：
我用regrun软件对文件和注册表进行了监控，我把注册表中所有internat.exe都删除了，而且把winnt下的internat.exe删除，我也按照你的办法把txtfile的默认值改了，而且我发现我的winnt/system32下的kernel.exe文件也有问题，我也删除了，再这之前，我用regrun发现，在winnt/Downloaded Program Files下有好些cns*.*文件与internat.exe有关，同时在注册表中与internat.exe有关的项名都是cnsmax。我把这些文件也都删除了。然后重起机子，情况如下：
在任务管理器中仍然有internat.exe，而且注册表中在run，runservices中也有cnsmax（internat.exe）的项（无论我先前是把cnsmax改名还是删除，只要重起都会重建该键值），txtfile的open下的command值为C:\WINNT\System32\kernel.exe %1
在winnt下仍然有新建的internat.exe，system32下也有新健的kernel.exe，但winnt/Downloaded Program Files下已没有cns*.*文件。
差不多就是这些了，我现在就是想知道，当我删除所有与internat.exe有关的文件和项后，重起机子时这些东西是如何重建的？我如何可以查看到她们？或者说我如何知道与internat.exe关联的所有信息？

B14层发表时间: 04/09 14:21

回复: bluefire76 [bluefire76]

论坛用户

版主，多谢你的帮助，我现在终于找到了这个木马，他就是瑞星杀毒软件描述的klia木马，
22.Trojan.Klia
破坏方法：此病毒启动后将自己安装到系统目录下命名为internat.exeh和outlook32.exe,kernel.exe此病毒将自己伪装成一个
windows的键盘语言指示程序,启动后在后台隐藏运行.修改注册表的 HKEY_LOCAL_MACHINE
\Software\Microsoft\Windows\CurrentVersion\Run 项,在其中添加一项 CnsMax 达到自启动的目的. 修改win.ini文件的run项使其指向病毒程序outlook32.exe.此病毒还会修改txt文件的关联项,每当用户启动一个txt文件时就会将病毒程序kernel.exe启动

B15层发表时间: 04/11 11:51

回复: Muddy [muddy]

论坛用户

斑竹厉害！！蓝火也厉害：）

B16层发表时间: 04/13 13:09

论坛: 病毒专区