网管谈：内网病毒缉拿记(1)(2)

四、高级检测——确定目标：

平时这个分支机构的计算机都是由笔者和几个同伴一起负责维护，按照常理来说安全防范级别应该比较高，系统自动更新补丁都随时安装，杀毒软件也使用的是卡巴斯基，那么为什么还会在本机出现故障呢?笔者再次检测发现出问题的几台计算机的卡巴斯基并没有升级到最新病毒库，于是手工升级，并在安全模式下全面查杀本地硬盘各个分区，确保无毒后再次访问办公系统，结果令人遗憾的是故障依旧。不过每当访问这两个服务器应用服务时卡巴斯基都给出了发现危机的提示——malcious http object :access denied。这说明在访问服务器时页面要求自动跳转到http://ck1.in/n.js这个地址，而该地址被卡巴斯基过滤禁止访问了。笔者测试了所有出问题的机器都在访问服务器时卡巴斯基给出警报提示。(如图2)

图2

由于之前已经确定了服务器自身没有问题，所以排除了服务器上存在木马或被篡改添加恶意脚本的可能，因此我们确定了目标，主要问题是病毒带来的，该病毒被卡巴斯基命名为trojan program trojan-downloader.js.agent.lg，是一种木马病毒。笔者在故障机上直接访问http://ck1.in/n.js这个地址出现了该地址被杀毒软件屏蔽的提示，看来该地址是万恶之源。(如图3)

图3