Windows7之家（www.）：牛！揪出病毒木馬流氓軟件藏身注冊(cè)表的7個(gè)窩點(diǎn)

軟媒編輯評(píng)論：

黑與白，陰與陽(yáng)，正與反，善與惡，對(duì)與錯(cuò)，是與非，自古以來(lái)都是伴生存在，這是天地的法則。

道高一尺，魔高一丈。并不是說(shuō)魔更厲害，而是意指此消彼長(zhǎng)互相傾軋的一個(gè)過(guò)程。

一款好的殺毒軟件和安全軟件是怎么做出來(lái)的？

是根據(jù)流氓軟件、病毒木馬的行為習(xí)慣加以分析，對(duì)起可能利用的漏洞或者隱身場(chǎng)所加以防范。

一款“毒”的惡意軟件病毒木馬是怎么做出來(lái)的？

是根據(jù)Windows系統(tǒng)或者安全軟件的疏忽或者可乘之處開(kāi)發(fā)出來(lái)的。為啥電腦老手都推薦大家使用Windows7、Vista而不是繼續(xù)使用XP，為什么微軟也一再建議用戶升級(jí)使用最新的瀏覽器，就是因?yàn)槲④浽谛掳姹拒浖兄鸩教钛a(bǔ)和防范了這些疏忽之處。

下面軟媒小編和大家談及的就是殺毒軟件安全軟件和惡意軟件都彼此爭(zhēng)戰(zhàn)的場(chǎng)所，在Windows的注冊(cè)表中，有惡意軟件至愛(ài)的7個(gè)窩點(diǎn)，更勝于狡兔的三窟啊——

今天電腦的普及程度之高完全可以說(shuō)是全社會(huì)的普及了，但是隨之而來(lái)的計(jì)算機(jī)病毒問(wèn)題也成了社會(huì)問(wèn)題，盡管殺毒軟件每天都在更新，而對(duì)抗殺毒軟件以及檢測(cè)工具掃描的病毒爺爺不斷地更新，它們有的甚至?xí)P(guān)閉殺毒軟件以及檢測(cè)工具。我就遇到過(guò)防火墻被關(guān)閉，WOW賬戶被盜。盡管計(jì)算機(jī)很普及，但是絕大多數(shù)用戶對(duì)于軟件的讀寫(xiě)知之甚少，很難判斷它們藏在哪里。而這種情況下殺毒軟件以及安全工具無(wú)法運(yùn)行。這時(shí)候要想刪除病毒，就必須知道隱藏在哪里，是什么病毒。這里列舉說(shuō)明一些常見(jiàn)反殺病毒的檢測(cè)位置。

1、大名鼎鼎的AV終結(jié)者變種程序在開(kāi)機(jī)時(shí)啟動(dòng)雙進(jìn)程堅(jiān)守、關(guān)閉殺毒程序。一般來(lái)說(shuō)，發(fā)現(xiàn)防火墻被關(guān)閉，就有可能是它光臨駕到了。檢測(cè)HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run是否有它的蹤影。這里屬于常規(guī)啟動(dòng)項(xiàng)，很多程序會(huì)寫(xiě)在這里。

2、如果殺毒軟件難于清理、或被關(guān)閉了殺毒程序，也有可能是被執(zhí)行掛鉤了。這時(shí)候應(yīng)當(dāng)檢測(cè)HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks，大量惡意軟件以及病毒均會(huì)寫(xiě)入這里。因?yàn)?，很少有正常程序?huì)寫(xiě)入這里，病毒幾率非常大。
3、有的時(shí)候，安全模式也加載，殺毒程序被關(guān)閉了。這有可能就是機(jī)器狗新變種或磁碟機(jī)變種在作梗。重點(diǎn)檢查一下HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\Appinit_Dlls。很少有正常程序會(huì)寫(xiě)入這個(gè)位置，病毒幾率極高。

4、灰鴿子是很有名的病毒了，現(xiàn)在出想了它的變種，而且難于發(fā)現(xiàn)與清理，可以關(guān)閉殺毒程序。由于病毒是寫(xiě)入底層服務(wù)與rootkits驅(qū)動(dòng)，所以才導(dǎo)致清除困難。用戶可以重點(diǎn)檢查HKLM\System\CurrentControlSet\Services。

5、如果發(fā)現(xiàn)某個(gè)特定文件名的文件無(wú)法執(zhí)行了，十有八九是被映像劫持，重點(diǎn)排查HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options，大多數(shù)AV病毒均會(huì)寫(xiě)在這里。當(dāng)然，被劫持的文件不一定是exe文件。有的病毒為了防止ani.ani還原病毒主文件，便劫持ani.ani文件。

6、飄雪變種病毒可以將殺毒軟件安裝文件進(jìn)行刪除，而且會(huì)修改hosts文件、在QQ目錄下寫(xiě)入隱藏的病毒dll并且修改API HOOH。這時(shí)可以重點(diǎn)檢查HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler

7、HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

值得一提的是，上述分析工作需要具備常用軟件以及操作系統(tǒng)豐富的使用經(jīng)驗(yàn)，對(duì)于注冊(cè)表和操作系統(tǒng)不甚了解的用戶建議重裝系統(tǒng)。本文僅例舉了幾個(gè)常見(jiàn)的反殺病毒的關(guān)注位置供大家參考。其實(shí)，具有反殺能力的病毒還很多，歡迎廣大讀者朋友們給與斧正和指教。

啊，至于你希望把這些東西用在安全防范上還是想做點(diǎn)壞事，這個(gè)要謹(jǐn)記勿以惡小而為之的古訓(xùn)啊。 

Windows7之家（www.），凝聚你我他