病毒常用的伎俩【转贴】

不如意的时候

　　杀毒软件能都查杀已知的病毒，但是对于未知的病毒有点无能为例，具有一定的滞后性。虽然杀软不断的改进和增强对注册表的监控和hips技术，通过了解常见病毒的常采用的伎俩对于大家手动查杀病毒非常的有帮助。下面重点介绍病毒常见的破坏形式。

　　1.自启动

　　木马病毒为了达到不可告人的目的，经常会采用随着windows操作系统系统而自动加载病毒程序，常见的在注册表中的自启动位置:

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce

　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Notify，

　　此外还有开始启动菜单：X:\DocumentsandSettings\用户名\「开始」菜单\程序\启动(X为系统盘所在位置)对应的注册表键值：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders

　　病毒都利用这些暗地里隐藏有些进程甚至直接提升为系统程序。

　　2.系统还原

　　系统还原技术为恢复以前的系统数据提供了便利，同时也成了病毒的温床，备份系统文件的同时，收到感染的文件也有可能被作为备份文件存储起来，破坏系统还原点对于这类是一个非常有效的途径。病毒位于X:\SYSTEMVOLUMEINFORMATION路径下（X代表驱动器盘符）通过禁用系统还原功能，右键"我的电脑"—>属性—>系统还原—>"在所有驱动器上关闭系统还原"打勾。

　　3.映像劫持

　　全称ImageFileExecutionOptions简称IFEO

　　常见的主要症状有

　　a、杀毒软件的监控无法开启；

　　b、杀毒软件点击升级没有反应；；

　　c、杀毒软件无法安装；

　　d、杀毒软件无法运行；

　　e、多种安全辅助工具无法正常运行

　　对应的注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions

　　通过导入相对应的注册表项，或者通过光盘修复可以实现。

　　4.破坏安全模式和隐藏文件

　　安全模式提供了一个相对封闭的环境，对于查杀病毒比较的彻底，使得病毒或者木马缺少了依附的土壤，在该环境下通过杀软可以绞杀病毒。

　　病毒、木马为了达到目的，采用隐藏的方式，病毒运行时修改注册表，会将自身注入到系统正常的进程中。

　　病毒为了逃避查杀，经常采用该方法。

　　5.ShellExecuteHook

　　ShellExecuteHook中文含义是执行挂钩，其本身是操作系统的一个正常的功能，它采用挂钩系统的Explorer的ShellExecute函数，这项功能现在被越来越多的病毒、木马所采用，实现随系统启动。

　　6.AppInit_Dlls

　　AppInit_Dlls是一种系统全局性的Hook（system-widehook），AppInit_Dlls的键值是一个非常危险的键值，AppInit_Dlls键值位于注册表HKLM\Microsoft\WindowsNT\CurrentVersion\Windows下面，相对于其他的注册表启动项来说，这个键值的特殊之处在于任何使用到User32.dll的EXE、DLL、OCX等类型的PE文件都会读取这个地方，并且根据约定的规范将这个键值下指向的DLL文件进行加载，加载的方式是调用LoadLibrary。使用了User32.DLL，都会对AppInit_Dlls键值指向的DLL进行加载。这个是日志的一部分

　　[HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Windows]

　　<>[N/A]默认是这一个

　　但是有例外而ieprot.dll是瑞星卡卡助手的，这个是正常的，

　　还有这个如果安装了Comodo的话Appinit_dll也会有个C:\Windows\system32\guard32.dll同样也是正常的项目，

　　其他的一般加载都是病毒

　　7.Services

　　Services中文含义是服务，操作系统（os）要正常的运行，就少不了一些服务，一些木马通过加载服务来达到随系统启动的目的，所有服务在注册表中都有相对应的位置,这些位置有如下几个

　　HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services

　　HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services

　　HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

　　现在的病毒越来越狡猾了，了解常见的服务项，检查可疑服务项，对于查杀病毒有一定的帮助。

　　8.文件关联

　　可能被病毒修改用于启动病毒的.比较常见的是.exe关联方式被破坏，其他的也有可能被病毒利用.对应的注册表项主要有一下几项：

　　HKEY_CLASSES_Root\.exe

　　HKEY_CLASSES_Root\.com

　　HKEY_CLASSES_Root\.bat

　　HKEY_CLASSES_Root\.VBS

　　HKEY_CLASSES_Root\.JS

　　HKEY_CLASSES_Root\.JSE

　　HKEY_CLASSES_Root\.WSF

　　HKEY_CLASSES_Root\.WSH

　　HKEY_CLASSES_Root\.Pif

　　HKEY_CLASSES_Root\.INk

　　HKEY_CLASSES_Root\.scr

　　HKEY_CLASSES_Root\.txt

　　HKEY_CLASSES_Root\.ini

　　有许多优秀工具比如HijackThis,SREng,IceSword,autoruns，wsyscheck。可以作为辅助查杀的工具，这些工具需要对系统有一定的熟悉程度,熟悉注册表，不建议入门者使用.

　　对于广大的网民，平时养成一个良好的习惯，了解病毒常采用的伎俩，对于预防和防治病毒工作非常的有帮助，对于病毒的防治采用预防为主，防治结合的原则，加强日常的管理和维护，非常的关键。

geitashi

对于我们这些菜鸟来说，手工杀毒不太现实，只有定时更新下瑞星这些防病毒软件，自己再加强防备才是

yuanyuan025

是啊 不过现在很多软件都能替代这些手工操作了

flb_2001

我是先用杀毒软件进行查杀,不行的话,找相关文档进行手工处理

LAMP兄弟连

杀毒软件应该尽量简单化，人性化的东西才会收到大众欢迎。

mz198424

yuanyuan025

楼主说得是常见得病毒吧 要是厉害点的课就不行了

flb_2001

厉害的病毒都一样,开始都没有解决方法的;大多还是跟着病毒在走.

小小白

只知道前两个，后面的不懂呵呵！好贴，好贴，谢谢。。。