首页 | DV动态 | 数码产品 | 视频采编 | 网站建设 |
【收藏DV】
  最近3月排行
·许小年:碎片化信息让人变得无知,要少看手机多读书
·许小年:浅析日本失去的30年——兼评“资产负债表衰退”
·985、211、双一流
·上了大学也没体面工作,我们是否还要上大学
·赤马劫
·高中英语-单词表
病毒反抗杀毒软件的主要手段
2008/4/12 16:49:16
 

  如今出现了越来越多的对抗杀毒软件以及检测工具扫描的病毒,他们会关闭甚至删除杀毒软件以及检测工具。一般用户很难判断他们藏在哪里,做了些什么。而这时杀毒软件以及安全工具确普遍无法运行。

  本文主要列举说明一些常见抗杀软类病毒的需要注意的检测位置。

  一:Run键值

  典型病毒:AV终结者变种

  目的现象:开机启动双进程坚守、关闭杀毒程序等。

  检测位置:

  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

  补充说明:该位置属于常规启动项,很多程序会写。

  二:执行挂钩

  典型病毒:大量恶意软件以及病毒均会写入

  目的现象:杀毒软件难于清理、关闭杀毒程序等。

  检测位置:

  HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellexecuteHooks

  补充说明:很少有正常程序会写入该位置,病毒几率非常大。典型例外:瑞星反病毒软件

  三:Appinit_dlls

  典型病毒:机器狗新变种、磁碟机变种。

  目的现象:安全模式也加载、关闭杀毒程序等。

  检测位置:

  HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\Appinit_Dlls

  补充说明:很少有正常程序会写入该位置,病毒几率变态大。典型例外:AVG互联网安全套装

  四:服务以及驱动:

  典型病毒:灰鸽子变种

  目的现象:难于发现与清理、关闭杀毒程序等。

  检测位置:

  HKLM\System\CurrentControlSet\Services

  补充说明:病毒写入底层服务与rootkits驱动,导致清除困难。

  五:映像劫持

  典型病毒:大多数AV病毒均会写入此位置

  目的现象:简单粗暴地让某个特定文件名的文件无法执行

  检测位置:

  HKLM\Software\Microsoft\WindowsNT\CurrentVersion\ImageFileexecutionOptions

  补充说明:被劫持的文件不一定是exe文件。如Papa在处理恐怖鸡感染号病毒时,为了防止ani.ani还原病毒主文件,便劫持ani.ani文件。

  六:目前已知删除安全软件文件的检测位置

  典型病毒:飘雪变种

  目的现象:杀毒软件安装文件被删除、sreng改名后运行立即被删除等。

  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler

  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

  补充说明:已知变种均会修改hosts文件、在QQ目录下写入隐藏的病毒dll并且修改APIHOOH。

  七:Boot.ini文件

  典型病毒:磁碟机变种

  目的现象:独占访问Boot.ini文件,导致未更新的grub重启删除工具失效。

  检测位置:Boot.ini

  补充说明:在Vista操作系统下对该项检测没有意义。

  小结:

  检测报告的分析工作需要具备常用软件以及操作系统丰富的使用经验,才可以比较迅速准确地定位到具体问题。本文仅将对抗杀

  软类病毒常见的关注位置找出来供大家参考。其实还有很多病毒会加载的位置本文不做详述,请具体问题具体分析。

  附件为PapaCheck检测工具v3.0目前可以比较全面地检测到包括对抗杀毒软件、删除安全工具病毒在内的非感染型病毒的写入位置。

  如在Vista下面使用时,需要右键单击该文件后点击“以管理员身份运行”。

  注:在脚本运行时请阅读其中的免责信息。在检测的过程中有可能会提示“没有找到pkmws.dll,因此这个程序未能启动重新安装应用可能会修复此问题”点击“确定”即可。提示“插入软盘”,点击”“取消”即可。相关提示并不影响检测报告的生成。如果您没有执行扫描操作,按“CTRL+C”键终止或直接关闭了程序,则会在当前目录生成papa.com、papascan.bat、papawb.com、papashell.exe、papatask.exe这六个文件。相关文件释放与调用不会对您系统造成影响,检测结束后直接删除即可。


(DVOL本文转自:中国DV传媒 http://www.dvol.cn)

欢迎关注微信公众账号:手机烟台(mYantai)

 

  上一篇:电信ISP使用“网络尖兵”限制用户共享上网
  下一篇:信息安全管理:阻止SSH口令尝试工具软件
      更多...
::打印本页 ::      ::关闭窗口::


版权所有© 数码在线网站 DV OnLine©  鲁ICP备12016322号-1