Windows 7中隱藏著一個“上帝模式”,用戶們可以方便地通過“超級控制面板”來調用系統內的相關功能。啟用“上帝模式”的方法也很簡單,只需在桌面新建一個文件夾,并將它命名為“GodMode.{ED7BA470-8E54-465E-825C-99712043E01C}”即可。不妙的是,惡意軟件也盯上了系統中的這個隱藏功能。McAfee研究人員解釋到:
其允許用戶創建一個特殊名字的文件夾,從而扮演指向Windows設置和特殊文件夾的快捷方式的角色,比如控制面板、我的計算機、打印文件夾等。
對管理員來說,‘上帝模式’可以派上大用場,但攻擊者們卻將它用于邪惡的目的。
放在這個‘超級控制面板’的文件,是無法通過資源管理器輕松訪問到的,因為它的打開方式與其它文件夾不同,是用戶重定向。
以Dynamer為例,創建了這個注冊表鍵值后,它會在Windows啟動時自動運行,然后持續重啟:
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
lsm = C:UsersadminAppDataRoamingcom4.{241D7C96-F8BF-4F85-B01F-E2B043341A4B}lsm.exe
該命令不僅允許了惡意軟件的運行,還打開了遠程桌面連接的控制面板作掩護。
這個惡意軟件用了‘com4’的名字,讓受害者在面對它是相當棘手。因為它會被認定為是一個Windows指令,對于文件夾的檢測又是‘此路不通’的。
為了干掉這個惡心的惡意軟件,McAfee給出了如下技術建議:
首先終止掉這個惡意軟件的進程(通過任務管理器或其它工具來才做);
然后在命令提示符(cmd.exe)中運行如下指令——
rd “\.%appdata%com4.{241D7C96-F8BF-4F85-B01F-E2B043341A4B}” /S /Q