了解lpk_dll是什么病毒以及lpk_dll病毒专杀方法_
- 格式：pdf
- 大小：826.08 KB
- 文档页数：2
图 5 ： 删 除 某 些 lpk . dll 文 件 时 会 报 错， 是因为该病毒文件已经被激活 调用。பைடு நூலகம்
这是由于病毒文件已经被激活 调用，普通方式无法直接删除。这时
图 1：病 毒 现 象 ：全 盘 搜 索 发 现 很 多 目 录 下 存 在 有 LPK . dll 文 件 ， 且 大小一致，属性为隐藏。
查 看 kkwgks . exe 文 件 属 性 发 现 该 文 件 创 建 时 间 与 lpk . dll 一 致 ， 且 文 件 大 小 与 Temp 目 录 下 的 hrlXX . tmp 文 件 相 同 ， 十 分 可 疑 ， 直 接 将 其 删除。
图 10 ： 具 体 查 看 该 程 序 ， 可 发 现 该 文件为病毒。
图 2：搜索时需勾选"搜索隐藏的文 件和文件夹"选项
2C : DocumentsandSettingsAdministratorLocalSettingsTemp 目 录 下 生 成 许 多 tmp 格 式 的 文 件 ， 大 小 一 致 ， 命 名有一定规律。从文件后缀来看，这 些文件似乎是临时文件， 但其实是 PE 格 式 ， 并 不 是 普 通 的 tmp 文 件 。
2012 年第 19 期 《计算机与网络 》
图 7 ： 某 个 svchost 进 程 下 加 载 了 可 疑 dll 模 块 。
右键选中查看模块文件属性， 可 以 看 到 该 文 件 大 小 也 是 43KB ， 与 lpk . dll 相 同 ， 创 建 日 期 也 与 lpk . dll 一致。 另外有没有觉得这个文件名 很熟悉? 再回想一下会发现该文件 命 名 与 temp 目 录 下 的 hrlXX . tmp 文 件命名方式有异曲同工之处。 综上 所 述 ， 已 经 可 以 确 定 该 文 件 与 lpk . dll 性 质 相 同 ， 直 接 用 XueTr 删 之 。
4 上述删除操作完成后，再全盘 搜 索 一 次 ， 会 发 现 刚 刚 删 除 的 lpk . dll 病 毒 文 件 又 出 现 了 ， 真 是 “ 阴 魂
不散”。很明显系统中还存在残余病 毒 体 不 断 释 放 lpk . dll 文 件 ， 还 需 要 进一步检查将其彻底清除。 通过 XueTr 检 查 系 统 当 前 服 务 ， 发 现 一 个 很可疑的服务， 对应的映像文件 kkwgks . exe 无 数 字 签 名 。
2 、Telnet 远 程 连 接 服 务 未 关 闭 ， 黑客经常利用其漏洞远程连接用户 电脑，一旦连接成功，你的电脑控制 权就完全掌握在黑客手中。
3 、Windows 的 远 程 桌 面 连 接 打
开 ， 容 易 被 黑 客 侦 测 到 3389 端 口 开 放而被轻松入侵。
4、远 程 桌 面 服 务 开 启 ，易 被 黑 客 利用。
通 过 XueTr 可 以 看 到 删 除 报 错 的 lpk . dll 正 挂 在 系 统 正 在 运 行 的 进 程 下 ， 逐 一 找 到 正 加 载 的 lpk . dll ， 右 键 选中将其删除。
3 在 用 XueTr 逐 一 检 查 系 统 进 程 的 过 程 中 ， 发 现 其 中 一 个 svchost . exe 进 程 下 加 载 了 一 个 十 分 可 疑 的 模 块 文 件 hra33 . dll ， 且 无 数 字 签 名 。
5、 注 册 表 远 程 连 接 服 务 未 关 闭。 ，一旦黑客通过该服务远程编辑 你的注册表，将能通过操纵注册表来 操作你电脑系统的任意服务。
6、盘 符 隐 藏 共 享 未 关 闭 ，黑 客 远 程入侵系统后，可以很方便的利用盘 符隐藏共享，复制木马到任意目录。
7 、Admin $ 系 统 隐 藏 共 享 未 关 闭 ， 黑客入侵后利用此共享轻易将木马 复 制 到 Windows 目 录 。
8 、Windows 防 火 墙 被 关 闭 ，Windows 防 火 墙 可 以 很 好 的 防 止 外 部 计 算 机 扫 描 你 的 电 脑 ， 请 保 持 Windows 防火墙在启用中。
9、 未设置系统登陆密码或过于 简单。 未设置登陆密码或密码过于简 单就相当于给黑客打开了一道来去 自如的大门。
《计算机与网络 》 2012 年第 19 期
安全咖啡屋
计算机与网络创新生活
Co m pute r ＆ Ne two rk 43
系统里存在安全漏洞的九大高危区域
下面就让我们看看容易被用户 忽略的九大高危安全死角。
1 、Guest 账 户 和 helpassistant 账 户 未关闭。 陌生人轻松访问你的共享文 件或者利用系统自带的远程协助来 入侵。
5 删 除 kkwgks . exe 文 件 即 结 束 了病毒服务， 还需要执行上面步骤 1 -3 的 删 除 操 作 ， 把 再 次 释 放 的 lpk . dll 等 文 件 全 部 清 除 ， 然 后 重 启
电脑再全盘搜索检查一遍， 原来的 病毒文件都不复存在了。
病毒行为分析 经过了上面的手动处理过程 后， 可以逆向思维简单分析一下病 毒行为如下。 1 病毒运行后会把自己拷贝到 系 统 system32 目 录 下 以 随 机 数 命 名 ( 就 是 上 面 的 kkwgks . exe ) ， 并 创 建 一 个 名 为 Nationalgnf 的 服 务 。 2 新的服务启动后，利用特殊手 段 让 病 毒 映 像 替 换 svchost . exe ， 进 程 中 看 到 的 还 是 svchost . exe ， 似 乎 没 有 什么异样， 但此时病毒已经将自己 隐 藏 在 svchost . exe 里 运 行 ， 病 毒 在 这里完成的功能包括： （1）完 成 病 毒 所 有 的 后 门 任 务 ; （ 2 ） 在 系 统 system32 目 录 下 生 成 hraXX . dll ( XX 是 生 成 的 随 机 名 ) ； （3） 在系 统 临时 文 件 目 录 下 不 断 释 放 hrlXX . tmp 文 件 ( XX 是 生 成 的 随 机 名 ) ， 这 里 的 hrlXX . tmp 文 件 其 实 是 system32 下 kkwgks . exe 文 件 的 备 份 ， 非 常 危 险 ， 作 用 是 恢 复 system32 下 被 删 除 的 exe 病 毒 文 件 ； （4） 在存 在 可执 行 文 件 的 目 录 下 生 成 假 的 lpk . dll ， 属 性 为 隐 藏 ， 当 同 目 录 下 的 exe 运 行 时 会 自 动 加 载，激活病毒。
图 3：病毒现象：众多有明明规范的 tmp 格 式 文 件 ， 且 大 小 一 致 。
3 使 用 XueTr 查 看 系 统 进 程 ， explorer . exe 等 很 多 进 程 下 加 载 了 lpk .
图 6：对 于 这 些 已 经 被 激 活 调 用 的 lpk. dll，可 使 用 工 具 将 其 从 进 程 中 删 除 。
出所有隐藏文件， 包括操作系统文 件 ， 然 后 全 盘 搜 索 lpk . dll ， 这 时 会 发 现 很 多 目 录 下 都 存 在 lpk . dll 文 件 ， 大小一致，属性为隐藏。
注 意 ： 全 盘 搜 索 lpk . dll 时 要 注 意勾选 “搜索隐藏的文件和文件 夹”，如下图所示：
dll 。
图 4：病毒现象：很多进程下都加载 了 lpk . dll 。
lpk . dll 病 毒 专 杀 方 法 1 把 之 前 搜 索 到 的 lpk . dll 文 件 全 部 删 除 ( 不 包 括 C : WINDOWSsystem32 和 C : WINDOWSsystem32dllcache 目 录 ) 。 删 除 C : DocumentsandSettingsAdministratorLocalSettingsTemp 目 录 下 大 小 为 36KB 的 hrlXX . tmp 文 件。 2 某 些 lpk . dll 删 除 时 会 出 现 系 统报错，如下图。
lpk . dll 是 什 么 病 毒 lpk . dll 病 毒 的 典 型 特 征 是 感 染 存在可执行文件的目录， 并隐藏自 身，删除后又再生成，当同目录中的 exe 文 件 运 行 时 ， lpk . dll 就 会 被 Windows 动 态 链 接 ， 从 而 激 活 病 毒 ， 进 而导致不能彻底清除。 所以当发现磁盘很多文件夹中 都 存 在 lpk . dll 文 件 时 ， 那 么 基 本 可 以 肯 定 您 的 计 算 机 已 经 中 招 了 。 lpk . dll 病 毒 是 个 恶 意 后 门 病 毒 ， 计 算 机 染毒后会在后台下载更多恶意程 序，可造成用户机器被远程控制、资 料被盗等状况。 很多用户在发现电 脑中招后会习惯性地重装系统，但 重装系统并不能清除非系统盘目录 下 的 lpk . dll 文 件 ， 因 此 当 运 行 其 他 盘符目录下的可执行文件时又会激 活病毒，再次全盘感染，令人十分头 疼。 lpk . dll 病 毒 现 象 1 通过文件夹选项的设置显示
安全咖啡屋
42 Com puter ＆ Network 计 算 机 与 网 络 创 新 生 活
了解 lpk.dll 是什么病毒 以及 lpk.dll 病毒专杀方法？
lpk . dll 病 毒 是 当 下 比 较 流 行 的 一类病毒， 而正常系统本身也会存 在 lpk . dll 文 件 ， 这 足 以 说 明 这 类 病 毒 的 危 险 性 。 系 统 本 身 的 lpk . dll 文 件 位 于 C : WINDOWSsystem32 和 C : WINDOWSsystem32dllcache 目 录 下 。 下 面 小 编 就 带 大 家 了 解 下 lpk . dll 是 什 么 病 毒 以 及 lpk . dll 病 毒 专 杀 方 法 。
这是由于病毒文件已经被激活 调用，普通方式无法直接删除。这时
图 1：病 毒 现 象 ：全 盘 搜 索 发 现 很 多 目 录 下 存 在 有 LPK . dll 文 件 ， 且 大小一致，属性为隐藏。
查 看 kkwgks . exe 文 件 属 性 发 现 该 文 件 创 建 时 间 与 lpk . dll 一 致 ， 且 文 件 大 小 与 Temp 目 录 下 的 hrlXX . tmp 文 件 相 同 ， 十 分 可 疑 ， 直 接 将 其 删除。
图 10 ： 具 体 查 看 该 程 序 ， 可 发 现 该 文件为病毒。
图 2：搜索时需勾选"搜索隐藏的文 件和文件夹"选项
2C : DocumentsandSettingsAdministratorLocalSettingsTemp 目 录 下 生 成 许 多 tmp 格 式 的 文 件 ， 大 小 一 致 ， 命 名有一定规律。从文件后缀来看，这 些文件似乎是临时文件， 但其实是 PE 格 式 ， 并 不 是 普 通 的 tmp 文 件 。
2012 年第 19 期 《计算机与网络 》
图 7 ： 某 个 svchost 进 程 下 加 载 了 可 疑 dll 模 块 。
右键选中查看模块文件属性， 可 以 看 到 该 文 件 大 小 也 是 43KB ， 与 lpk . dll 相 同 ， 创 建 日 期 也 与 lpk . dll 一致。 另外有没有觉得这个文件名 很熟悉? 再回想一下会发现该文件 命 名 与 temp 目 录 下 的 hrlXX . tmp 文 件命名方式有异曲同工之处。 综上 所 述 ， 已 经 可 以 确 定 该 文 件 与 lpk . dll 性 质 相 同 ， 直 接 用 XueTr 删 之 。
4 上述删除操作完成后，再全盘 搜 索 一 次 ， 会 发 现 刚 刚 删 除 的 lpk . dll 病 毒 文 件 又 出 现 了 ， 真 是 “ 阴 魂
不散”。很明显系统中还存在残余病 毒 体 不 断 释 放 lpk . dll 文 件 ， 还 需 要 进一步检查将其彻底清除。 通过 XueTr 检 查 系 统 当 前 服 务 ， 发 现 一 个 很可疑的服务， 对应的映像文件 kkwgks . exe 无 数 字 签 名 。
2 、Telnet 远 程 连 接 服 务 未 关 闭 ， 黑客经常利用其漏洞远程连接用户 电脑，一旦连接成功，你的电脑控制 权就完全掌握在黑客手中。
3 、Windows 的 远 程 桌 面 连 接 打
开 ， 容 易 被 黑 客 侦 测 到 3389 端 口 开 放而被轻松入侵。
4、远 程 桌 面 服 务 开 启 ，易 被 黑 客 利用。
通 过 XueTr 可 以 看 到 删 除 报 错 的 lpk . dll 正 挂 在 系 统 正 在 运 行 的 进 程 下 ， 逐 一 找 到 正 加 载 的 lpk . dll ， 右 键 选中将其删除。
3 在 用 XueTr 逐 一 检 查 系 统 进 程 的 过 程 中 ， 发 现 其 中 一 个 svchost . exe 进 程 下 加 载 了 一 个 十 分 可 疑 的 模 块 文 件 hra33 . dll ， 且 无 数 字 签 名 。
5、 注 册 表 远 程 连 接 服 务 未 关 闭。 ，一旦黑客通过该服务远程编辑 你的注册表，将能通过操纵注册表来 操作你电脑系统的任意服务。
6、盘 符 隐 藏 共 享 未 关 闭 ，黑 客 远 程入侵系统后，可以很方便的利用盘 符隐藏共享，复制木马到任意目录。
7 、Admin $ 系 统 隐 藏 共 享 未 关 闭 ， 黑客入侵后利用此共享轻易将木马 复 制 到 Windows 目 录 。
8 、Windows 防 火 墙 被 关 闭 ，Windows 防 火 墙 可 以 很 好 的 防 止 外 部 计 算 机 扫 描 你 的 电 脑 ， 请 保 持 Windows 防火墙在启用中。
9、 未设置系统登陆密码或过于 简单。 未设置登陆密码或密码过于简 单就相当于给黑客打开了一道来去 自如的大门。
《计算机与网络 》 2012 年第 19 期
安全咖啡屋
计算机与网络创新生活
Co m pute r ＆ Ne two rk 43
系统里存在安全漏洞的九大高危区域
下面就让我们看看容易被用户 忽略的九大高危安全死角。
1 、Guest 账 户 和 helpassistant 账 户 未关闭。 陌生人轻松访问你的共享文 件或者利用系统自带的远程协助来 入侵。
5 删 除 kkwgks . exe 文 件 即 结 束 了病毒服务， 还需要执行上面步骤 1 -3 的 删 除 操 作 ， 把 再 次 释 放 的 lpk . dll 等 文 件 全 部 清 除 ， 然 后 重 启
电脑再全盘搜索检查一遍， 原来的 病毒文件都不复存在了。
病毒行为分析 经过了上面的手动处理过程 后， 可以逆向思维简单分析一下病 毒行为如下。 1 病毒运行后会把自己拷贝到 系 统 system32 目 录 下 以 随 机 数 命 名 ( 就 是 上 面 的 kkwgks . exe ) ， 并 创 建 一 个 名 为 Nationalgnf 的 服 务 。 2 新的服务启动后，利用特殊手 段 让 病 毒 映 像 替 换 svchost . exe ， 进 程 中 看 到 的 还 是 svchost . exe ， 似 乎 没 有 什么异样， 但此时病毒已经将自己 隐 藏 在 svchost . exe 里 运 行 ， 病 毒 在 这里完成的功能包括： （1）完 成 病 毒 所 有 的 后 门 任 务 ; （ 2 ） 在 系 统 system32 目 录 下 生 成 hraXX . dll ( XX 是 生 成 的 随 机 名 ) ； （3） 在系 统 临时 文 件 目 录 下 不 断 释 放 hrlXX . tmp 文 件 ( XX 是 生 成 的 随 机 名 ) ， 这 里 的 hrlXX . tmp 文 件 其 实 是 system32 下 kkwgks . exe 文 件 的 备 份 ， 非 常 危 险 ， 作 用 是 恢 复 system32 下 被 删 除 的 exe 病 毒 文 件 ； （4） 在存 在 可执 行 文 件 的 目 录 下 生 成 假 的 lpk . dll ， 属 性 为 隐 藏 ， 当 同 目 录 下 的 exe 运 行 时 会 自 动 加 载，激活病毒。
图 3：病毒现象：众多有明明规范的 tmp 格 式 文 件 ， 且 大 小 一 致 。
3 使 用 XueTr 查 看 系 统 进 程 ， explorer . exe 等 很 多 进 程 下 加 载 了 lpk .
图 6：对 于 这 些 已 经 被 激 活 调 用 的 lpk. dll，可 使 用 工 具 将 其 从 进 程 中 删 除 。
出所有隐藏文件， 包括操作系统文 件 ， 然 后 全 盘 搜 索 lpk . dll ， 这 时 会 发 现 很 多 目 录 下 都 存 在 lpk . dll 文 件 ， 大小一致，属性为隐藏。
注 意 ： 全 盘 搜 索 lpk . dll 时 要 注 意勾选 “搜索隐藏的文件和文件 夹”，如下图所示：
dll 。
图 4：病毒现象：很多进程下都加载 了 lpk . dll 。
lpk . dll 病 毒 专 杀 方 法 1 把 之 前 搜 索 到 的 lpk . dll 文 件 全 部 删 除 ( 不 包 括 C : WINDOWSsystem32 和 C : WINDOWSsystem32dllcache 目 录 ) 。 删 除 C : DocumentsandSettingsAdministratorLocalSettingsTemp 目 录 下 大 小 为 36KB 的 hrlXX . tmp 文 件。 2 某 些 lpk . dll 删 除 时 会 出 现 系 统报错，如下图。
lpk . dll 是 什 么 病 毒 lpk . dll 病 毒 的 典 型 特 征 是 感 染 存在可执行文件的目录， 并隐藏自 身，删除后又再生成，当同目录中的 exe 文 件 运 行 时 ， lpk . dll 就 会 被 Windows 动 态 链 接 ， 从 而 激 活 病 毒 ， 进 而导致不能彻底清除。 所以当发现磁盘很多文件夹中 都 存 在 lpk . dll 文 件 时 ， 那 么 基 本 可 以 肯 定 您 的 计 算 机 已 经 中 招 了 。 lpk . dll 病 毒 是 个 恶 意 后 门 病 毒 ， 计 算 机 染毒后会在后台下载更多恶意程 序，可造成用户机器被远程控制、资 料被盗等状况。 很多用户在发现电 脑中招后会习惯性地重装系统，但 重装系统并不能清除非系统盘目录 下 的 lpk . dll 文 件 ， 因 此 当 运 行 其 他 盘符目录下的可执行文件时又会激 活病毒，再次全盘感染，令人十分头 疼。 lpk . dll 病 毒 现 象 1 通过文件夹选项的设置显示
安全咖啡屋
42 Com puter ＆ Network 计 算 机 与 网 络 创 新 生 活
了解 lpk.dll 是什么病毒 以及 lpk.dll 病毒专杀方法？
lpk . dll 病 毒 是 当 下 比 较 流 行 的 一类病毒， 而正常系统本身也会存 在 lpk . dll 文 件 ， 这 足 以 说 明 这 类 病 毒 的 危 险 性 。 系 统 本 身 的 lpk . dll 文 件 位 于 C : WINDOWSsystem32 和 C : WINDOWSsystem32dllcache 目 录 下 。 下 面 小 编 就 带 大 家 了 解 下 lpk . dll 是 什 么 病 毒 以 及 lpk . dll 病 毒 专 杀 方 法 。
