什么是 Run a dll as an app ？
來自:
http://www.kesin.cn木馬：Run a DLL as an App
木馬名稱：3721潛伏者
執(zhí)行文件大小：WIN9X下：24KB 2000/XP下：31/32KB
特征：感染系統(tǒng)后自動與3721網(wǎng)絡(luò)實(shí)名系統(tǒng)的Cnsmin.dll關(guān)聯(lián)，并在WIN9X系統(tǒng)的WINDOWS目錄下生成不規(guī)則名稱的.EXE文件，2000和XP下則在X：＼WINDOWS＼SYSTEM32下生成
特殊特征:與Cnsmin.dll關(guān)聯(lián)(這招很毒),有雙系統(tǒng)的機(jī)子自動同時感染雙系統(tǒng)(這招更毒)
非重要特征：QQ啟動異常（至少導(dǎo)致珊瑚蟲版的QQ異常），報(bào)告出錯并且輸入密碼后感覺還沒登陸QQ就跳掉了
解決方法：抓住這個木馬作者最得意的地方，利用現(xiàn)在國人電腦上幾乎人人都有的網(wǎng)絡(luò)實(shí)名系統(tǒng)的關(guān)鍵動態(tài)鏈接庫Cnsmin.dll關(guān)聯(lián)，利用 Cnsmin.dll在開機(jī)后時刻重復(fù)運(yùn)行的特征，使木馬啟動程序在被禁止后馬上重新生成新的啟動文件（在WINDOWS的注冊表 HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Run有關(guān)的幾項(xiàng)里注冊，以達(dá)到啟動加載的目的），這是這個軟件的最成功之處，也是最失敗的地方，因?yàn)檫@是一個要害，利用這個要害，我們： 網(wǎng)羅天下 www.Txia.net
1）首先卸載網(wǎng)絡(luò)實(shí)名功能，（其中WIN9X用戶可以先斷開網(wǎng)絡(luò)后操作以防止“菜客”在你操作時從中作梗）直接在控制面板的刪除/添加程序里反安裝； 2000 及XP等NT內(nèi)核操作系統(tǒng)用戶因?yàn)闊o法在控制面板的刪除/添加程序里找到有關(guān)卸載項(xiàng)，所以要到網(wǎng)絡(luò)實(shí)名的網(wǎng)站http: //www.3721.com/setup-...頁面的第二項(xiàng)里選擇卸載，所以不能斷開網(wǎng)絡(luò)（誰有可以卸載網(wǎng)絡(luò)實(shí)名的工具請推薦，謝謝）。
2） WIN9X/XP用戶運(yùn)行msconfig命，打開啟動菜單，找到木馬的啟動項(xiàng)（注：文件名是隨機(jī)的，不一樣，但都是.exe文件，并且命令行里有明顯和 Cnsmin.dll關(guān)聯(lián)的顯示，具體可參看附圖），2000用戶可選擇從98用戶那里COPY一個msconfig.exe來完成該操作（運(yùn)行 msconfig時有提示出錯，不用理會，點(diǎn)確定就行，接下來的操作和9X/XP用戶一樣，一般卸載網(wǎng)絡(luò)實(shí)名后該啟動項(xiàng)就自動刪除了，但我們還要 ……看３）?！ ?br>3）重啟電腦，雙系統(tǒng)用戶請還是啟動剛才運(yùn)行的系統(tǒng)，否則系統(tǒng)之間會交叉感染。WIN9X用戶到WINDOWS目錄下查找大小為 24KB和31/32KB的.exe可執(zhí)行文件，如果該文件符合圖中的幾個的特征，即文件版本為5.1.2600.0，描述為：Run a DLL as an App這兩個待征，即為木馬服務(wù)器端執(zhí)行文件，好了，現(xiàn)在把它shift+Del掉吧；2000和XP用戶則應(yīng)到windows＼system32下查找，特征相同。不要試著在做完1）2）步工作或重啟電腦前用軟件或2000/XP的進(jìn)程管理器終止該木馬的用戶進(jìn)程，因?yàn)槟憬K止不了的，試過你就知道了。（注意不要把WIN9X自帶的RUNDLL32.exe和rundll.exe誤刪掉，分清楚）。
網(wǎng)羅天下 www.Txia.net
4）雙系統(tǒng)用戶在當(dāng)前操作系統(tǒng)下到另一系統(tǒng)的分區(qū)下的相應(yīng)文件夾下刪除有上述待征的木馬程序，注意另一系統(tǒng)下木馬程序文件不止一個，請逐個找出刪除，然后重啟電腦到該操作系統(tǒng)下進(jìn)行上面從頭進(jìn)行1）2）3）4）。。。等的操作。（注意XP或2000用戶如果系統(tǒng)盤為NTFS結(jié)構(gòu)，請先在XP/2000系統(tǒng)下進(jìn)行除馬操作，因?yàn)槟闳绻Q在9X系統(tǒng)下，你無法看到NTFS盤也無法進(jìn)行3）的有關(guān)操作?！ ?br>5）到我的文檔下查找有關(guān)文件，你會發(fā)現(xiàn)有一個或以上的文件是你在感染木馬時運(yùn)行過的文檔，圖片，或者別的，請不要點(diǎn)擊它們，而是關(guān)掉按WEB頁查看的功能，然后把這些文件刪除掉，如果你分不清楚究竟是哪些文件，請按shift+Del刪掉所有老文件以外的所有可能的新文件，圖片，或者文檔，因?yàn)樗鼈兌际莻窝b的（非常高明，一點(diǎn)都看不出來的）請刪掉它們，也許有幾個正好是你的網(wǎng)友或朋友傳過來的MM圖片或者別的圖片，千萬不要再多看它們一眼，否則大俠請重新來過吧，重復(fù)1、2、3步?！ ?br>6）更改你所有用過的密碼，系統(tǒng)、QQ、EMAIL及網(wǎng)上所有用到的登陸密碼，無論是以前用的還是現(xiàn)在用的，因?yàn)槟抉R的一個顯著特點(diǎn)就是查看所有歷史內(nèi)存駐留密碼（其實(shí)是在硬盤上存著的），以及你當(dāng)前的鍵盤操作?！ 〉雀鞔髿⒍痉篮谲浖壓?，大家可用這些軟件清除木馬，目前還沒有有效的軟件能夠清除該木馬。殺不如防，所以請大家不要隨意打開網(wǎng)上陌生網(wǎng)友的圖片，文檔等，也不要聽陌生網(wǎng)友的指示去某某網(wǎng)頁看
