卡饭论坛's Archiver



coodfire25 发表于 2008-8-30 13:16

卡巴2009主动防御记录到可以keylogger行为，不知什么意思

最近卡巴2009主动防御记录到可以keylogger行为，不知什么意思
总是不经意的出现，没有什么规律
不知道是防御成功呢还是没有
大侠及时一下啊
不胜感激
报告如下

2008/8/30 0:00:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:00:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:00:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:01:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:01:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:01:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:02:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:02:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:02:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:03:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:03:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:03:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:04:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:04:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:04:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:05:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:05:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:05:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:06:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:06:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:06:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:07:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:07:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:07:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:08:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:08:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:08:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:09:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:09:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:09:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:10:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:10:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:10:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:11:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:11:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:11:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:12:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:12:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:12:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:13:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:13:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:13:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:14:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:14:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:14:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:15:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:15:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:15:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:16:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:16:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:16:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:17:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:17:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:17:15        未终止: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE                2008/8/30 0:18:15        检测到: Keylogger        不存在        键盘记录器活动        \DRIVER\ALIDEVICE

jefffire 发表于 2008-8-30 13:30

DRIVER\ALIDEVICE是淘宝的驱动，那个不存在偶也有不知道是什么[:23:]

西风萧雨 发表于 2008-8-30 13:32

我的也一样，装了旺旺和支付宝安全控件卡巴就会报～～

coodfire25 发表于 2008-8-30 17:12

是啊，你这么一说我想起来了，的确是在装了阿里旺旺之后出现的
可是用卡巴扫描又什么都没有发现
总是出来，很烦人
有什么解决办法吗？
除了卸载卡巴或者是阿里旺旺

danger 发表于 2008-8-30 17:47

把提示那个键盘记录的选项去掉。不过不推荐

2714785 发表于 2008-8-30 17:55

keyloqqer.Trojan是木马间谍，这是一种更新、更隐蔽的方法。通过修改虚拟设备驱动程序(VXD)或修改动态遵掇库 (DLL)来加载木马。这种方法与一般方法不同，它基本上摆脱了原有的木马模式---监听端口，而采用替代系统功能的方法(改写vxd或DLL文件)，木马会将修改后的DLL替换系统已知的DLL，并对所有的函数调用进行过滤。对于常用的调用，使用函数转发器直接转发给被替换的系统DLL，对于一些相应的操作。实际上。这样的事先约定好的特种情况，DLL会执行一般只是使用DLL进行监听，一旦发现控制端的请求就激活自身，绑在一个进程上进行正常的木马操作。这样做的好处是没有增加新的文件，不需要打开新的端口，没有新的进程，使用常规的方法监测不到它。在往常运行时，木马几乎没有任何瘫状，且木马的控制端向被控制端发出特定的信息后，隐藏的程序就立即开始运作。
keylogger.exe是一个键盘记录器程序。会记录你的键盘录入的内容

第一种办法：找到了彻底删除支付宝的办法，卡巴不再报警了
新版的支付宝还是有这个漏洞，老是偷偷监控用户键盘输入，还不给解决，不装系统无法登陆
好在牛人多，今天找到了解决办法，不敢独享，拿来晒晒。

0、复制C:\Windows\system32\drivers\Alidevice.sys，更名为Alidevice.sy~以备不时之需
1、去支付宝首页下载最新版支付宝控件安装文件 [url=http://img.alipay.com/download/2121/aliedit.exe][color=#2f5fa1]http://img.alipay.com/download/2121/aliedit.exe[/color][/url]，（解铃还需系铃人啊，让aliedit.exe把它领回去）
2、关闭你所打开的所有窗口，执行安装程序（对，你没看错！）
3、安装结束后，再次运行aliedit.exe，这时安装程序会提示是否要先执行卸载，请确认卸载（大家动作慢一点看清楚了再确认）
4、这一步很关键，看清楚，一定看清楚！aliedit.exe 会提示是否继续执行安装，不要装了，点退出！
5、运行REGEDIT，查找ALIDEVICE关键字，找到的都删掉！删不掉的，不要管了。
6、退出，重启，大功告成。
7、重启后验证是否删除干净：
● C:\WINDOWS\SYSTEM32\DRIVERS无ALIDEVICE.SYS;
● 优化大师检查IE插件无ALIEDIT；
● HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\PNP0303\4&5289e18&0(这个值可能和你的不一样，没关系）\Control\ActiveService 指向Kbdclass，没卸载前是指向Alideivce.sys；
● IE内容中的证书需手动删除；
● 在C:\搜索ali*.*，只会找到Aliedit目录，别留啦，删吧！
● 打开设备管理器，看吧，键盘驱动详细信息只有两条了，C:\Windows\system32\drivers\Alidevice.sys这一条消失啦！
8、大功告成！再没有一双隐形的眼睛盯着我啦！再用卡巴测，就不会有盗号木马的提示了。


第二种办法：关于alidevice键盘监听是不是流氓软件就不讨论了，起码淘宝不给卸载alidevice键盘监听的方法，就此一点已经足够流氓。

我验证过10台机器，以下方法可干净卸载。
1. 修改HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\UpperFilters键值，把alidevice删除，注意kbdclass保留，不要删除，否则重启机器你的键盘可能失效。

2. 删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\PNP0303\4&5289e18&0，这里直接删除会报错，用icesword这个软件删除4&5289e18&0(icesword V1.22绿色版可以在华军软件[url=http://www.newhua.com/soft/53325.htm][color=#2f5fa1]http://www.newhua.com/soft/53325.htm[/color][/url]下载)
(没有安装过支付宝及阿里巴巴等控件的 注册表里就没有ACPI\PNP0303\4&5289e18&0)

3. 删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Alidevice

4. 删除Windows\System32\Drivers\AliDevice.sys文件


5. 重启系统

6. 部分电脑可能出现"发现新硬件"的提示，继而要求重启系统，这是由于干净删除alidevice以后，键盘恢复初始状态，在系统重新注册的缘故。


[img=800,600]http://soft.deepin.org/attachment/208_902958_b49c883ebdaabdb.jpg[/img]

我既没安装过支付宝也没去过阿里巴巴网站,那是怎么插进来的呢?一个是封装系统带有,另一个就是软件捆绑来的!
键盘的驱动程序里面本来两条(见下图)
如果你的驱动程序里有三条多了一条未数字签名的alidevice.sys那就是它了
未删除前

[img]http://soft.deepin.org/attachment/208_902958_6020211dbee57bf.jpg[/img]

[img]http://soft.deepin.org/attachment/208_902958_cc31a692aa4f511.jpg[/img]  

删除后

[img]http://soft.deepin.org/attachment/208_902958_053e67e4cf8c471.jpg[/img]   

该死的kbdclass记录一整天了!终于消灭了这鬼东西，赞一个卡巴2009

coodfire25 发表于 2008-8-31 09:36

谢谢2714785
可是卸载了支付宝怎么用淘宝呢？
还要买东西的啊

aribeth199 发表于 2008-8-31 10:08

要在提示的时候添加到信任区。

清澈燃烧 发表于 2008-8-31 10:12

有时用上银行网站，或玩游戏都能报，应该不是病毒[:01:]

liuxu5 发表于 2008-8-31 10:44

我也遇上了这个问题，出现一大堆的键盘记录器活动报告，直接删支付宝吧，反正我也不经常使用。谢谢楼主和2714785

情思涯天 发表于 2008-8-31 19:05

*** 作者被禁止或删除 内容自动屏蔽 ***

wmwuwei 发表于 2008-10-18 22:29

学了很受益.特别是用安装程序卸载软件很有意思.

rushui999 发表于 2008-12-4 11:37

才装了卡巴，就遇到了这个问题，果然在卡饭论坛找到了答案啊!

页: [1]

Powered by Discuz! Archiver 6.1.0  © 2001-2007 Comsenz Inc.