有效清除遠(yuǎn)程控制木馬PaiN的方法和技巧

　　最近郵箱里面收到一些與遠(yuǎn)控木馬PaiN有關(guān)的求救信，研究了該病毒，發(fā)現(xiàn)它竟然能拒絕在虛擬機(jī)中運(yùn)行，這樣很難發(fā)現(xiàn)它的蹤跡，真的很狡猾。中了該病毒，電腦會(huì)有以下癥狀：1. 各種賬號(hào)和密碼被盜。2.殺毒軟件莫名其妙地被關(guān)閉。3. 系統(tǒng)中的軟件被刪除、顯示器分辨率被修改。4.上網(wǎng)速度很慢。

　　該病毒的清除方法如下。

　　第一步：首先運(yùn)行安全輔助工具IceSword(下載地址：http://www.mydown.com/soft/utilitie/system/76/428076.shtml)并點(diǎn)擊列表中的“進(jìn)程”按鈕，接著在進(jìn)程列表中選擇進(jìn)程iexplore.exe后，點(diǎn)擊右鍵選擇菜單中的“結(jié)束進(jìn)程”命令即可結(jié)束該進(jìn)程。這樣木馬程序就失去了與黑客的聯(lián)系。

　　第二步：運(yùn)行《金山清理專(zhuān)家》(下載地址：http://www.mydown.com/soft/utilitie/system/241/437241.shtml)，點(diǎn)擊“在線系統(tǒng)診斷”中的“啟動(dòng)項(xiàng)管理”，會(huì)發(fā)現(xiàn)有兩個(gè)標(biāo)明未知的加載項(xiàng)(見(jiàn)圖)，選中這些加載項(xiàng)后右鍵點(diǎn)擊鼠標(biāo)，在彈出的窗口選擇“修復(fù)該項(xiàng)”即可。再切換到“瀏覽器修復(fù)”，同樣會(huì)發(fā)現(xiàn)一個(gè)標(biāo)明未知的ActiveX控件，右鍵點(diǎn)擊選擇“清除選項(xiàng)”即可。

　　第三步：點(diǎn)擊IceSword左側(cè)工具欄中的“文件”按鈕，在系統(tǒng)盤(pán)的Windows目錄中找到木馬程序的主文件server.exe并刪除。運(yùn)行系統(tǒng)修復(fù)工具SREng(下載地址：http://www.mydown.com/soft/utilitie/systems/327/440327.shtml)，選擇“系統(tǒng)修復(fù)”中的“高強(qiáng)修復(fù)”標(biāo)簽，直接點(diǎn)擊“修復(fù)安全模式”按鈕，就可以修復(fù)被木馬破壞的系統(tǒng)安全模式。

　　最后重新安裝殺毒軟件并升級(jí)病毒庫(kù)到最新版本，再進(jìn)行全盤(pán)查殺，將病毒殘留物徹底清除干凈。

　　話(huà)題：主動(dòng)防御功能為什么會(huì)失效?

　　現(xiàn)在很多殺毒軟件都帶有主動(dòng)防御功能，可安裝它們后還是會(huì)“不知不覺(jué)”地中病毒，主動(dòng)防御功能為什么會(huì)失效呢?主動(dòng)防御是個(gè)防范病毒的好東東，但并不是無(wú)懈可擊，在面對(duì)驅(qū)動(dòng)級(jí)病毒時(shí)就可能會(huì)失效。下面就聽(tīng)小編給大家詳細(xì)講解其中的奧秘。

　　提到主動(dòng)防御，就要說(shuō)到SSDT。因?yàn)橹鲃?dòng)防御是依靠行為動(dòng)作來(lái)判斷文件是否為惡意程序的，而要截獲文件的所有動(dòng)作，就只有在系統(tǒng)的SSDT中才可以完成。

　　提示：SSDT的中文意思是系統(tǒng)服務(wù)描述符表。SSDT的作用就是按照默認(rèn)的規(guī)則，將應(yīng)用程序的操作指令轉(zhuǎn)化成系統(tǒng)內(nèi)核所理解的信息并進(jìn)行處理。當(dāng)系統(tǒng)層將信息處理完成以后，再由SSDT將處理信息轉(zhuǎn)換成最終的結(jié)果。SSDT就是操作層和系統(tǒng)層的“翻譯”。

　　殺毒軟件的主動(dòng)防御修改了SSDT表中的內(nèi)容，相當(dāng)于在SSDT中安裝了一個(gè)“監(jiān)聽(tīng)器”。這個(gè)“監(jiān)聽(tīng)器”發(fā)現(xiàn)傳輸?shù)男畔⒅锌赡艽嬖谖：ο到y(tǒng)安全的行為時(shí)，就會(huì)先將這些行為攔截，并悄悄地告訴殺毒軟件的主動(dòng)防御。然后主動(dòng)防御根據(jù)自身的規(guī)則，對(duì)這個(gè)行為的安全性進(jìn)行判斷。如果行為是安全的，就放行，反之就進(jìn)行攔截。

　　為了對(duì)付主動(dòng)防御，驅(qū)動(dòng)級(jí)病毒誕生了。驅(qū)動(dòng)級(jí)病毒含有一個(gè)驅(qū)動(dòng)文件，當(dāng)驅(qū)動(dòng)文件在安裝成功后，就會(huì)將SSDT表恢復(fù)到系統(tǒng)的默認(rèn)狀態(tài)。這時(shí)SSDT中就沒(méi)有“監(jiān)聽(tīng)器”了，殺毒軟件就失去了“千里眼，順風(fēng)耳”，主動(dòng)防御功能最終失效也就是必然的了。

　　提示：只有驅(qū)動(dòng)文件才可以對(duì)SSDT的內(nèi)容進(jìn)行操作。