木马：Run a DLL as an App 木马名称：3721潜伏者 执行文件大小：WIN9X下：24KB 2000/XP下：31/32KB 特征：感染系统后自动与3721网络实名系统的Cnsmin.dll关联，并在WIN9X系统的WINDOWS目录下生成不规则名称的.EXE文件，2000和XP下则在X：＼WINDOWS＼SYSTEM32下生成 特殊特征:与Cnsmin.dll关联(这招很毒),有双系统的机子自动同时感染双系统(这招更毒) 非重要特征：QQ启动异常（至少导致珊瑚虫版的QQ异常），报告出错并且输入密码后感觉还没登陆QQ就跳掉了 解决方法：抓住这个木马作者最得意的地方，利用现在国人电脑上几乎人人都有的网络实名系统的关键动态链接库Cnsmin.dll关联，利用Cnsmin.dll在开机后时刻重复运行的特征，使木马启动程序在被禁止后马上重新生成新的启动文件（在WINDOWS的注册表HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Run有关的几项里注册，以达到启动加载的目的），这是这个软件的最成功之处，也是最失败的地方，因为这是一个要害，利用这个要害，我们： 1）首先卸载网络实名功能，（其中WIN9X用户可以先断开网络后操作以防止“菜客”在你操作时从中作梗）直接在控制面板的删除/添加程序里反安装；2000及XP等NT内核操作系统用户因为无法在控制面板的删除/添加程序里找到有关卸载项，所以要到网络实名的网站http://www.3721.com/setup-5.htm页面的第二项里选择卸载，所以不能断开网络（谁有可冶ΡΧ载网络实名的工具请推荐，谢谢）。 2）WIN9X/XP用户运行msconfig命，打开启动菜单，找到木马的启动项（注：文件名是随机的，不一样，但都是.exe文件，并且命令行里有明显和Cnsmin.dll关联的显示，具体可参看附图），2000用户可选择从98用户那里COPY一个msconfig.exe来完成该操作（运行msconfig时有提示出错，不用理会，点确定就行，接下来的操作和9X/XP用户一样，一般卸载网络实名后该启动项就自动删除了，但我们还要 ……看３）。 3）重启电脑，双系统用户请还是启动刚才运行的系统，否则系统之间会交叉感染。WIN9X用户到WINDOWS目录下查找大小为24KB和31/32KB的.exe可执行文件，如果该文件符合图中的几个的特征，即文件版本为5.1.2600.0，描述为：Run a DLL as an App这两个待征，即为木马服务器端执行文件，好了，现在把它shift+Del掉吧；2000和XP用户则应到windows＼system32下查找，特征相同。不要试着在做完1）2）步工作或重启电脑前用软件或2000/XP的进程管理器终止该木马的用户进程，因为你终止不了的，试过你就知道了。（注意不要把WIN9X自带的RUNDLL32.exe和rundll.exe误删掉，分清楚）。 4）双系统用户在当前操作系统下到另一系统的分区下的相应文件夹下删除有上述待征的木马程序，注意另一系统下木马程序文件不止一个，请逐个找出删除，然后重启电脑到该操作系统下进行上面从头进行1）2）3）4）。。。等的操作。（注意XP或2000用户如果系统盘为NTFS结构，请先在XP/2000系统下进行除马操作，因为你如果称在9X系统下，你无法看到NTFS盘也无法进行3）的有关操作。 5）到我的文档下查找有关文件，你会发现有一个或以上的文件是你在感染木马时运行过的文档，图片，或者别的，请不要点击它们，而是关掉按WEB页查看的功能，然后把这些文件删除掉，如果你分不清楚究竟是哪些文件，请按shift+Del删掉所有老文件以外的所有可能的新文件，图片，或者文档，因为它们都是伪装的（非常高明，一点都看不出来的）请删掉它们，也许有几个正好是你的网友或朋友传过来的MM图片或者别的图片，千万不要再多看它们一眼，否则大侠请重新来过吧，重复1、2、3步。 6）更改你所有用过的密码，系统、QQ、EMAIL及网上所有用到的登陆密码，无论是以前用的还是现在用的，因为木马的一个显著特点就是查看所有历史内存驻留密码（其实是在硬盘上存着的），以及你当前的键盘操作。 等各大杀毒防黑软件升级后，大家可用这些软件清除木马，目前还没有有效的软件能够清除该木马。杀不如防，所以请大家不要随意打开网上陌生网友的图片，文档等，也不要听陌生网友的指示去某某网页看什么图片等等，都有可能中木马，这个木马和图片文件的植入功能真是很完美了。