本文目录一览:
如何预防木马病毒?
预防木马病毒有以下3点方法:
1、不要浏览危险网站。比如一些黑客,色情网站,本身就是很危险的,其中隐匿着许多病毒与木马,用手机浏览此类网站是非常危险的。
2、保证下载的安全性。网上有许多资源提供电脑下载,然而很多病毒就隐藏在这些资源中,这就要求用户在使用电脑下载各种资源的时候确保下载站点是否安全可靠,尽量避免去个人网站下载。
3、不要打开陌生的QQ邮件请求。陌生的QQ邮件可能带有病毒,收到此类陌生的QQ邮件后立即删除,以免感染木马病毒。
扩展资料:
刑法修正案(七)新增了两款打击计算机网络犯罪的规定,新增罪名均可并处或单处罚金,从立法上加大了对营利性黑客利用网络安全漏洞谋利的打击力度。公安部门应联合工信、工商等职能部门,构建专业网络安全维护队伍,依法严厉打击利用木马实施的违法犯罪活动。
形成常态的网页、网站网络安全维护机制,在维护中发现漏洞并弥补,在防范中及时清除感染的木马,形成动态防范,并做好监测、预防工作。
参考资料来源:百度百科——木马病毒
什么是计算机病毒,木马.如何防范
计算机病毒是借用生物病毒的概念。生物病毒可传播、传染,使生物受到严重的损害,甚至导致生物死亡。计算机病毒也如此地危害着计算机系统。目前,计算机病毒已成为社会的新“公害”。计算机病毒的出现及迅速蔓延,给计算机世界带来了极大的危害,严重地干扰了科技、金融、商业、军事等各部门的信息安全。
计算机病毒是指可以制造故障的一段计算机程序或一组计算机指令,它被计算机软件制造者有意无意地放进一个标准化的计算机程序或计算机操作系统中。尔后,该病毒会依照指令不断地进行自我复制,也就是进行繁殖和扩散传播。有些病毒能控制计算机的磁盘系统,再去感染其它系统或程序,并通过磁盘交换使用或计算机联网通信传染给其它系统或程序。病毒依照其程序指令,可以干扰计算机的正常工作,甚至毁坏数据,使磁盘、磁盘文件不能使用或者产生一些其它形式的严重错误。
我国计算机病毒的来源主要有两个:一个是来自国外的一些应用软件或游戏盘等,如小球病毒、“DIR-2”病毒等,国外早有报道。另一个来源是国内,某些人改写国外的计算机病毒或自己制造病毒。如“广州一号”病毒为修改国外“大麻病毒”形成的变种,Bloody病毒则为国产病毒。病毒的蔓延很快,天天在产生。一台电脑如果染上了病毒,可能会造成不可估量的破坏性后果,有可能使多年的心血毁于一旦,或者使至关重要的数据无法修复。
一般说来,电脑有病毒时,常常造成一些异常现象,例如,数据无故丢失;内存量异常减小;速度变慢;引导不正常;文件长度增加或显示一些杂乱无章的内容等。有经验的用户可以利用技术分析法,来判定计算机病毒的发生。
目前,对付计算机病毒的主要方法有两种:一种是利用工具软件消毒;另一种是利用微机防病毒卡防毒。如国外的CPAV软件、SCAV系列软件,以及我国公安部不断推出的Kill软件等,一些软硬件结合的防病毒产品,都给计算机用户提供很大的帮助。可以相信,随着时间的推移,计算机反病毒技术必将不断地发展、不断地完善。
计算机病毒
computer virus
一种依附在各种计算机程序中的一段具有破坏性、能自我繁衍的计算机程序。它通过软盘、终端或其他方式进入计算机系统或计算机网络,引起整个系统或网络紊乱,甚至造成瘫痪。
1983 年 11月,在一次国际计算机安全学术会议上,美国学者F.科恩第一次明确提出计算机病毒的概念,并进行了演示。1984年他又发表了有关计算机病毒理论和实践的文章,但当时并未引起学术界的重视。1987年发生了几次计算机病毒事件,特别是1988年11月美国国防部的军用计算机网络遭受莫里斯病毒袭击,病毒扩散速度之快、范围之广、损失之大,震惊了信息科学界人士,引起人们的广泛注意。1989年初,中国首次发现计算机病毒。由于多方面原因,病毒在中国的蔓延也比较广泛。从全世界情况来看,1988 、1989 年是计算机病毒大量产生和繁殖的时期。从那时以后,新计算机病毒出现的数目大大下降,但计算机病毒仍不时肆虐于世界各地。编制病毒的技术在不断提高,1992年出现了所谓的秘密型病毒和多型病毒,病毒检测程序都无法发现它们。特别是多型病毒不断变换特征,可能会成为今后的严重问题。
世界上大约有1350种IBM 个人计算机病毒 ,200 多种Amiga病毒,35种Macintosh病毒,此外还有一些 Unix和大型主机病毒。德国的一位专家估计,大约有300 个基本病毒系列。
分类 计算机病毒的分类方法很多,按其攻击方式可以分为:①操作系统病毒。运行时用病毒自己的逻辑模块取代部分操作系统的合法程序模块,它有很强的破坏力,甚至导致整个系统瘫痪。出现这种类型的计算机病毒主要是针对操作系统自举区引导程序的,如大麻病毒、小球病毒和巴基斯坦病毒等。②应用程序型病毒。其中又分源码型和目标码型。源码病毒在高级语言编写的程序被编译之前插入到源程序之中,随后与合法程序一起被编译,这种病毒很容易传染。目标码病毒对已经可执行的目标程序进行攻击,一般也同时侵袭操作系统。③外壳型病毒。不改变所依附的程序,只是在原程序开始和结束的地方加上病毒程序。这类病毒易于编写,也较为常见,以色列病毒(也称之为黑色星期五病毒)即属于此类病毒。④入侵型病毒。在所依附的程序中插入病毒程序,可为局部代替,也可用一条指令转到病毒程序,在病毒程序结束后再转入所依附的程序。此类病毒难编写,删除也比较困难。
在文献上所见到的蠕虫程序、特洛伊木马、细菌、病毒等,也统称之为计算机病毒。
组成 计算机病毒一般由3个基本部分组成:主控程序,负责病毒的组装和初始化工作;传染程序,将该病毒程序传染到别的可执行程序上去;破坏程序,实现病毒程序编制者的破坏意图。当计算机执行病毒所依附的程序时,病毒程序就获取了对计算机的控制权,开始执行主控程序,然后根据条件是否满足调用传染程序和破坏程序。一般说来,传染条件容易满足,因此病毒的传染比破坏来得容易。病毒破坏条件未被满足时,病毒处于潜伏状态。
特点 ①程序量小。计算机病毒的程序代码量通常是很小的,便于隐蔽在可执行程序和数据文件中,从而袭击其他合法程序。②依附性。病毒在计算机里,只有依附在某一种具有用户使用功能的可执行程序上,才有可能被计算机执行。当计算机中的程序依附上病毒程序时,就说这个程序被感染了。③传染性。一旦一个程序染上了计算机病毒,当此程序运行时,该病毒就能够传染给访问计算机系统的其他程序和文件。于是病毒很快就传染给整个计算机系统,还可通过网络传染给其他计算机系统,其传播速度异常惊人。传染性是计算机病毒的最主要特点。④破坏性。轻者影响系统的工作效率,占用存储空间、中央处理器运行时间等系统资源;重者可能毁掉系统的部分数据,也可能破坏全部数据并使其无法恢复,还可能对系统级数据进行篡改,使系统的输出结果面目全非,甚至导致系统瘫痪。⑤潜伏性。由于病毒程序往往是先潜伏下来,等到特定的条件或时间才触发,使得病毒程序的破坏力大为增强。在受害用户意识到病毒的存在之前,病毒程序有充分的时间进行传播。计算机病毒的潜伏性与传染性相辅相成,潜伏性越好,病毒传染范围越大。⑥持久性。即使在病毒程序被发现以后,数据和程序以至操作系统的恢复都是非常困难的。在许多情况下,特别是在网络操作情况下,因病毒程序由一个受感染的拷贝通过网络系统反复地传播,所以病毒程序的清除非常复杂。
防治 计算机病毒的防治必须采取综合措施。①加强管理。实行严格的计算机管理制度,对有关人员,特别是系统管理人员进行职责教育,订出有效的应用和操作规范;对外来软件和磁介质(如软盘片、磁带等)进行防病毒检查,严禁使用来历不明的软件;严禁在部门计算机上玩计算机游戏,因为很多游戏盘带有病毒;购买软硬件产品时,务必考虑安全因素,考查厂商的安全背景;保护好随机的原始资料和软件版本,建立安全的备份制度和介质分组管理制度;主管部门应对所属单位的计算机进行定期、经常性的病毒迹象侦察;发现病毒疫情,做好症状记录并立即报告主管部门。②从技术上防治。计算机系统配备病毒检测程序,及时发现病毒 ;严格保护好硬盘,对重要的程序和数据文件,设置禁写保护,用保护装置防止非法装载硬盘;采取加密手段防止病毒入侵;研制计算机病毒疫苗,增强计算机系统自身对病毒的抵抗力;采取病毒入侵应急措施,减少病毒造成的损失;研制安全的操作系统是防治计算机病毒的根本性办法。③法律约束。应尽快制定处罚计算机病毒犯罪的法规,对制造、施放和出售病毒软件者依法进行惩处。
计算机病毒对抗 计算机病毒在军事上的应用成为一种新型的电子战。它与传统的电子对抗的主要差别在于:电子对抗的目标是敌方电子系统的接收设备,而计算机病毒对抗的目标是敌方电子系统的计算机处理设备。其作战步骤是 :通过无线电发射,把计算机病毒射入敌方电子系统的最薄弱环节(无保护的链路)之中;计算机病毒通过感染传播到下一个节点(有保护的链路)之中;计算机病毒最终到达预定目标——敌方指挥中心的计算机,由特定的事件和时间激发,对敌方电子系统造成灾难性的破坏。1991年海湾战争后,美国国防部大量收集计算机病毒,网罗计算机病毒研究人材 ,并拨专款研究对抗计算机病毒。许多专家认为,实现计算机病毒对抗的可能性非常大。
对于木马病毒我们有什么应对措施
病毒木马病毒防治
在普通用户眼里,病毒是神秘的,恐怖。要是再加上“木马”的话,这就如计算机世界中的神话,可惜这神话并不是美好的……但是病毒,木马并非那么“神”,而仅仅只是一小段代码。打个比方PC就是人体,那么计算机病毒就生物病毒,只要对症下“药”,保准“药”到病除。在用户眼里好像只有病毒,木马其实我们常见还有(网页)恶意代码,广告间谍,黑客程序等等,我们逐个来看看。
病毒
这可是鼻祖级的BOSS。也是大家最常见的,但是其实病毒安不同的划分方法也会分为DOS病毒,WINDOWS病毒,引导区病毒,宏病毒等,我们这里并不是讨论病毒,所以我就不在罗嗦了。遇到病毒后,大家都已经会毫不犹豫的使用杀毒软件。但是有时候会发现不好用,我就说不好的情况。
1、你是最先感染的用户,反病毒软件正在更新
这时用户在使用中会发现一些异常的状况,但是杀毒软件却毫无反映。此时是最棘手的,因为用户不知道该病毒破坏方法,以及应对措施。大多数用户此时会以为自己PC有了什么毛病,不断“测试”期望解决。其实这是非常错误的!
应对方法
除非情不得已,你应该马上关闭计算机。并立即和自己使用的安全软件的厂商联系,说明症状,等待相关人员的答复。(一般情况下,大的厂商在24小时就会升级,而危害性高的病毒会在几个小时内升级完毕!)
2、病毒在WINDOWS无法查杀
这是因为病毒感染,系统正在使用的文件,此时用户在WINDOWS自然就不好用了。
应对方法
使用软件的的DOS杀毒程序,进入DOS查杀。
3、重起后杀死的病毒又“复活”了
这多半是感染了引导区等性质的病毒,由于此时引导区被病毒所感染一般的杀毒软件无法彻底解决。
应对方法
使用杀毒软件提供的引导盘,或自己制作的干净的启动盘,来重新引导启动然后在正常查杀。
4、上网后杀死的病毒又“复活”了
这因为某些病毒利用系统的漏洞进行攻击,由于系统,没有相关的补丁所以导致上网后重新感染
应对方法
最简单的方法就是打补丁,有了相关资料也可以设置防火墙(有些防火墙会升级)用户最好定时下载补丁,不要到出了问题再进行弥补。
如何防治木马病毒,保证系统安全
1、安装安全软件,如果低配置电脑的话,建议简单装个就行了。中端配置的电脑需要个防火墙+杀毒软件。高端配置电脑需要会玩杀毒软件的高手来帮助你,要讲究各种安全软件的兼容性。
2、保持个人良好的上网习惯,这是最重要的。
我的笔记本电脑检测出了木马病毒,该怎么办?
现在我们来说防范木马的方法,就是把 windows\system\mshta.exe文件改名,
改成什么自己随便 (xp和win2000是在system32下)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\ 下为Active Setup controls创建一个基于CLSID的新键值 {6E449683_C509_11CF_AAFA_00AA00 B6015C},然后在新键值下创建一个REG_DWORD 类型的键Compatibility,并设定键值为0x00000400即可。
还有windows\command\debug.exe和windows\都给改个名字 (或者删除)
一些最新流行的木马 最有效果的防御~~
比如网络上流行 的木马 smss.exe 这个是其中一种木马的主体 潜伏在 98/winme/xp c:\windows目录下 2000 c:\winnt .....
假如你中了这个木马 首先我们用进程管理器结束 正在运行的木马smss.exe 然后在C:\windows 或 c:\winnt\目录下 创建一个假的 smss.exe 并设置为只读属性~ (2000/XP NTFS的磁盘格式 的话那就更好 可以用“安全设置” 设置为读取) 这样木马没了~ 以后也不会在感染了这个办法本人测试过对很多木马
都很有效果的
经过这样的修改后,我现在专门找别人发的木马网址去测试,实验结果是上了大概20个木马网站,有大概15个瑞星会报警,另外5个瑞星没有反映,而我的机器没有添加出来新的EXE文件,也没有新的进程出现,只不过有些木马的残骸留在了IE的临时文件夹里,他们没有被执行起来,没有危险性,所以建议大家经常清理 临时文件夹和IE
随着病毒编写技术的发展,木马程序对用户的威胁越来越大,尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己,使普通用户很难在中毒后发觉。
防治木马的危害,应该采取以下措施:
第一,安装杀毒软件和个人防火墙,并及时升级。
第二,把个人防火墙设置好安全等级,防止未知程序向外传送数据。
第三,可以考虑使用安全性比较好的浏览器和电子邮件客户端工具。
第四,如果使用IE浏览器,应该安装卡卡安全助手,防止恶意网站在自己电脑上安装不明软件和浏览器插件,以免被木马趁机侵入。
远程控制的木马有:冰河,灰鸽子,上兴,PCshare,网络神偷,FLUX等,现在通过线程插入技术的木马也有很多.现在的木马程序常常和和DLL文件息息相关,被很多人称之为“DLL木马”。DLL木马的最高境界是线程插入技术,线程插入技术指的是将自己的代码嵌入正在运行的进程中的技术。理论上说,在Windows中的每个进程都有自己的私有内存空间,别的进程是不允许对这个私有空间进行操作的,但是实际上,我们仍然可以利用种种方法进入并操作进程的私有内存,因此也就拥有了那个远程进程相当的权限。无论怎样,都是让木马的核心代码运行于别的进程的内存空间,这样不仅能很好地隐藏自己,也能更好地保护自己。
DLL不能独立运行,所以要想让木马跑起来,就需要一个EXE文件使用动态嵌入技术让DLL搭上其他正常进程的车,让被嵌入的进程调用这个DLL的 DllMain函数,激发木马运行,最后启动木马的EXE结束运行,木马启动完毕。启动DLL木马的EXE是个重要角色,它被称为Loader, Loader可以是多种多样的,Windows的Rundll32.exe也被一些DLL木马用来作为Loader,这种木马一般不带动态嵌入技术,它直接注入Rundll32进程运行,即使你杀了Rundll32进程,木马本体还是存在的。利用这种方法除了可以启动木马之外,不少应用程序也采用了这种启动方式,一个最常见的例子是“3721网络实名”。
“3721网络实名”就是通过Rundll32调用“网络实名”的DLL文件实现的。在一台安装了网络实名的计算机中运行注册表编辑器,依次展开 “HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”,发现一个名为“CnsMin”的启动项,其键值为“Rundll32 C:\WINDOWS\Downlo~1\CnsMin.dll,Rundll32”,CnsMin.dll是网络实名的DLL文件,这样就通过 Rundll32命令实现了网络实名的功能。
简单防御方法
DLL木马的查杀比一般病毒和木马的查杀要更加困难,建议用户经常看看系统的启动项中有没有多出莫名其妙的项目,这是DLL木马Loader可能存在的场所之一。如果用户有一定的编程知识和分析能力,还可以在Loader里查找DLL名称,或者从进程里看多挂接了什么陌生的DLL。对普通用户来说,最简单有效的方法还是用杀毒软件和防火墙来保护自己的计算机安全。现在有一些国外的防火墙软件会在DLL文件加载时提醒用户,比如Tiny、SSM等,这样我们就可以有效地防范恶意的DLL木马了。木马的防治方法1、禁用系统还原(Windows Me/XP)
如果您运行的是 Windows Me 或 Windows XP,建议您暂时关闭“系统还原”。此功能默认情况下是启用的,一旦计算机中的文件被破坏,Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机,则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。
Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此,防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样,系统还原就可能将受感染文件还原到计算机上,即使您已经清除了所有其他位置的受感染文件。
此外,病毒扫描可能还会检测到 System Restore 文件夹中的威胁,即使您已将该威胁删除。
注意:蠕虫移除干净后,请按照上述文章所述恢复系统还原的设置。
2、将计算机重启到安全模式或者 VGA 模式
关闭计算机,等待至少 30 秒钟后重新启动到安全模式或者 VGA 模式
Windows 95/98/Me/2000/XP 用户:将计算机重启到安全模式。所有 Windows 32-bit 作系统,除了Windows NT,可以被重启到安全模式。更多信息请参阅文档 如何以安全模式启动计算机 。
Windows NT 4 用户:将计算机重启到 VGA 模式。
扫描和删除受感染文件启动防病毒程序,并确保已将其配置为扫描所有文件。运行完整的系统扫描。如果检测到任何文件被 Download.Trojan 感染,请单击“删除”。如有必要,清除 Internet Explorer 历史和文件。如果该程序是在 Temporary Internet Files 文件夹中的压缩文件内检测到的,请执行以下步骤:
启动 Internet Explorer。单击“工具”“Internet 选项”。单击“常规”选项卡“Internet 临时文件”部分中,单击“删除文件”,然后在出现提示后单击“确定”。在“历史”部分,单击“清除历史”,然后在出现提示后单击“是”。
[1]木马病毒专杀工具
远程控制的木马有:冰河(国人的骄傲,中国第一款木马),灰鸽子,上兴,PCshare,网络神偷,FLUX等,现在通过线程插入技术的木马也有很多,大家自己找找吧
反木马病毒
木马专杀工具
木马防线 2005 V4.16
木马分析专家 2005 V6.57
木马克星(iparmor) V5.47
病毒.流行木马.盗号软件统杀工具
木马专杀大师 V2.6
木马专家 2005 0102
Windows木马清道夫
木马分析专家个人防火墙排查出电脑的木马1、集成到程序中
由于用户一般不会主动程序,而种木马者为了吸引用户运行,他们会将木马文件和其它应用程序进行捆绑,用户看到的只是正常的程序。但是你一旦运行之后,不仅该正常的程序运行,而且捆绑在一起的木马程序也会在后台偷偷运行。
这种隐藏在其它应用程序之中的木马危害比较大,而且不容易发现。如果捆绑到系统文件中,那么则会随Windows启动而运行。不过只要我们安装个人防火墙或者启用Windows XP SP2中的Windows防火墙,那么在木马服务端试图连接种木马的客户端时,则会询问是否放行,据此即可判断出自己有无中木马。
2、隐藏在媒体文件中
这种类型严格上说,用户还没有中木马。不过它的危害容易被人忽略。因为大家对影音文件的警惕性不高。它的常用手段是在媒体文件中插入一段代码,代码中包含了一个网址,当播放到指定时间时即会自动访问该网址,而该网址所指页面的内容却是一些网页木马或其它危害。
因此,当我们在播放网上下载的影片时,如果发现突然打开了窗口,那么切不可好奇而应将其立即关闭,然后跳过该时间段影片的播放。
3、隐藏在System.ini
4、隐藏在Win.ini
与System.ini相似,Win.ini中也是木马喜欢加载的一个地方。对此我们可以打开系统目录下的Win.ini文件,然后查看[Windows]区域“load=”和“run=”,正常情况下它们后面应该是空白,如果你发现它们后面加了某个程序,那么加载的程序则可能是木马,需要将它们删除。
5、隐藏在Autoexec.bat
在C盘根目录下有一个Autoexec.bat文件,这里的内容将会在系统启动时自动运行。与该文件类似的还有Config.sys。因为它自动运行,因此也成为木马的一个藏身之地。对此我们同样需要打开这两个文件,检查里面是否加载了来历不明的程序在运行。
6、任务管理器
部分木马运行后我们可以在任务管理器中找出它的踪迹。在任务栏上右击,在弹出的菜单中选择“任务管理器”,将打开的窗口切换到“进程”标签,在这里查看有没有占用较多资源的进程,有没有不熟悉的进程。若有,可以先试着将它们关闭。另外要特别注意Explorer.exe这类进程,因为很多木马会使用Exp1orer.exe进程名,即把l换成1,用户不仔细查看,还以为是系统进程呢。
7、启动
在Windows XP中,我们可以运行“msconfig”,将打开的窗口切换到“启动”标签,在这里可以看到所有启动加载的项目,此时就可以根据“命令”和“位置”来判断是启动加载的是否为木马。如果判断为木马则可以将其启动取消,然后再作进一步的处理。
8、注册表
我们程序的运行控制大多是由注册表控制的,因此我们有必要对注册表进行检查。运行“regedit”打开注册表编辑器,然后依次检查如下区域:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion、
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion、
HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion,看看这三个区域下所有以“run”开头的键值,如果键值的内容指向一些隐藏的文件或自己从未安装过的程序,那么这些则很可能是木马了。
木马之所以能够为非作歹,正是因为其善于隐藏自己。不过我们掌握了其藏身之处,那么则可以将其一一清除。当然,木马在实际的伪装隐藏自己中,可能会综合使用上面一种或几种方法来伪装,这就需要我们在检查清除时,不能只检查其中的部分地点。新人快速上手指南之电脑木马查杀大全 常在河边走,哪有不湿脚?所以有时候上网时间长了,很有可能被攻击者在电脑中种了木马。如何来知道电脑有没有被装了木马呢?
一、手工方法:
1、检查网络连接情况
由于不少木马会主动侦听端口,或者会连接特定的IP和端口,所以我们可以在没有正常程序连接网络的情况下,通过检查网络连情情况来发现木马的存在。具体的步骤是点击“开始”-“运行”-“cmd”,然后输入netstat -an这个命令能看到所有和自己电脑建立连接的IP以及自己电脑侦听的端口,它包含四个部分——proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息,我们就可以完全监控电脑的网络连接情况。
2、查看目前运行的服务
服务是很多木马用来保持自己在系统中永远能处于运行状态的方法之一。我们可以通过点击“开始”-“运行”-“cmd”,然后输入“net start”来查看系统中究竟有什么服务在开启,如果发现了不是自己开放的服务,我们可以进入“服务”管理工具中的“服务”,找到相应的服务,停止并禁用它。
3、检查系统启动项
由于注册表对于普通用户来说比较复杂,木马常常喜欢隐藏在这里。检查注册表启动项的方法如下:点击“开始”-“运行”-“regedit”,然后检查HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值;HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值;HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值。
Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。打开这个文件看看,在该文件的[boot]字段中,是不是有shell=Explorer.exe file.exe这样的内容,如有这样的内容,那这里的file.exe就是木马程序了!
4、检查系统帐户
恶意的攻击者喜在电脑中留有一个账户的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户,但这个账户却很少用的,然后把这个账户的权限提升为管理员权限,这个帐户将是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。针对这种情况,可以用以下方法对账户进行检测。
点击“开始”-“运行”-“cmd”,然后在命令行下输入net user,查看计算机上有些什么用户,然后再使用“net user 用户名”查看这个用户是属于什么权限的,一般除了Administrator是administrators组的,其他都不应该属于administrators组,如果你发现一个系统内置的用户是属于administrators组的,那几乎可以肯定你被入侵了。快使用“net user用户名/del”来删掉这个用户吧!
如果检查出有木马的存在,可以按以后步骤进行杀木马的工作。
1、运行任务管理器,杀掉木马进程。
2、检查注册表中RUN、RUNSERVEICE等几项,先备份,记下可以启动项的地址, 再将可疑的删除。
3、删除上述可疑键在硬盘中的执行文件。
4、一般这种文件都在WINNT,SYSTEM,SYSTEM32这样的文件夹下,他们一般不会单独存在,很可能是有某个母文件复制过来的,检查C、D、E等盘下有没有可疑的.exe,.com或.bat文件,有则删除之。
5、检查注册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main中的几项(如Local Page),如果被修改了,改回来就可以。
6、检查HKEY_CLASSES_ROOT\txtfile\shell\open\command和 HKEY_CLASSES_ROOTxtfileshellopencommand等等几个常用文件类型的默认打开程序是否被更改。这个一定要改回来。很多病毒就是通过修改.txt文件的默认打开程序让病毒在用户打开文本文件时加载的。
二、利用工具:
查杀木马的工具有LockDown、The Clean、木马克星、金山木马专杀、木马清除大师、木马分析专家等,其中有些工具,如果想使用全部功能,需要付一定的费用,木马分析专家是免费授权使用。修改注册表增强系统对木马病毒的防御通常木马病毒是通过注册表来启动服务的,所以注册表对于系统防御病毒有着比较重要的意义。按照理论上来说,我们可以通过修改注册表的属性来预防病毒和木马,实际上亦可行,具体的实施方法如下:
Windows2000/XP/2003的注册表是可以设置权限的,只是我们比较少用到。设置以下注册表键的权限:
1、设置注册表自启动项为everyone只读(Run、RunOnce、RunService),防止木马、病毒通过自启动项目启动
2、设置.txt、.com、.exe、.inf、.ini、.bat等等文件关联为everyone只读,防止木马、病毒通过文件关联启动
3、设置注册表HKLM\SYSTEM\CurrentControlSet\Services为everyone只读,防止木马、病毒以"服务"方式启动
注册表键的权限设置可以通过以下方式实现:
1、如果在域环境里,可能通过活动目录的组策略实现的
2、本地计算机的组策略来(命令行用gpedit.msc)
3、手工操作可以通过regedt32(Windows2000系统,在菜单“安全”下的“权限”)或regedit(Windows2003/XP,在“编辑”菜单下的“权限”)
如果只有users组权限,以上键值默认是只读的,就可以不用这么麻烦了。 [3]