巧妙从进程中判断出病毒

当我们确认系统中存在病毒,但是通过“任务管理器”查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法:

1.以假乱真

系统中的正常进程有:svchost.exe、explorer.exe、iexplore.exe、winlogon.exe等,可能你发现过系统中存在这样的进程:svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下,发现区别了么?这是病毒经常使用的伎俩,目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0,l改为i,i改为j,然后成为自己的进程名,仅仅一字之差,意义却完全不同。又或者多一个字母或少一个字母,例如explorer.exe和iexplore.exe本来就容易搞混,再出现个iexplorer.exe就更加混乱了。如果用户不仔细,一般就忽略了,病毒的进程就逃过了一劫。

2.偷梁换柱

如果用户比较心细,那么上面这招就没用了,病毒会被就地正法。于是乎,病毒也学聪明了,懂得了偷梁换柱这一招。如果一个进程的名字为svchost.exe,和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢?非也,其实它只是利用了“任务管理器”无法查看进程对应可执行文件这一缺陷。我们知道svchost.exe进程对应的可执行文件位于“C:\WINDOWS\system32”目录下(Windows2000则是C:\WINNT\system32目录),如果病毒将自身复制到“C:\WINDOWS\”中,并改名为svchost.exe,运行后,我们在“任务管理器”中看到的也是svchost.exe,和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗?

3.借尸还魂

除了上文中的两种方法外,病毒还有一招终极大法——借尸还魂。所谓的借尸还魂就是病毒采用了进程插入技术,将病毒运行所需的dll文件插入正常的系统进程中,表面上看无任何可疑情况,实质上系统进程已经被病毒控制了,除非我们借助专业的进程检测工具,否则要想发现隐藏在其中的病毒是很困难的。

标签:病毒, 进程
时间:2013-06-24

巧妙从进程中判断出病毒的相关文章

可以巧妙从进程中判断出病毒和木马

任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法.但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文. 病毒进程隐藏三法 当我们确认系统中存在病毒,但是通过"任务管理器"查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法: 1.以假乱真 系统中的正常进程

巧妙的从Windows进程中判断出病毒和木马的三点突破

任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文。 病毒进程隐藏三法 当我们确认系统中存在病毒,但是通过“任务管理器”查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法: 1.以假乱真 系统中的正常进程有:svc

怎么从进程中找出病毒和木马

任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法.但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文. 一.病毒进程隐藏三法 当我们确认系统中存在病毒,但是通过"任务管理器"查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法: 1.1 以假乱真 系统中的

从进程中找出病毒和木马

任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文。

揪出藏在局域网中的ARP病毒

最近,小武单位的局域网总是不稳定,连连出现断网的现象。给同事们网络办公带来很多不便。起初小武还以为局内信息中心故障呢?可是小武发现掉线越来越频繁。与信息中心联系后,才发现其他单位电脑正常,没有发生过掉线现象。小武这下才认定问题出现在自己单位。经过对硬件检测后,小武断定是病毒在捣鬼!根据局域网内计算机频繁掉线的现象,小武认为单位的某台电脑可能中了“ARP”的病毒,这种病毒有些杀毒软件很难根除,于是小武便在局域网内展开了ARP病毒捕杀过程。

smsvchost.exe是什么文件 电脑中Svchost.exe病毒解决办法

进程文件: smsvchost.exe or smsvchost 进程名称: SMSvcHost.exe smsvchost.exe 描述: smsvchost.exe is a SMSvcHost.exe from Microsoft Corporation belonging to Microsoft® .NET Framework Recommendation for smsvchost.exe: This process is still being reviewed by our te

根据PID进程号查杀病毒木马

根据PID进程号查杀病毒木马 对遇到的"顽固"病毒进程,可以通过系统的内置命令--ntsd,强行杀死一切病毒进程.(除System进程.SMSS.EXE进程.CSRSS.EXE进程不能"对付"外,基本可以对付其它一切进程.但是在使用该命令杀死病毒进程之前,需要先查找到对应病毒进程的具体进程号.) 考虑到系统进程列表界面在默认状态下,是不显示具体进程号的,因此,可用以下方法: (1)打开系统任务管理器窗口,再单击"查看"菜单项下面的"选择

mdm.exe是什么进程?mdm.exe是病毒吗?mdm.exe的介绍

来历及作用 mdm.exe进程程序文件是由微软公司为其发布的Windows操作系统定义的一个系统进程,官方描述为:Machine Debug Manager(计算机调试管理器),计算机调试管理器Mdm.exe是随Microsoft脚本编辑器一起安装的程序,可提供程序调试支持等等(如Internet Explorer中脚本)。Microsoft脚本编辑器随Microsoft Office 2000及以后版本,或者Microsoft Visual Studio和其他微软开发环境而一起被安装到系统中,

局域网中解决ARP病毒的有效方法

一、找出病毒的根源 首先打开局域网内所有电脑,随后下载了一款名为“Anti Arp Sniffer”的工具,这是一款ARP防火墙软件,该软件通过在系统内核层拦截虚假ARP数据包来获取中毒电脑的IP地址和MAC地址。此外,该软件能有效拦截ARP病毒的攻击,保障该电脑数据流向正确。 使用“Anti Arp Sniffer”查找感染毒电脑时,启动该程序,随后在右侧的“网关地址”项中输入该局域网内的网关IP,随后单击“枚取MAC”这是该出现会自动获取到网关电脑网卡的MAC地址。MAC获取后单击“自动保护