冰河

著名網路安全人物和以其昵稱命名的木馬病毒

早期的遠控木馬程序

冰河木馬開發於1999年,在設計之初,開發者的本意是編寫一個功能強大的遠程控制軟體。但一經推出,就依靠其強大的功能成為了黑客們發動入侵的工具,並結束了國外木馬一統天下的局面,跟後來的灰鴿子等等成為國產木馬的標誌和代名詞。HK聯盟Mask曾利用它入侵過數千台電腦,其中包括國外電腦。

簡介


冰河v6.0GLUOSHI專版為2001年12月15日發布。
目的:遠程訪問、控制。
選擇:可人為製造受害者和尋找"養馬場",選擇前者的基本上可省略掃描的步驟。
註明:冰河有多個版本。
冰河,該軟體主要用於遠程監控,具體功能包括:
1.自動跟蹤目標機屏幕變化,同時可以完全模擬鍵盤及滑鼠輸入,即在同步被控端屏幕變化的同時,監控端的一切鍵盤及滑鼠操作將反映在被控端屏幕(區域網適用);
2.記錄各種口令信息:包括開機口令、屏保口令、各種共享資源口令及絕大多數在對話框中出現過的口令信息,且1.2以上的版本中允許用戶對該功能自行擴充,2.0以上版本還同時提供了擊鍵記錄功能;
3.獲取系統信息:包括計算機名、註冊公司、當前用戶、系統路徑、操作系統版本、當前顯示解析度、物理及邏輯磁碟信息等多項系統數據;
4.限制系統功能:包括遠程關機、遠程重啟計算機、鎖定滑鼠、鎖定系統熱鍵及鎖定註冊表等多項功能限制;
5.遠程文件操作:包括創建、上傳、下載、複製、刪除文件或目錄、文件壓縮、快速瀏覽文本文件、遠程打開文件(提供了四中不同的打開方式——正常方式、最大化、最小化和隱藏方式)等多項文件操作功能;
6.註冊表操作:包括對主鍵的瀏覽、增刪、複製、重命名和對鍵值的讀寫等所有註冊表操作功能;
7.發送信息:以四種常用圖標向被控端發送簡簡訊息;
8.點對點通訊:以聊天室形式同被控端進行在線交談。

木馬清除方法


清除木馬v1.1
打開註冊表Regedit
點擊目錄至:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
查找以下的兩個路徑,並刪除
" C:\windows\system\ kernel32.exe"
" C:\windows\system\ sysexplr.exe"
關閉Regedit
重新啟動到MSDOS方式
刪除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木馬程序
重新啟動。OK
清除木馬v2.2
伺服器程序、路徑用戶是可以隨意定義,寫入註冊表的鍵名也可以自己定義。
因此,不能明確說明。
你可以察看註冊表,把可疑的文件路徑刪除。
重新啟動到MSDOS方式
刪除於註冊表相對應的木馬程序
重新啟動Windows。OK