怎么知道自己是否中了灰鸽子?

有什么办法自己检测吗?
2024-12-25 06:33:04
推荐回答(2个)
回答1:

检查电脑是否中了灰鸽子,可以在Windows的DOS提示符下键入命令“netstat -a”后回车,观察显示结果中是否有被灰鸽子打开的端口号“8225”的字样,有则很可能中了灰鸽子。

在默认的配置下,灰鸽子服务器端的名称、运行、隐藏及关联发作方式均与著名的冰河完全一样,因此大家不幸中了灰鸽子,又没有最新的杀毒软件,可以尝试对它进行手工清除:

1.打开注册表编辑器,查找字符串“Kernel32.exe”,总共有3处。找到后将它所在的键名(一般为“LoadWindows”)删掉。

2.重启系统后选择安全模式,进入Windows\\System目录(若使用Win2000或WinNT,则为WinNT\\System32目录)中,将其中的程序“Kernel32.exe”删除即可。如果服务器端程序配置了其他名称也没有关系,结合上述的方法稍加分析即可轻松搞定。

如果受害者能找到灰鸽子的客户端程序,那就更简单了。运行后,连接本机IP(127.0.0.1),打开“命令控制台”,找到“控制类命令→系统控制”,再按下右边窗口的“自动卸载”即可。

灰鸽子清除方法[2]

注意:以下清除顺序不可以随意调整。

1.删除灰鸽子服务端程序

由于在Windows环境下灰鸽子的服务端是处于运行状态,无法直接删除,所以必须进入纯DOS状态删除,删除命令如下:
cd c:\windows\system
attrib-r-s-h kernel32.exe
attrib-r-s-h notepod.exe
del kernel32.exe
del notepod.exe

还要注意,如果灰鸽子服务端设置了exe 文件关联的话,将会导致注册表编辑器无法运行,所以在删除服务端之前,先将注册表编辑器重命名,以便以后对注册表进行更改,操作命令如下:
ren c:\windows\regedit.exe regedit.com

2.删除注册表中启动键

由于我们改了注册表编辑器名称,所以要打开注册表编辑器应为:打开”开始“菜单”中的“运行”然后输入“regedit.com".启动注册表编辑器后,依次打开“HKEY_LOCAL_MACHINE\Software\Microsoft\windows\Current Version\Run",在右边的窗口中删除名称为”Loadwindows"的键值就可以了。

清除文件关联

灰鸽子可以设置4种文件关联:exe关联,txt关联,ini关联,inf关联,其中exe关联可以和其他三种类型同时存在。

1.解除exe关联:
启动注册表编辑器,然后找到HKEY_CLASSES_ROOT\Exefile\shell\Open\Cpmmand主键,查看起默认的键值是不是系统默认的“%1%*”,如果被修改,则改成默认值.

2.解除txt关联:
打开注册表的HKEY_CLASSES_ROOT\txtfile\shell\open\command主键,其默认值的正常参数应该为“C:\windows\notepad.exe%1",如果不是,请修改为正确数据。

3.解除ini关联:
INI文件的的关联配置保存在注册表HKEY_CLASSES_ROOT\Inffile\shell\Open\Cpmmand主键下,其默值数据也是“C:\windows\notepad.exe%1”,如果被修改的话,也要改回来。

4.解除inf关联:
打开注册表的HKEY_CLASSES_ROOT\Inffile\shell\Open\Cpmmand主键,和ini,txt文件关联一样,其默认值也是“C:\windows\notepad.exe%1”,如果被修改,也要立刻改回正确的数据。

灰鸽子清除方法[3]

一、清除灰鸽子的服务

2000/XP系统:

1、打开注册表编辑器(点击“开始”-》“运行”,输入“Regedit.exe”,确定。),打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。

2、点击菜单“编辑”-》“查找”,“查找目标”输入“game.exe”,点击确定,我们就可以找到灰鸽子的服务项(此例为Game_Server)。

3、删除整个Game_Server项。

98/me系统:

在9X下,灰鸽子启动项只有一个,因此清除更为简单。运行注册表编辑器,打开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项,我们立即看到名为Game.exe的一项,将Game.exe项删除即可。

二、删除灰鸽子程序文件

删除灰鸽子程序文件非常简单,只需要在安全模式下删除Windows目录下的Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件,然后重新启动计算机。至此,灰鸽子已经被清除干净。

回答2:

在任务拦中有一个蓝色的小电脑显示 必须用右键单击,单击后显示对话框,问你是否要结束灰鸽子程序 如果有此症状 表明你是中了灰鸽子 这个是表面上的 如果你表面没有这个 那你就找HijackThis的日志里的服务项.023-****:C:\WINDOWS\*.exe 如果这两个症状都没有 那么你就没中灰鸽子
电脑运行十分缓慢,CPU占用率常常达到100%。
江民反病毒专家介绍,“灰鸽子”变种病毒运行后,会自我复制到Windows目录下,并自行将安装程序删除。修改注册表,将病毒文件注册为服务项实现开机自启。病毒程序还会注入所有的进程中,隐藏自我,防止被杀毒软件查杀。自动开启IE浏览器,以便与外界进行通信,侦听黑客指令,在用户不知情的情况下连接黑客指定站点,盗取用户信息、下载其它特定程序。
正是由于“灰鸽子”变种主程序一般是隐藏的,该文件在正常模式下不易被杀毒软件查杀,而且利用一些加壳工具可以十分容易地对其进行修改,从而轻易生成新变种。