【杀毒不求人】之第一课-杀毒前奏（转载至VC52）

在毒区我看到了一个让我悲叹的现象，一有朋友共享出新样本就会持续几个月不断有人下载下来用杀毒软件查杀然后或喜或悲的说XX能杀，XX不能杀，这其实毫无意义，在样本被放到网上共享的同时已经被上报给杀毒软件公司了，特别是那个世界查毒网，在线扫描文件的，凡是扫描的文件都会传给杀毒软件公司进行分析，各位的杀软能查出来只能说明原本就能查或是已经处理了样本，不能查的也只是时间的问题，我所希望的是大家能够学会手工杀毒

前言：
其实很多人现在都还依靠杀毒软件为主进行防毒，但是就连防病毒软件公司内部人员都说：没有一款安全软件能对全球病毒的查杀率上20%，这点大家也不要不信，尽管目前有很多类似VB100的测试，但大家会发现装了过VB100N次的杀软还是中毒，这是为什么？我这里略讲一下病毒如何逃避杀软的查杀，也就是俗称的免杀，到目前为止大部分杀软查杀病毒主要还是依靠特征码，那么何为特征码？简单来说，就是你抓了一个或几个坏人（病毒），发现他们有一个共同点，都有刀疤，那么这个刀疤就是特征码，而病毒只要修改这个特征码就能逃过查杀，当然，也有所谓的启发式和主动防御来提高对病毒的查杀能力，这里我要说一点的是大家不要以为是现在的病毒厉害了所以难查杀，这是错误的，现在是杀软在缓慢的进步，病毒免杀在逐渐困难，05年的时候还只是通过单一特征码定位，定位出来的特征码随便改都可以逃过杀软查杀，而后就是复合特征码定位免杀...这里说得有点跑题了，总而言之，我是希望大家可以学习手工杀毒，杀毒软件只能作为辅助，当然，我还希望大家有时间能够接触了解Hips，这些都是废话了。

要手工杀毒，就要先确认是不是中毒了，而现在很多人深受杀毒软件广告迫害，电脑稍稍一点小问题就立即怀疑甚至以为是中毒了，那么如何确认是否中毒呢？通常明显有以下几点

①杀毒软件监控自动关闭，手动开启后过一会又自动关闭或手动无法开启监控，典型的橙色八月、AV终结者、磁碟机
②所有文件图标都变成一样，典型的蠕虫病毒，如：威金、熊猫烧香、机器狗等
③QQ、游戏账号无法登陆
...

那么在确认中毒之后应该做什么？

①检查注册表是否可以打开
②是否能进安全模式（重启按F8）
③杀毒软件、安全工具是否能打开

好了..来说下注册表被锁定、安全模式无法进入以及安全工具无法打开的解决方法。

注册表：
可以先下载一下两个附件允许是否可以解开，不行再试试第三种方法
123.reg (143 Bytes) 下载次数: 76
2009-7-5 17:01

321.html (381 Bytes) 下载次数: 112
2009-7-5 17:01


如果以上两种方法都不行，那么利用可以系统策略编辑器，输入“Gpedit.msc”后回车，打开“组策略”。然后，依次展开“用户配置→管理模板→系统”，双击右侧窗口中的“阻止访问注册表编辑工具”，在弹出的窗口中选择“已禁用”，“确定”后再退出“组策略”，即可为注册表解锁。

安全模式：
有些病毒会破坏安全模式，利用这个注册表文件修复即可： 12315.reg (12.54 KB) 下载次数: 96
2009-7-5 17:01

最后说下杀毒软件被屏蔽、安全工具无法开启的解决方法：
首先我们要确认安全工具无法打开是个什么样的情况，是允许了无反应或弹出其他东西还是一运行就报错且运行的那个文件消失了，
如果只是运行了无反应那么大家可以试试这种方法，例如卡巴斯基的运行文件为AVP.exe,那么你可以改成1222.exe或1254.com，这样就可以运行了（这个就是IFEO，也就是镜像劫持）
如果一运行就报错并且运行的那个文件消失掉，那么这个就麻烦了，我有一次就遇到这种毒，摸索了好久才解决，大家可以试着进入安全模式看看是否可以运行，如果还不行，就去下载WinPE系统，进到PE里面就可以了

接着就是要进行手工杀毒了，现在大部分病毒都是注入的，观看进程是看不出什么的，这时候就轮到SREng上场了，同过SREng扫描出报告可以揪出很多病毒！

第一课就这样吧...我要理理头绪了..