不起眼但很强大的系统自带杀毒工具

《不起眼但很强大的系统自带杀毒工具》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、不起眼但很强大的系统自带杀毒工具～教育资源库　　.exe删除，重启后它又会重新加载，怎么也无法彻底清除它。从此现象来看，朋友中的应该是双进程木马。这种木马有监护进程，会定时进行扫描，一旦发现被监护的进程遭到查杀就会复活它。而且现在很多双进程木马互为监视，互相复活。因此查杀的关键是找到这互相依靠的两个木马文件。借助任务管理器的PID标识可以找到木马进程。　　调出.exe/f命令。刷新一下电脑后重新输入上述命令如图1，可以看到这次终止的system.exe进程的PID为1536，它属于PID为676的某个进程。也就是说PID为1536的syste

2、m.exe进程是由PID为676的进程创建的。返回任务管理器，通过查询进程PID得知它就是inter.exe进程进程。(如图)　　找到了元凶就好办了，现在重新启动系统进入安全模式，使用搜索功能找到木马文件c：.exe，主要是由于没有找到inter.exe(且没有删除其启动键值)，导致重新进入系统后inter.exe复活木马。　　2.揪出狂写硬盘的P2P程序　　单位一电脑一开机上网就发现硬盘灯一直闪个不停，硬盘狂旋转。显然是本机有什么程序正在进行数据的读取，但是反复杀毒也没发现病毒、木马等恶意程序。　　打开该电脑并上网，按Ctrl+Alt+De

3、l键启动了任务管理器，切换到进程选项卡，点击菜单命令查看→选择列，同时勾选上I/O写入和I/O写入字节两项。确定后返回任务管理器，发现一个陌生的进程hidel.exe，虽然它占用的CPU和内存并不是特别大，但是I/O的写入量却大得惊人，看来就是它在捣鬼了，赶紧右击它并选择结束进程终止，果然硬盘读写恢复正常了。　　二、系统备份工具杀毒于无形　　笔者曾遭遇一个无法删除的病毒C：ProgramFilesmonFilesPCSuiteasdf.exe，同时也无法复制这个文件，如何清除它。笔者通过系统备份工具清除了该病毒，操作过程如下：　　第

4、一步：单击开始→所有程序→附件→系统工具→备份，打开备份或还原向导窗口，备份项目选择让我选择要备份的内容，定位到C：ProgramFilesmonFilesPCSuite。　　第二步：继续执行备份向导操作，将备份文件保存为g：virus.bkf，备份选项勾选使用卷阴影复制，剩余操作按默认设置完成备份。　　第三步：双击g：virus.bak，打开备份或还原向导，把备份还原到g：virus。接着打开g：virus，使用记事本打开病毒文件rasdf.exe，然后随便删除其中几行代码并保存，这样病毒就被我们使用

5、记事本破坏了(它再也无法运行)。　　第四步：操作同上，重新制作k：virus的备份为k：virus1.bkf。然后启动还原向导，还原位置选择C：ProgramFilesmonFilesPCSuite，还原选项选择替换现有文件。这样，虽然当前病毒正在运行，但备份组件仍然可以使用坏的病毒文件替换当前病毒。还原完成后，系统提示重新启动，重启后病毒就不会启动了(因为它已被记事本破坏)。　　三、记事本也能借刀杀毒　　1.双进程木马的查杀　　现在，越来越多的木马采用双进程守护技术保护自己，就是两个拥有同样功能的代码程序，不断地检测对方是否已经被别人终止，

6、如果发现对方已经被终止了，那么又开始创建对方，这给我们的查杀带来很大的困难。不过，此类木马也有软肋，它只通过进程列表进程名称来判断被守护进程是否存在。这样，我们只要用记事本程序来替代木马进程，就可以达到欺骗守护进程的目的。　　下面以某变种木马的查杀为例。中招该木马后，木马的inter.exe和systemtray.exe两个进程会互相监视。当然，我们中招的时候大多不知道木马具体的监护进程。不过，通过进程名称可以知道，systemtray.exe是异常的进程，因为系统正常进程中没有该进程。下面使用替换方法来查杀该木马。12下一页友情提醒：，特别

7、！　　第一步：单击开始→运行，输入Msinfo32打开系统信息窗口，展开系统摘要→软件环境→正在运行任务，这里可以看到systemtray.exe路径在C：ACHINESOFTicrosoftACHINESOFTicrosoftWindoageFileExecutionOptionsKAVSVC.EXE]　　Debugger=d：1.exe　　(注：第一行代码下有空行。)　　第二步：双击导入该reg文件后，确定。　　第三步：点开始→运行后，输入KAVSVC.EXE。　　提示：1.exe可以是任意无用的文

8、件，是我们随意创建一个文本文件后将后缀名.txt改为.exe的，　　总结：当我们饱受病毒木马的折磨，在杀毒软件无能为力或者感觉杀鸡焉用宰牛刀时，不妨运用系统工具进行