下沙论坛

 找回密码
 注册论坛(EC通行证)

QQ登录

QQ登录

下沙大学生网QQ群8(千人群)
群号:6490324 ,验证:下沙大学生网。
用手机发布本地信息严禁群发,各种宣传贴请发表在下沙信息版块有问必答,欢迎提问 提升会员等级,助你宣传
新会员必读 大学生的论坛下沙新生必读下沙币获得方法及使用
查看: 4414|回复: 0
打印 上一主题 下一主题

病毒反抗杀毒软件的主要手段

[复制链接]

该用户从未签到

跳转到指定楼层
1
发表于 2008-4-14 22:02:22 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
  如今出现了越来越多的对抗杀毒软件以及检测工具扫描的病毒,他们会关闭甚至删除杀毒软件以及检测工具。一般用户很难判断他们藏在哪里,做了些什么。而这时杀毒软件以及安全工具确普遍无法运行。
- L7 k# p- S9 B8 J* r
# H5 _$ O% l; X1 n+ s  本文主要列举说明一些常见抗杀软类病毒的需要注意的检测位置。: Q( l5 _8 O/ ?7 }7 O

! L  v+ T) J  _% w8 D  一:Run键值
- Y  N* p$ H+ B! X: D- k& d' O% G( O
4 E* z, Q+ @- y  典型病毒:AV终结者变种
( J, ]% O0 t, b9 m
0 K. f# e; k8 m2 ~  目的现象:开机启动双进程坚守、关闭杀毒程序等。
9 f/ W4 |4 P* d$ }0 g1 F9 `; f; i# ?" l$ ?, W+ n+ ]
  检测位置:4 S( z( n  v5 c* W

' B$ y+ e  K# g. Y: `  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
: a5 p4 c5 Y% L, s
, b( k2 o; {  v. }% z  补充说明:该位置属于常规启动项,很多程序会写。
0 e8 H$ Z! n1 s( K
) X0 @4 l3 E" b0 l/ K  二:执行挂钩
5 d& P6 s% i& H: ?& R; h+ D+ U) l5 m( r0 C6 h; L
  典型病毒:大量恶意软件以及病毒均会写入
1 v0 {( R# x4 h" A" n0 ]: V4 b' J# ^; g2 W
  目的现象:杀毒软件难于清理、关闭杀毒程序等。
! {( o& R- G' d% U8 r7 b+ a/ [  B8 z2 Z3 @. B1 k0 g  d8 f
  检测位置:0 R% }6 t' i+ n' k
5 i& `  }' k. ~3 j! F' r. s* O7 [7 U
  HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
( h, r' ^  ?  Q8 `2 P& F
/ s  Q1 Y( x! \! K4 n+ v  补充说明:很少有正常程序会写入该位置,病毒几率非常大。典型例外:瑞星反病毒软件0 L9 W; u9 P7 w9 z) J& V$ p" \
" n3 V  y4 d- _0 @; A$ R
  三:Appinit_dlls
- q( G- n) I* s! N3 t1 R7 l' c  k9 f: t# i. Q
  典型病毒:机器狗新变种、磁碟机变种。: L$ d5 n9 `( D( J- ?: c% I

5 Q) B4 `# n  K1 {  目的现象:安全模式也加载、关闭杀毒程序等。
8 y+ N9 f& L+ ?# I; H
/ ^0 G4 {! e' U5 y7 h8 r2 K$ `  检测位置:; C7 H5 `. Q/ L1 t+ b$ P
! V8 b4 T) O( F% Q
  HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\Appinit_Dlls! J4 u+ l! R# j
3 \% h4 P- m* ]; M* l
  补充说明:很少有正常程序会写入该位置,病毒几率变态大。典型例外:AVG互联网安全套装( |- v5 c$ q( \8 k0 c9 c
  ^+ l, W4 z' D2 ~+ N/ r
  四:服务以及驱动:: Z- q& X. e2 n

5 Z: V7 ^% y( R0 w# f$ b  典型病毒:灰鸽子变种
" U5 u5 D. H# U: N" u; D$ B
+ I0 ]- A. A* s: Y% ~9 N  目的现象:难于发现与清理、关闭杀毒程序等。
; T, W1 d2 G1 ~" v/ L: W0 f2 ^: O- F0 Y2 @  d
  检测位置:
& a# K& H5 s: @2 \- T: @' P. P+ E1 B9 z. W" a0 H8 W4 t  y
  HKLM\System\CurrentControlSet\Services8 {+ y. F* @2 M- R* O0 p
, f" `' h5 C% M2 F% D9 n
  补充说明:病毒写入底层服务与rootkits驱动,导致清除困难。
2 R0 l) Z/ Y  B5 r/ O" w# @
2 e/ \0 q8 u$ n7 t; b& Q7 `' y, ~  五:映像劫持
0 |' M) F0 |" i3 W$ \. y" v2 n) \, W+ a  V# _. J
  典型病毒:大多数AV病毒均会写入此位置6 j5 P9 D" u! n$ f0 z3 J

6 \! ~6 Z! P+ |4 d; W/ t  目的现象:简单粗暴地让某个特定文件名的文件无法执行. X  W4 S7 X5 R9 R9 s/ I
* E/ ~# H! c3 b8 W" I. H/ l
  检测位置:+ M: H$ r2 u4 f  F6 a/ c9 q$ s

1 E; E! J9 L  F3 K. Y# B% H: L& G  HKLM\Software\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions
  Z! y, i2 S5 `5 w# B$ ?+ M1 o2 [' e6 \6 ]
  补充说明:被劫持的文件不一定是exe文件。如Papa在处理恐怖鸡感染号病毒时,为了防止ani.ani还原病毒主文件,便劫持ani.ani文件。
% u' x0 h8 E3 U+ _( I- n7 G
! `( Z3 s1 U5 z7 e  六:目前已知删除安全软件文件的检测位置* E% h- ^! {% Y

1 q9 O2 }% N! K0 i% c2 g' \  典型病毒:飘雪变种
; K2 o, h" o1 W- J( S* r
% E# a$ E: s+ \, v6 d. B  目的现象:杀毒软件安装文件被删除、sreng改名后运行立即被删除等。
( f8 l/ W: t0 s- x2 y
& |& m0 h6 b3 M8 j  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler7 p( |% ]/ x6 [  i+ w* A
* K8 C. d+ \: X; V8 C* R
  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad) M0 D8 n' I* ]5 `- |

0 G% d' `: w+ v) \4 X9 s( f: I  补充说明:已知变种均会修改hosts文件、在QQ目录下写入隐藏的病毒dll并且修改APIHOOH。
# ?( _, l4 k+ m; n; y  J6 \" Z- w) R9 `6 J4 P2 s
  七:Boot.ini文件7 b3 x$ h& R! i+ b

1 s8 f2 M  r! c/ U0 `' E  典型病毒:磁碟机变种
- ]; K  o. N9 F4 `1 B* Z. G" [7 b0 Z# x, j0 i1 p3 K) z
  目的现象:独占访问Boot.ini文件,导致未更新的grub重启删除工具失效。) H5 F! f2 M' X$ [  n

! a' T7 b& B0 |# c) A$ h" L4 T3 \3 |: p6 y  检测位置:Boot.ini# e- T7 H% J: Y! B/ p6 y
  g7 N: l1 F3 _& x- h( X3 u0 c
  补充说明:在Vista操作系统下对该项检测没有意义。6 Z6 y. A. u3 T0 P( K

6 u8 B! q: b/ I  T6 n* n# z4 H  小结:
3 o- N0 u; w) ^  |& @+ V! f& K2 _2 U3 v! i$ A2 a( l
  检测报告的分析工作需要具备常用软件以及操作系统丰富的使用经验,才可以比较迅速准确地定位到具体问题。本文仅将对抗杀$ o( q5 |2 k- {2 s

; K: i. K+ X, C, j8 d3 L: M# B  软类病毒常见的关注位置找出来供大家参考。其实还有很多病毒会加载的位置本文不做详述,请具体问题具体分析。1 c' g. A3 ]2 \5 j) [

% \0 E4 L+ x1 C1 _  附件为PapaCheck检测工具v3.0目前可以比较全面地检测到包括对抗杀毒软件、删除安全工具病毒在内的非感染型病毒的写入位置。* ~2 g7 i3 g1 v' @
% i# o7 f9 f8 G( m' [2 B4 j, `7 e
  如在Vista下面使用时,需要右键单击该文件后点击“以管理员身份运行”。, w8 {$ M6 E4 O3 [3 F" [) i" U

  V; Y" T' r/ S  注:在脚本运行时请阅读其中的免责信息。在检测的过程中有可能会提示“没有找到pkmws.dll,因此这个程序未能启动重新安装应用可能会修复此问题”点击“确定”即可。提示“插入软盘”,点击”“取消”即可。相关提示并不影响检测报告的生成。如果您没有执行扫描操作,按“CTRL+C”键终止或直接关闭了程序,则会在当前目录生成papa.com、papascan.bat、papawb.com、papashell.exe、papatask.exe这六个文件。相关文件释放与调用不会对您系统造成影响,检测结束后直接删除即可。
分享到:  QQ好友和群QQ好友和群 QQ空间QQ空间 腾讯微博腾讯微博 腾讯朋友腾讯朋友
收藏收藏 分享分享 顶 踩

本版积分规则

关闭

下沙大学生网推荐上一条 /1 下一条

快速回复 返回顶部 返回列表