网管联盟论坛 - 共享互助,专助进取

 找回密码
 立即注册

QQ登录

只需一步,快速开始

深蓝云维护 三层集中管理 手机远程深蓝软件微信公众号深蓝防逃费V6(多收费共存/全自动处理)
查看: 631|回复: 2

[故障解决] 用户朋友反应一运行DBNT(深蓝维护通道)就弹出两个百度的故障解决,过程很曲折

[复制链接]

29

主题

45

帖子

91

积分

DBNT技术支持

Rank: 21Rank: 21Rank: 21Rank: 21Rank: 21Rank: 21

发表于 2018-9-30 20:09:10 | 显示全部楼层 |阅读模式
本帖最后由 蓝蓝 于 2018-10-18 19:26 编辑

      一个礼拜前,我们接到一位用户朋友反应故障: 纯净系统,只要一运行 dbntcli.exe 就会弹出两个百度,不运行就不会。因为现场容易复现,我们觉得一下就能解决,但实际解决的过程非常曲折。相信对于使用DBNT或者没有用DBNT的朋友都是有帮助的,所以分享一下解决过程,提供一种解决问题的思路与大家互相学习,共同探讨。

QQ截图20180930193932.jpg


QQ图片20180930104114.png



      我们确实没有这种东西,也不可能有这种东西,但用户坚称只有运行dbnt才会出现故障,不运行不会。DBNT开发组立即高度重视,我们的技术人员第一时间赶赴现场,立即启动应急预案, 全力仔细检查现场、充分指挥调度,现场工作有序展开。


QQ截图20180930194255.jpg


      经过我们的检查发现,发现了非常神奇的问题,用户DBNT客户端目录有一个 dbntcli.exe 这个真正的客户端进程是隐藏属性,而同目录多了一个 dbntclisvr.exe 我们以为又是和上次一样服务器被入侵(http://bbs.wglm.net/thread-210837-1-1.html),而实际上事实远没有这么简单,生活每天都会有惊喜。

QQ截图20180930112019.jpg



      因为用户网吧比较多,可能在忙别的网吧,暂时中断了解决过程。这一忙就是好多天。每天起床,我都会问这位朋友,问题解决了吗,得到的答案都是问题没有解决,直到今天,才又有时间进行详细的测试。

QQ截图20180930194758.jpg


QQ截图20180930194806.jpg


QQ截图20180930194833.jpg


      我们今天一开始又检查 dbntcli.exe 是否被修改,以及是否有注入情况,检查的结果是 dbntcli.exe 是官方文件,也没有注入的情况。有位朋友提醒我们这个网址可能是*****的,但我坚信****是有一家有责任的大公司,是不可能做出这样的事来的,事实也证明,不是他们做的。

      当我们在检查注入的时候,发现创建dbntclisrv.exe 这个进程的线程居然是主线程,不是注入的线程,那说明这个文件是自身创建的。于是我们又在加载的组件和DLL中找原因。

      经过我们的反复对比,线程调试,发现 Fastshutdownicon.dll 这个文件有异常,这个文件是DBNT的VIP功能中的闪电关机DLL,如果开启VIP会释放此文件到 c:\windows\dbntvip\ 目录内,我们官方文件正常的大小是 2.02MB ,用户朋友服务器上的是 2.20MB文件。

QQ截图20180930125245.jpg



      我们直接随便用个工具来加载这个DLL,立即问题重现,只要加载这个DLL 就生成一个同名+SVR的exe文件,并弹出两个百度框。那么这个文件是黑客入侵修改了服务器文件吗?答案是否定的。

QQ截图20180930195702.jpg


      我们将此文件拿回来分析,马上发现是中了蠕虫病毒(感谢小曹),一个横行网络十八年的老病毒了,只不过这个应该是被人修改过的弹百度网址。

微信图片_20180930200049.png



       至此,历经168小时,才算彻底找到问题所在,用户服务器上的 Fastshutdownicon.dll 被蠕虫病毒感染,导致了故障的发生。大家都松了一口气,用户也表示情绪很稳定,可以睡个好觉,庆功大会的召开工作正在筹备中.

      我们此时建议用户全盘杀毒,用专杀工具,因为考虑这是个变种,我们对蠕虫病毒的推荐处理方式是全盘格式化,重新安装。同时提醒大家,这个病毒由最近很多外挂传播,全盘感染EXE HTM HTML DLL等文件过(如CF登录上去提示at171.dll) 均和此病毒有关。

     感谢阅读,最后祝您使用愉快,我们一直在坚持做出实用的,能帮助到您集中管理,智能维护的软件,同时也能帮助到我们自己网吧维护的工具。

      有BUG或者新功能建议,或者软件使用中遇到任何问题,都欢迎联系我们在线客服:https://slyun.com/con 我们一定及时给您满意的解决。(其实也是尽快的解决我们自己网吧中遇到的问题。)

       DBNT开发团队 敬上。

回复

使用道具 举报

306

主题

1497

帖子

1595

积分

深蓝软件商业用户

Rank: 16Rank: 16Rank: 16Rank: 16

VIP 深蓝TCP维护通道

发表于 2018-9-30 20:24:14 | 显示全部楼层
还真曲折
回复 支持 反对

使用道具 举报

148

主题

766

帖子

823

积分

炉火纯青(06级)

Rank: 6Rank: 6

发表于 2018-9-30 20:59:20 | 显示全部楼层
搞技术真累起得比鸡早吃得比猪少
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

联盟首页|软件下载|联系我们|手机版|小黑屋|纯文字版|网管联盟 ( 粤ICP备17103197号-2 )

GMT+8, 2018-12-14 06:18 , Processed in 0.160588 second(s), 29 queries .

Powered by Discuz! X3.2

© 2001-2013 Comsenz Inc.

快速回复 返回顶部 返回列表