防范反抗殺毒軟件工作電腦病毒的實(shí)際操作流程 |
發(fā)布時(shí)間: 2012/7/4 15:38:54 |
下面的文章主要介紹的是注意檢測(cè),防范反抗殺毒軟件工作電腦病毒的實(shí)際操作,如今出現(xiàn)了越來(lái)越多的對(duì)抗殺毒軟件及檢測(cè)工具掃描的病毒,他們會(huì)關(guān)閉甚至刪除殺毒軟件以及檢測(cè)工具。一般用戶很難判斷他們藏在哪里,做了些什么。 而這時(shí)殺毒軟件以及安全工具確普遍無(wú)法運(yùn)行。 如今出現(xiàn)了越來(lái)越多的對(duì)抗殺毒軟件以及檢測(cè)工具掃描的病毒,他們會(huì)關(guān)閉甚至刪除殺毒軟件以及檢測(cè)工具。一般用戶很難判斷他們藏在哪里,做了些什么。而這時(shí)殺毒軟件以及安全工具確普遍無(wú)法運(yùn)行。 本文主要列舉說(shuō)明一些需要注意和檢測(cè)的系統(tǒng)位置,以防范常見(jiàn)的抗殺軟類病毒。 一:Run鍵值 典型病毒:AV終結(jié)者變種 目的現(xiàn)象:開(kāi)機(jī)啟動(dòng)雙進(jìn)程堅(jiān)守、關(guān)閉殺毒程序等。 檢測(cè)位置: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 補(bǔ)充說(shuō)明:該位置屬于常規(guī)啟動(dòng)項(xiàng),很多程序會(huì)寫(xiě)。 二:執(zhí)行掛鉤 典型病毒:大量惡意軟件以及病毒均會(huì)寫(xiě)入 目的現(xiàn)象:殺毒軟件難于清理、關(guān)閉殺毒程序等。 檢測(cè)位置: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks 補(bǔ)充說(shuō)明:很少有正常程序會(huì)寫(xiě)入該位置,病毒幾率非常大。典型例外:瑞星反病毒軟件 三:Appinit_dlls 典型病毒:機(jī)器狗新變種、磁碟機(jī)變種。 目的現(xiàn)象:安全模式也加載、關(guān)閉殺毒程序等。 檢測(cè)位置: HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\Appinit_Dlls 補(bǔ)充說(shuō)明:很少有正常程序會(huì)寫(xiě)入該位置,病毒幾率變態(tài)大。典型例外:AVG互聯(lián)網(wǎng)安全套裝 四:服務(wù)以及驅(qū)動(dòng) 典型病毒:灰鴿子變種 目的現(xiàn)象:難于發(fā)現(xiàn)與清理、關(guān)閉殺毒程序等。 檢測(cè)位置: HKLM\System\CurrentControlSet\Services 補(bǔ)充說(shuō)明:病毒寫(xiě)入底層服務(wù)與rootkits驅(qū)動(dòng),導(dǎo)致清除困難。 五:映像劫持 典型病毒:大多數(shù)AV病毒均會(huì)寫(xiě)入此位置 目的現(xiàn)象:簡(jiǎn)單粗暴地讓某個(gè)特定文件名的文件無(wú)法執(zhí)行 檢測(cè)位置: HKLM\Software\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions 補(bǔ)充說(shuō)明:被劫持的文件不一定是exe文件。如Papa在處理恐怖雞感染號(hào)病毒時(shí),為了防止ani.ani還原病毒主文件,便劫持ani.ani文件。 六:目前已知?jiǎng)h除安全軟件文件的檢測(cè)位置 典型病毒:飄雪變種 目的現(xiàn)象:殺毒軟件安裝文件被刪除、sreng改名后運(yùn)行立即被刪除等。 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad 補(bǔ)充說(shuō)明:已知變種均會(huì)修改hosts文件、在QQ目錄下寫(xiě)入隱藏的病毒dll并且修改APIHOOH。 七:Boot.ini文件 典型病毒:磁碟機(jī)變種 目的現(xiàn)象:獨(dú)占訪問(wèn)Boot.ini文件,導(dǎo)致未更新的grub重啟刪除工具失效。 檢測(cè)位置:Boot.ini 補(bǔ)充說(shuō)明:在Vista操作系統(tǒng)下對(duì)該項(xiàng)檢測(cè)沒(méi)有意義。 小結(jié):檢測(cè)報(bào)告的分析工作需要具備常用軟件以及操作系統(tǒng)豐富的使用經(jīng)驗(yàn),才可以比較迅速準(zhǔn)確地定位到具體問(wèn)題。本文僅將對(duì)抗殺軟類病毒常見(jiàn)的關(guān)注位置找出來(lái)供大家參考。其實(shí)還有很多病毒會(huì)加載的位置本文不做詳述,請(qǐng)具體問(wèn)題具體分析。 PapaCheck檢測(cè)工具v3.0目前可以比較全面地檢測(cè)到包括對(duì)抗殺毒軟件、刪除安全工具病毒在內(nèi)的非感染型病毒的寫(xiě)入位置。如在Vista下面使用時(shí),需要右鍵單擊該文件后點(diǎn)擊“以管理員身份運(yùn)行”。 注:在腳本運(yùn)行時(shí)請(qǐng)閱讀其中的免責(zé)信息。在檢測(cè)的過(guò)程中有可能會(huì)提示“沒(méi)有找到pkmws.dll,因此這個(gè)程序未能啟動(dòng)重新安裝應(yīng)用可能會(huì)修復(fù)此問(wèn)題”點(diǎn)擊“確定”即可。提示“插入軟盤(pán)”,點(diǎn)擊”“取消”即可。相關(guān)提示并不影響檢測(cè)報(bào)告的生成。如果您沒(méi)有執(zhí)行掃描操作,按“CTRL+C”鍵終止或直接關(guān)閉了程序,則會(huì)在當(dāng)前目錄生成papa.com、papascan.bat、papawb.com、papashell.exe、papatask.exe這六個(gè)文件。相關(guān)文件釋放與調(diào)用不會(huì)對(duì)您系統(tǒng)造成影響,檢測(cè)結(jié)束后直接刪除即可。 本文出自:億恩科技【mszdt.com】 服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)!虛擬主機(jī)域名注冊(cè)頂級(jí)提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |