为了顺应当前形势和更好的发展,黑基网已于9月19日正式更名为【安基网】,域名更换为www.safebase.cn,请卸载旧的APP并安装新的APP,给您带来不便,敬请理解!谢谢

黑基Web安全攻防班
安基网 首页 IT技术 安全攻防 查看内容

病毒反抗杀毒软件的主要手段

2009-2-19 04:09| 投稿: security

摘要: 也就是免杀手段 来源:人民网 如今出现了越来越多的对抗杀毒软件以及检测工具扫描的病毒,他们会关闭甚至删除杀毒软件以及检测工具。一般用户很难判断他们藏在哪里,做了些什么。而这时杀毒软件以及安全工具确...
也就是免杀手段 来源:人民网 如今出现了越来越多的对抗杀毒软件以及检测工具扫描的病毒,他们会关闭甚至删除杀毒软件以及检测工具。一般用户很难判断他们藏在哪里,做了些什么。而这时杀毒软件以及安全工具确普遍无法运行。   本文主要列举说明一些常见抗杀软类病毒的需要注意的检测位置。   一:Run键值   典型病毒:AV终结者变种   目的现象:开机启动双进程坚守、关闭杀毒程序等。   检测位置:   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run   补充说明:该位置属于常规启动项,很多程序会写。   二:执行挂钩   典型病毒:大量恶意软件以及病毒均会写入   目的现象:杀毒软件难于清理、关闭杀毒程序等。   检测位置:   HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks   补充说明:很少有正常程序会写入该位置,病毒几率非常大。典型例外:瑞星反病毒软件   三:Appinit_dlls   典型病毒:机器狗新变种、磁碟机变种。   目的现象:安全模式也加载、关闭杀毒程序等。   检测位置:   HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\Appinit_Dlls   补充说明:很少有正常程序会写入该位置,病毒几率变态大。典型例外:AVG互联网安全套装   四:服务以及驱动:   典型病毒:灰鸽子变种   目的现象:难于发现与清理、关闭杀毒程序等。   检测位置:   HKLM\System\CurrentControlSet\Services   补充说明:病毒写入底层服务与rootkits驱动,导致清除困难。   五:映像劫持   典型病毒:大多数AV病毒均会写入此位置   目的现象:简单粗暴地让某个特定文件名的文件无法执行   检测位置:   HKLM\Software\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions   补充说明:被劫持的文件不一定是exe文件。如Papa在处理恐怖鸡感染号病毒时,为了防止ani.ani还原病毒主文件,便劫持ani.ani文件。   六:目前已知删除安全软件文件的检测位置   典型病毒:飘雪变种   目的现象:杀毒软件安装文件被删除、sreng改名后运行立即被删除等。   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad   补充说明:已知变种均会修改hosts文件、在QQ目录下写入隐藏的病毒dll并且修改APIHOOH。   七:Boot.ini文件   典型病毒:磁碟机变种   目的现象:独占访问Boot.ini文件,导致未更新的grub重启删除工具失效。   检测位置:Boot.ini   补充说明:在Vista操作系统下对该项检测没有意义。   小结:   检测报告的分析工作需要具备常用软件以及操作系统丰富的使用经验,才可以比较迅速准确地定位到具体问题。本文仅将对抗杀   软类病毒常见的关注位置找出来供大家参考。其实还有很多病毒会加载的位置本文不做详述,请具体问题具体分析。   附件为PapaCheck检测工具v3.0目前可以比较全面地检测到包括对抗杀毒软件、删除安全工具病毒在内的非感染型病毒的写入位置。   如在Vista下面使用时,需要右键单击该文件后点击“以管理员身份运行”。   注:在脚本运行时请阅读其中的免责信息。在检测的过程中有可能会提示“没有找到pkmws.dll,因此这个程序未能启动重新安装应用可能会修复此问题”点击“确定”即可。提示“插入软盘”,点击”“取消”即可。相关提示并不影响检测报告的生成。如果您没有执行扫描操作,按“CTRL+C”键终止或直接关闭了程序,则会在当前目录生成papa.com、papascan.bat、papawb.com、papashell.exe、papatask.exe这六个文件。相关文件释放与调用不会对您系统造成影响,检测结束后直接删除即可。

小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册黑基账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!



免责声明:本文由投稿者转载自互联网,版权归原作者所有,文中所述不代表本站观点,若有侵权或转载等不当之处请联系我们处理,让我们一起为维护良好的互联网秩序而努力!联系方式见网站首页右下角。


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

最新

返回顶部