有效清除遠程控制木馬PaiN的方法和技巧

　　最近郵箱里面收到一些與遠控木馬PaiN有關(guān)的求救信，研究了該病毒，發(fā)現(xiàn)它竟然能拒絕在虛擬機中運行，這樣很難發(fā)現(xiàn)它的蹤跡，真的很狡猾。中了該病毒，電腦會有以下癥狀：1. 各種賬號和密碼被盜。2.殺毒軟件莫名其妙地被關(guān)閉。3. 系統(tǒng)中的軟件被刪除、顯示器分辨率被修改。4.上網(wǎng)速度很慢。

　　該病毒的清除方法如下。

　　第一步：首先運行安全輔助工具IceSword(下載地址：http://www.mydown.com/soft/utilitie/system/76/428076.shtml)并點擊列表中的“進程”按鈕，接著在進程列表中選擇進程iexplore.exe后，點擊右鍵選擇菜單中的“結(jié)束進程”命令即可結(jié)束該進程。這樣木馬程序就失去了與黑客的聯(lián)系。

　　第二步：運行《金山清理專家》(下載地址：http://www.mydown.com/soft/utilitie/system/241/437241.shtml)，點擊“在線系統(tǒng)診斷”中的“啟動項管理”，會發(fā)現(xiàn)有兩個標明未知的加載項(見圖)，選中這些加載項后右鍵點擊鼠標，在彈出的窗口選擇“修復(fù)該項”即可。再切換到“瀏覽器修復(fù)”，同樣會發(fā)現(xiàn)一個標明未知的ActiveX控件，右鍵點擊選擇“清除選項”即可。

　　第三步：點擊IceSword左側(cè)工具欄中的“文件”按鈕，在系統(tǒng)盤的Windows目錄中找到木馬程序的主文件server.exe并刪除。運行系統(tǒng)修復(fù)工具SREng(下載地址：http://www.mydown.com/soft/utilitie/systems/327/440327.shtml)，選擇“系統(tǒng)修復(fù)”中的“高強修復(fù)”標簽，直接點擊“修復(fù)安全模式”按鈕，就可以修復(fù)被木馬破壞的系統(tǒng)安全模式。

　　最后重新安裝殺毒軟件并升級病毒庫到最新版本，再進行全盤查殺，將病毒殘留物徹底清除干凈。

　　話題：主動防御功能為什么會失效?

　　現(xiàn)在很多殺毒軟件都帶有主動防御功能，可安裝它們后還是會“不知不覺”地中病毒，主動防御功能為什么會失效呢?主動防御是個防范病毒的好東東，但并不是無懈可擊，在面對驅(qū)動級病毒時就可能會失效。下面就聽小編給大家詳細講解其中的奧秘。

　　提到主動防御，就要說到SSDT。因為主動防御是依靠行為動作來判斷文件是否為惡意程序的，而要截獲文件的所有動作，就只有在系統(tǒng)的SSDT中才可以完成。

　　提示：SSDT的中文意思是系統(tǒng)服務(wù)描述符表。SSDT的作用就是按照默認的規(guī)則，將應(yīng)用程序的操作指令轉(zhuǎn)化成系統(tǒng)內(nèi)核所理解的信息并進行處理。當系統(tǒng)層將信息處理完成以后，再由SSDT將處理信息轉(zhuǎn)換成最終的結(jié)果。SSDT就是操作層和系統(tǒng)層的“翻譯”。

　　殺毒軟件的主動防御修改了SSDT表中的內(nèi)容，相當于在SSDT中安裝了一個“監(jiān)聽器”。這個“監(jiān)聽器”發(fā)現(xiàn)傳輸?shù)男畔⒅锌赡艽嬖谖：ο到y(tǒng)安全的行為時，就會先將這些行為攔截，并悄悄地告訴殺毒軟件的主動防御。然后主動防御根據(jù)自身的規(guī)則，對這個行為的安全性進行判斷。如果行為是安全的，就放行，反之就進行攔截。

　　為了對付主動防御，驅(qū)動級病毒誕生了。驅(qū)動級病毒含有一個驅(qū)動文件，當驅(qū)動文件在安裝成功后，就會將SSDT表恢復(fù)到系統(tǒng)的默認狀態(tài)。這時SSDT中就沒有“監(jiān)聽器”了，殺毒軟件就失去了“千里眼，順風(fēng)耳”，主動防御功能最終失效也就是必然的了。

　　提示：只有驅(qū)動文件才可以對SSDT的內(nèi)容進行操作。