防范反抗殺毒軟件工作電腦病毒的實(shí)際操作流程
下面的文章主要介紹的是注意檢測，防范反抗殺毒軟件工作電腦病毒的實(shí)際操作，如今出現(xiàn)了越來越多的對抗殺毒軟件及檢測工具掃描的病毒，他們會(huì)關(guān)閉甚至刪除殺毒軟件以及檢測工具。一般用戶很難判斷他們藏在哪里，做了些什么。
而這時(shí)殺毒軟件以及安全工具確普遍無法運(yùn)行。
如今出現(xiàn)了越來越多的對抗殺毒軟件以及檢測工具掃描的病毒，他們會(huì)關(guān)閉甚至刪除殺毒軟件以及檢測工具。一般用戶很難判斷他們藏在哪里，做了些什么。而這時(shí)殺毒軟件以及安全工具確普遍無法運(yùn)行。
本文主要列舉說明一些需要注意和檢測的系統(tǒng)位置，以防范常見的抗殺軟類病毒。
一：Run鍵值
典型病毒：AV終結(jié)者變種
目的現(xiàn)象：開機(jī)啟動(dòng)雙進(jìn)程堅(jiān)守、關(guān)閉殺毒程序等。
檢測位置：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
補(bǔ)充說明：該位置屬于常規(guī)啟動(dòng)項(xiàng)，很多程序會(huì)寫。
二：執(zhí)行掛鉤
典型病毒：大量惡意軟件以及病毒均會(huì)寫入
目的現(xiàn)象：殺毒軟件難于清理、關(guān)閉殺毒程序等。
檢測位置：
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
補(bǔ)充說明：很少有正常程序會(huì)寫入該位置，病毒幾率非常大。典型例外：瑞星反病毒軟件
三：Appinit_dlls
典型病毒：機(jī)器狗新變種、磁碟機(jī)變種。
目的現(xiàn)象：安全模式也加載、關(guān)閉殺毒程序等。
檢測位置：
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\Appinit_Dlls
補(bǔ)充說明：很少有正常程序會(huì)寫入該位置，病毒幾率變態(tài)大。典型例外：AVG互聯(lián)網(wǎng)安全套裝
四：服務(wù)以及驅(qū)動(dòng)
典型病毒：灰鴿子變種
目的現(xiàn)象：難于發(fā)現(xiàn)與清理、關(guān)閉殺毒程序等。
檢測位置：
HKLM\System\CurrentControlSet\Services
補(bǔ)充說明：病毒寫入底層服務(wù)與rootkits驅(qū)動(dòng)，導(dǎo)致清除困難。
五：映像劫持
典型病毒：大多數(shù)AV病毒均會(huì)寫入此位置
目的現(xiàn)象：簡單粗暴地讓某個(gè)特定文件名的文件無法執(zhí)行
檢測位置：
HKLM\Software\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions
補(bǔ)充說明：被劫持的文件不一定是exe文件。如Papa在處理恐怖雞感染號(hào)病毒時(shí)，為了防止ani.ani還原病毒主文件，便劫持ani.ani文件。
六：目前已知?jiǎng)h除安全軟件文件的檢測位置
典型病毒：飄雪變種
目的現(xiàn)象：殺毒軟件安裝文件被刪除、sreng改名后運(yùn)行立即被刪除等。
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
補(bǔ)充說明：已知變種均會(huì)修改hosts文件、在QQ目錄下寫入隱藏的病毒dll并且修改APIHOOH。
七：Boot.ini文件
典型病毒：磁碟機(jī)變種
目的現(xiàn)象：獨(dú)占訪問Boot.ini文件，導(dǎo)致未更新的grub重啟刪除工具失效。
檢測位置：Boot.ini
補(bǔ)充說明：在Vista操作系統(tǒng)下對該項(xiàng)檢測沒有意義。
小結(jié)：檢測報(bào)告的分析工作需要具備常用軟件以及操作系統(tǒng)豐富的使用經(jīng)驗(yàn)，才可以比較迅速準(zhǔn)確地定位到具體問題。本文僅將對抗殺軟類病毒常見的關(guān)注位置找出來供大家參考。其實(shí)還有很多病毒會(huì)加載的位置本文不做詳述，請具體問題具體分析。
PapaCheck檢測工具v3.0目前可以比較全面地檢測到包括對抗殺毒軟件、刪除安全工具病毒在內(nèi)的非感染型病毒的寫入位置。如在Vista下面使用時(shí)，需要右鍵單擊該文件后點(diǎn)擊“以管理員身份運(yùn)行”。
注：在腳本運(yùn)行時(shí)請閱讀其中的免責(zé)信息。在檢測的過程中有可能會(huì)提示“沒有找到pkmws.dll，因此這個(gè)程序未能啟動(dòng)重新安裝應(yīng)用可能會(huì)修復(fù)此問題”點(diǎn)擊“確定”即可。提示“插入軟盤”，點(diǎn)擊”“取消”即可。相關(guān)提示并不影響檢測報(bào)告的生成。如果您沒有執(zhí)行掃描操作，按“CTRL+C”鍵終止或直接關(guān)閉了程序，則會(huì)在當(dāng)前目錄生成papa.com、papascan.bat、papawb.com、papashell.exe、papatask.exe這六個(gè)文件。相關(guān)文件釋放與調(diào)用不會(huì)對您系統(tǒng)造成影響，檢測結(jié)束后直接刪除即可。
【編輯推薦】
