杀毒软件反被病毒杀 连“救命”都不能喊

　案例二：瑞星被劫持

　　1.症状：开机后瑞星实时监控没有运行，打开“任务管理器”，没有与瑞星相关的进程。快捷方式运行瑞星没有任何反映。到瑞星的安装目录下，目录下的文件没有更改或者删除的迹象。

　　2.原因：Windows NT系统在试图执行一个从命令行调用的可执行文件运行请求时，先会检查运行程序是不是可执行文件，如果是的话，再检查格式的，然后就会检查注表"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options"项下该命令对应的程序文件，如果有就执行对应的程序文件，没有的话执行真正的程序文件。

　　因为这个注册表项的优先级高，因此就会产生欺骗，也就是映像劫持。瑞星2008比较好地杜绝了taskkill、ntsd命令对其进程的操作，但没有解决映像劫持。病毒木马通过添加相关的项，让自己运行而瑞星不能运行。然后病毒、木马就可以屠城了，对系统肆意杀戮，当然包括瑞星。

　　比如通过一个批处理就可以让QQ劫持瑞星：

　　@echo off

　　reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe"

　　reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe" /v RavTask.exe /t REG_EXPAND_SZ /d %*%

　　exit

　　注：*为你的QQ主文件的路径。

最新相关文章

• ·防止病从口入 打造聪明型卡巴斯基
• ·新版ESET NOD32杀毒套装体验
• ·暴破HTTP验证检测页面口令强度
• ·网管秘籍：选择安全漏洞扫描工具
• ·一站式解决方案：360顽固木马专杀大全
• ·08十大上网必备软件 保你一年高枕无忧
• ·你的密码是否强大 让微软帮你测试便知
• ·暴强！教你1分钟激活卡巴斯基（视频）
• ·在线杀毒保护你 六大在线杀毒网站评测
• ·高手支招 如何发现和防止Sniffer嗅探器
• ·瑞星卡卡:流氓软件已死 我还能杀谁
• ·dummycom木马专杀工具
• ·防盗：用360为游戏帐号保驾护航
• ·“机器狗/AV终结者/8749” 木马专杀工具
• ·捍卫你的系统 防杀机器狗病毒工具导用
• ·PC Tools杀毒软件 大家电脑的安全保护神