文章大纲：

• 1、我电脑中了盗号木马病毒，怎样才能杀啊？
• 2、清除木马
• 3、木马病毒的由来，为什么叫木马？谁知道啊？
• 4、木马病毒被成为特洛伊木马
• 5、百度安全中心提醒：您的电脑已经感染严重木马病毒,请及时清除以免导致CPU温度过高而爆炸。怎么办？？？
• 6、关于瑞星和木马

我电脑中了盗号木马病毒，怎样才能杀啊？

华军软件园下载地址： 木马清道夫介绍：《Windows木马清道夫》是一款专门查杀并可辅助查杀木马的专业级反木马信息安全产品，是全新一代的木马克星！《Windows木马清道夫》可自动查杀近10万种木马，配合手动分析可近100%对未知木马进行查杀！它不仅可以查木马，还可以分析出后门程序,黑客程序等等。它专业的分析功能，完美的升级功能，使您不再惧怕木马，让您远离木马的困扰！还不快把这位安全防卫专家请进您的电脑，您还在犹豫什么？ 为什么要选择《Windows木马清道夫》？ (1)自动查杀近10万种木马病毒、流行病毒及间谍程序等等 (2)有效的未知木马探测功能 (3)嵌入式行为分析，对每一个可疑程序的启动进行有效的拦截 (4)高速准确的硬盘扫描引擎，更快更稳定，将误杀降到更低 (5)专业的辅助查杀功能，让您迅速了解本机的安全状况 (6)强大的漏洞检测功能，增强您系统的抵抗力(7)人性化的操作界面，更容易上手 (8)内置高性能木马防火墙，真正实时保护系统及 *** 的安全 (9)提供插件扩展，更方便地扩展软件的各种功能 (10)完善的木马上报系统,及时地做出响应 (11)木马病毒库每天更新，让软件始终保持抵御最新木马病毒的状态!

清除木马

木马清道夫应可以解决你的问题

木马清道夫序列号:9Y31-89873-3239-K829

天空软件站下载地址：

华军软件园下载地址：

《Windows木马清道夫》是一款专门查杀并可辅助查杀木马的专业级反木马信息安全产品，是全新一代的木马克星！《Windows木马清道夫》可自动查杀近10万种木马，配合手动分析可近100%对未知木马进行查杀！它不仅可以查木马，还可以分析出后门程序,黑客程序等等。它专业的分析功能，完美的升级功能，使你不再惧怕木马，让您远离木马的困扰！还不快把这位安全防卫专家请进你的电脑，你还在犹豫什么？

为什么要选择《Windows木马清道夫》？

(1)自动查杀近10万种木马病毒、流行病毒及间谍程序等等

(2)有效的未知木马探测功能

(3)嵌入式行为分析，对每一个可疑程序的启动进行有效的拦截

(4)高速准确的硬盘扫描引擎，更快更稳定，将误杀降到更低！

(5)专业的辅助查杀功能，让您迅速了解本机的安全状况

(6)强大的漏洞检测功能，增强您系统的抵抗力

(7)人性化的操作界面，更容易上手！

(8)内置高性能木马防火墙，真正实时保护系统及 *** 的安全

(9)提供插件扩展，更方便地扩展软件的各种功能

(10)完善的木马上报系统,及时地做出响应

(11)木马病毒库每天更新，让软件始终保持抵御最新木马病毒的状态

木马病毒的由来，为什么叫木马？谁知道啊？

特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。

它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。

所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具 *** 置，往往只能望“马”兴叹。

所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。

从木马的发展来看，基本上可以分为两个阶段。

最初 *** 还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的 *** 和编程知识。

而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。

所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。

鉴于木马的巨大危害性，我们将分原理篇，防御与反击篇，资料篇三部分来详细介绍木马，希望大家对特洛伊木马这种攻击手段有一个透彻的了解。

原 理 篇

基础知识

在介绍木马的原理之前有一些木马构成的基础知识我们要事先加以说明,因为下面有很多地方会提到这些内容。

一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。

(1)硬件部分：建立木马连接所必须的硬件实体。 控制端：对服务端进行远程控制的一方。 服务端：被控制端远程控制的一方。 INTERNET：控制端对服务端进行远程控制，数据传输的 *** 载体。

(2)软件部分：实现远程控制所必须的软件程序。 控制端程序：控制端用以远程控制服务端的程序。 木马程序：潜入服务端内部，获取其操作权限的程序。 木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。

(3)具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。 控制端IP，服务端IP：即控制端，服务端的 *** 地址，也是木马进行数据传输的目的地。 控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马 程序。

木马原理

用木马这种黑客工具进行 *** 入侵，从过程上看大致可分为六步(具体可见下图)，下面我们就按这六步来详细阐述木马的攻击原理。

一.配置木马

一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方 面功能：

(1)木马伪装：木马配置程序为了在服务端尽可能的好的隐藏木马，会采用多种伪装手段，如修改图标 ，捆绑文件，定制端口，自我销毁等，我们将在“传播木马”这一节中详细介绍。

(2)信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址，IRC号 ，ICO号等等，具体的我们将在“信息反馈”这一节中详细介绍。

二.传播木马

(1)传播方式:

木马的传播方式主要有两种:一种是通过E-MAIL,控制端将木马程序以附件的形式夹在邮件中发送出 去, 收信人只要打开附件系统就会感染木马;另一种是软件下载，一些非正规的网站以提供软件下载为 名义， 将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。

(2)伪装方式:

鉴于木马的危害性,很多人对木马知识还是有一定了解的,这对木马的传播起了一定的抑 *** 用,这 是木马设计者所不愿见到的,因此他们开发了多种功能来伪装木马,以达到降低用户警觉,欺骗用户的目 的。

(一)修改图标

当你在E-MAIL的附件中看到这个图标时,是否会认为这是个文本文件呢?但是我不得不告 诉你,这也有可能是个木马程序,现在 已经有木马可以将木马服务端程序的图标改成HTML,TXT, ZIP等各种文件的图标,这有相当大的迷 惑性,但是目前提供这种功能的木马还不多见,并且这种 伪装也不是无懈可击的,所以不必整天提 心吊胆,疑神疑鬼的。

(二)捆绑文件

这种伪装手段是将木马捆绑到一个安装程序上,当安装程序运行时,木马在用户毫无察觉的 情况下 ,偷偷的进入了系统。至于被捆绑的文件一般是可执行文件(即EXE,COM一类的文件)。

(三)出错显示

有一定木马知识的人都知道,如果打开一个文件,没有任何反应,这很可能就是个木马程序, 木马的 设计者也意识到了这个缺陷,所以已经有木马提供了一个叫做出错显示的功能。当服务 端用户打开木 马程序时,会弹出一个如下图所示的错误提示框(这当然是假的),错误内容可自由 定义,大多会定制成 一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以 为真时,木马却悄悄侵入了 系统。

(四)定制端口

很多老式的木马端口都是固定的,这给判断是否感染了木马带来了方便,只要查一下特定的 端口就 知道感染了什么木马,所以现在很多新式的木马都加入了定制端口的功能,控制端用户可 以在1024---65535之间任选一个端口作为木马端口(一般不选1024以下的端口)，这样就给判断 所感染木马类型带 来了麻烦。

(五)自我销毁

这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马 会将自己拷贝到WINDOWS的系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下)，一般来说 原木马文件 和系统文件夹中的木马文件的大小是一样的(捆绑文件的木马除外),那么中了木马 的朋友只要在近来 收到的信件和下载的软件中找到原木马文件,然后根据原木马的大小去系统 文件夹找相同大小的文件, 判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木 马后，原木马文件将自动销毁，这 样服务端用户就很难找到木马的来源，在没有查杀木马的工 具帮助下，就很难删除木马了。

(六)木马更名

安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章,按 图索骥在系统文件夹查找特定的文件,就可以断定中了什么木马。所以现在有很多木马都允许控 制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。

三.运行木马

服务端用户运行木马或捆绑木马的程序后,木马就会自动进行安装。首先将自身拷贝到WINDOWS的 系统文件夹中(C:WINDOWS或C:WINDOWSSYSTEM目录下),然后在注册表,启动组,非启动组中设置好木马 的触发条件 ,这样木马的安装就完成了。安装后就可以启动木马了，具体过程见下图：

(1)由触发条件激活木马

触发条件是指启动木马的条件,大致出现在下面八个地方:

1.注册表:打开HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下的五个以Run 和RunServices主键,在其中寻找可能是启动木马的键值。

2.WIN.INI:C:WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在[windows]字段中有启动 命令 load=和run=,在一般情况下是空白的,如果有启动程序,可能是木马。 3.SYSTEM.INI:C:WINDOWS目录下有个配置文件system.ini，用文本方式打开，在[386Enh],[mic]， [drivers32]中有命令行,在其中寻找木马的启动命令。

4.Autoexec.bat和Config.sys:在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都 需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名 文件上传 到服务端覆盖这两个文件才行。

5.*.INI:即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将 *** 好的带有木马 启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。

6.注册表:打开HKEY_CLASSES_ROOT文件类型\shellopencommand主键,查看其键值。举个例子,国产 木马“冰河”就是修改HKEY_CLASSES_ROOT xtfileshellopencommand下的键值,将“C :WINDOWS NOTEPAD.EXE %1”该为“C:WINDOWSSYSTEMSYXXXPLR.EXE %1”，这时你双 击一个TXT文件 后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明 的是不光是TXT文件 ，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马 ，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile,ZIP是WINZIP，大家可以 试着去找一下。

7.捆绑文件:实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具 软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使 木马被删 除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。

8.启动菜单:在“开始---程序---启动”选项下也可能有木马的触发条件。

(2)木马运行过程

木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时服务端用 户可以在MS-DOS方式下，键入NETSTAT -AN查看端口状态，一般个人电脑在脱机状态下是不会有端口 开放的，如果有端口开放，你就要注意是否感染木马了。下面是电脑感染木马后，用NETSTAT命令查 看端口的两个实例：

其中①是服务端与控制端建立连接时的显示状态，②是服务端与控制端还未建立连接时的显示状态。

在上网过程中要下载软件，发送信件，网上聊天等必然打开一些端口，下面是一些常用的端口：

(1)1---1024之间的端口：这些端口叫保留端口，是专给一些对外通讯的程序用的，如FTP使用21， *** TP使用25，POP3使用110等。只有很少木马会用保留端口作为木马端口 的。

(2)1025以上的连续端口：在上网浏览网站时，浏览器会打开多个连续的端口下载文字，图片到本地 硬盘上，这些端口都是1025以上的连续端口。

(3)4000端口：这是OICQ的通讯端口。

(4)6667端口：这是IRC的通讯端口。 除上述的端口基本可以排除在外，如发现还有其它端口打开，尤其是数值比较大的端口，那就要怀疑 是否感染了木马，当然如果木马有定制端口的功能，那任何端口都有可能是木马端口。

四.信息泄露:

一般来说，设计成熟的木马都有一个信息反馈机制。所谓信息反馈机制是指木马成功安装后会收集 一些服务端的软硬件信息，并通过E-MAIL，IRC或ICO的方式告知控制端用户。下图是一个典型的信息反 馈邮件。

从这封邮件中我们可以知道服务端的一些软硬件信息，包括使用的操作系统，系统目录，硬盘分区况， 系统口令等，在这些信息中，最重要的是服务端IP，因为只有得到这个参数，控制端才能与服务端建立 连接，具体的连接 *** 我们会在下一节中讲解。

五.建立连接：

这一节我们讲解一下木马连接是怎样建立的 。一个木马连接的建立首先必须满足两个条件：一是 服务端已安装了木马程序；二是控制端，服务端都要在线 。在此基础上控制端可以通过木马端口与服 务端建立连接。为了便于说明我们采用图示的形式来讲解。

如上图所示A机为控制端，B机为服务端，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地 址，由于木马端口是A机事先设定的，为已知项，所以最重要的是如何获得B机的IP地址。获得B机的IP 地址的 *** 主要有两种：信息反馈和IP扫描。对于前一种已在上一节中已经介绍过了，不再赘述，我们 重点来介绍IP扫描，因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，所以现在A机只 要扫描IP地址段中7626端口开放的主机就行了，例如图中B机的IP地址是202.102.47.56，当A机扫描到 这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中，这时A机就可以通过木马的控 制端程序向B机发出连接信号，B机中的木马程序收到信号后立即作出响应，当A机收到响应的信号后， 开启一个随即端口1031与B机的木马端口7626建立连接，到这时一个木马连接才算真正建立。值得一提 的要扫描整个IP地址段显然费时费力，一般来说控制端都是先通过信息反馈获得服务端的IP地址，由于 拨号上网的IP是动态的，即用户每次上网的IP都是不同的，但是这个IP是在一定范围内变动的，如图中 B机的IP是202.102.47.56，那么B机上网IP的变动范围是在202.102.000.000---202.102.255.255，所以 每次控制端只要搜索这个IP地址段就可以找到B机了。

六.远程控制：

木马连接建立后，控制端端口和木马端口之间将会出现一条通道，见下图

控制端上的控制端程序可藉这条通道与服务端上的木马程序取得联系,并通过木马程序对服务端进行远 程控制。下面我们就介绍一下控制端具体能享有哪些控制权限，这远比你想象的要大。

(1)窃取密码：一切以明文的形式，*形式或缓存在CACHE中的密码都能被木马侦测到，此外很多木马还 提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马入侵， 密码将很容易被窃取。

(2)文件操作：控制端可藉由远程控制对服务端上的文件进行删除,新建,修改,上传,下载,运行,更改属 性等一系列操作,基本涵盖了WINDOWS平台上所有的文件操作功能。

(3)修改注册表：控制端可任意修改服务端注册表，包括删除，新建或修改主键，子键，键值。有了这 项功能控制端就可以禁止服务端软驱，光驱的使用，锁住服务端的注册表，将服务端 上木马的触发条件设置得更隐蔽的一系列高级操作。

(4)系统操作：这项内容包括重启或关闭服务端操作系统，断开服务端 *** 连接，控制服务端的鼠标， 键盘，监视服务端桌面操作，查看服务端进程等，控制端甚至可以随时给服务端发送信 息，想象一下，当服务端的桌面上突然跳出一段话，不吓人一跳才怪

木马和病毒都是一种人为的程序,都属于电脑病毒,为什么木马要单独提出来说内?大家都知道以前的电脑病毒的作用,其实完全就是为了搞破坏,破坏电脑里的资料数据,除了破坏之外其它无非就是有些病毒制造者为了达到某些目的而进行的威慑和敲诈勒索的作用,或为了炫耀自己的技术. "木马"不一样,木马的作用是 *** 裸的偷偷监视别人和盗窃别人密码,数据等,如盗窃管理员密码-子网密码搞破坏,或者好玩,偷窃上网密码用于它用,游戏帐号,股票帐号,甚至网上银行帐户等.达到偷窥别人隐私和得到经济利益的目的.所以木马的作用比早期的电脑病毒更加有用.更能够直接达到使用者的目的!导致许多别有用心的程序开发者大量的编写这类带有偷窃和监视别人电脑的侵入性程序,这就是目前网上大量木马泛滥成灾的原因.鉴于木马的这些巨大危害性和它与早期病毒的作用性质不一样,所以木马虽然属于病毒中的一类,但是要单独的从病毒类型中间剥离出来.独立的称之为"木马"程序.

一般来说一种杀毒软件程序,它的木马专杀程序能够查杀某某木马的话,那么它自己的普通杀毒程序也当然能够杀掉这种木马,因为在木马泛滥的今天,为木马单独设计一个专门的木马查杀工具,那是能提高该杀毒软件的产品档次的,对其声誉也大大的有益,实际上一般的普通杀毒软件里都包含了对木马的查杀功能.如果现在大家说某某杀毒软件没有木马专杀的程序,那这家杀毒软件厂商自己也好象有点过意不去,即使它的普通杀毒软件里当然的有杀除木马的功能.

还有一点就是,把查杀木马程序单独剥离出来,可以提高查杀效率,现在很多杀毒软件里的木马专杀程序只对木马进行查杀,不去检查普通病毒库里的病毒代码,也就是说当用户运行木马专杀程序的时候,程序只调用木马代码库里的数据,而不调用病毒代码库里的数据,大大提高木马查杀速度.我们知道查杀普通病毒的速度是比较慢的,因为现在有太多太多的病毒.每个文件要经过几万条木马代码的检验,然后再加上已知的差不多有近10万个病毒代码的检验,那速度岂不是很慢了.省去普通病毒代码检验,是不是就提高了效率,提高了速度内? 也就是说现在好多杀毒软件自带的木马专杀程序只查杀木马而一般不去查杀病毒,但是它自身的普通病毒查杀程序既查杀病毒又查杀木马!

木马病毒被成为特洛伊木马

Adware（广告软件）

一种广告显示软件，特别是指某些可能以一种用户想不到和不希望的方式或上下文主要用于潜在地传递广告内容的可执行应用软件。很多广告应用软件还具有跟踪功能，因此也可能被归类为跟踪技术。如果有些消费者反对这样的跟踪，不希望看到程序生成的广告，或者对程序对系统性能的影响感到失望，他们可能希望移除广告软件。另一方面，如果广告程序的出现可以降低得到某种想要的产品或服务的成本，或者它们可以提供像对用户正在考虑或寻找的产品的具有竞争力的或者补充的广告，对用户有用或者是用户想要的，有些用户可能希望保留特定的广告程序。（来源：反间谍软件联盟）

BOT病毒

BOT是机器人（Robot）的缩写，是被设计用于自动执行任务的一种程序。最初，bot是用于在UNIX环境中自动执行那些系统管理员要经常执行的无聊的任务。一些bot可以模拟人类对问题的反应，和用户自动地聊天。Bot也可以被恶意的用于远程攻击者控制受害的计算机。许多bot的实质就是这样，控制一台计算机与控制10万台计算机一样容易。Bot可以用于发送垃圾邮件，下载和存储非法文件，如某些类型的色情文学文件，或者使计算机加入对其他计算机的攻击。有种bot可以用作搜索受害计算机的硬盘驱动器，将机密信息发送到互联网上的远程站点以窃取别人身份信息。感染bot病毒的计算机通常被称为靶标（drones）或者僵尸（zombies）。

BOTNET（僵尸 *** 病毒）

一个botnet是一组被相同的“命令与控制中心”控制的受bot病毒感染的计算机。最近点对点（P2P）botnet已经被使用。这些botnet没有传统的命令与控制中心，而是全部都是同一支“军队”的一部分。

Hoaxes（恶作剧病毒）

Hoaxes通常是无聊恶作剧，使用连锁电子邮件的形式，而且还经常使用城市传说（Urban Legends）。计算机恶作剧病毒试图在收件人中造成恐惧、疑惑和怀疑（FUD），使他们相信他们的系统中有一种“无法侦测出来的病毒”（如果您可以删除它，那么它怎么能被侦测到呢？）。有些实际上就是要求收件人从他们的系统中删除文件的恶意内容。他们应该很简单地删除掉。发送它们给20个您的朋友不会给您带来任何好运，也不是您知道任何有关您的计算机的安全性的方式。

Snopes（）是一个关于恶作剧病毒、城市传说和欺诈病毒（scam）的优秀资源。

网站Electronic Ephemera站点包含了许多一般恶作剧病毒的信息，以及关于欺诈病毒如 *** 费欺骗病毒（advanced fraud fee scams）的大量信息。美国能源部计算机事件处理顾问功能（Computer Incident Advisory Capability），请访问。

Hoax Busters网站，。

Malware（恶意软件）

Malware代表有恶意目的的软件。类似Virus（病毒）、Trojan（特洛伊木马）、Worm（蠕虫）与Bot等术语都有特定的意义。Malware用于概括地描述任何恶意软件，不论其技术种类。

Payload病毒

例如盗窃数据、删除文件、重写磁盘、刷新BIOS等附加功能可能包含在蠕虫病毒或特洛伊木马中。注意，payload病毒并不一定是破坏性的——例如Form payload病毒是一种让键盘在每个月的某天产生点击噪音的病毒——除此以外，它没有任何损害。如果是特洛伊木马，它会有程序员希望达到的“秘密”功能。

Phishing（ *** 钓鱼攻击）

Phishing（与fishing发音一样）是一种社会工程攻击，试图骗取敏感的私人信息，如密码和/或信用卡详细资料。这通常是通过发送伪装成您信任的人或交易明显合法地要求获取您信息的电子邮件（或者类似通信手段）来完成的。最常见的钓鱼看起来好像来自于大众的主要街道银行，通常会威胁您，如果您不按照指示做的话，他们会中止服务或造成您不想要的结果。有时这种邮件看起来很真诚，而且包含可能原本来自于它模仿的来源的标识和内容。通常在邮件里会有一个带收件人到某个网站（同样可能看起来非常像合法站点）的链接，而这个站点就是用来获取想“钓”的资料。银行与如Ebay或者PayPal这样的合法公司决不会在未经请求的电子邮件中要求获得您的用户名和密码，记住这点非常重要。同样值得记住的是，钓鱼邮件中的链接尽管可能看起来是合法的，但总是会在下面指向一个不同的站点。当您想进入您的网上银行或者其他在线服务时，请一定要打开一个新的浏览器会话窗口并在地址栏输入正确的网址。

Rootkit

Rootkit是一个或者多个设计用于暗自控制一台计算机的工具的 *** 。最初，rootkit出现于UNIX操作系统中（包括Linux），是使得攻击者能够获取和保持计算机上更高级别用户权限（在UNIX系统中这种用户被称之为“root”——因此rootkit得名）的一个或者多个工具的 *** 。在基于Windows的系统中，rootkit更多地与对用户隐藏程序或进程的工具相关。在安装以后，Windows中的rootkit可以使用操作系统中的功能隐藏自身，以免被侦测出来，并且经常被用于隐藏像键盘记录器之类的其他恶意程序。Rootkit的使用并不一定都是恶意的，但是它们已经越来越多地被用于不受欢迎的行为与恶意软件中。

Scams（欺诈病毒）

Scams与phishing（ *** 钓鱼攻击）十分相似，但是通常它们对获取您的详细资料并不感兴趣，它们更多地是利用同情心或者人类的贪婪。例如，几乎每次灾难（地震、洪水、战争、饥荒）都会产生大量的scams，经常是用以一种“值得尊敬的”理由请求慈善援助的方式出现。 *** 费欺骗（有时称为419欺骗）提供给您一个获得大量金钱的机会，大概是通过帮助欺诈者从一个国家转移出更大一笔钱（通常是像尼日利亚之类的一个非洲国家）。这些scams总是会要求您寄给欺诈者一些钱用于弥补“管理”成本（常常是几千美元）。有时，这些scams会导致被骗者不见了，这是因为被骗者旅行到另一个国家去见他们的“赠送者”时被谋杀或者绑架了。在不这么极端的案例里，很多人损失了成千上万的美元给这些骗子。下面是一些避免类似scams的小贴士：

合法的慈善机构通常只会给那些明确选择（决定参加）接收来自于该慈善机构邮件的人们发送请求呼吁邮件。未经请求的类似邮件几乎都是欺诈——特别是在一个灾难事件之后很快出现的邮件。

不要被表面所欺骗。电子邮件可能会通过复制一个合法机构的图形和语言来使得自身看起来合法。很多包括灾难受害者的悲惨故事。如果有疑问，直接到该机构的网站，找出通过那里捐赠的 *** ，并考虑到类似的网站验证该慈善机构的合法性。

不要直接点击到链接：电子邮件中的链接可能会通向伪装一个真实机构的外观和感觉的“骗子”网站。

天下没有免费的午餐——如果看起来好的都不真实了，这几乎都是骗局。

有关Scambusters，请看，Scams的Hoax Busters，请看。

Spyware（间谍软件）

Spyware这个术语被用于两种方式。

狭义上说，Spyware是指在没有适当的通知、同意许可或者用户控制的情况下安装的追踪软件。

跟踪经常通过报告信息（从浏览历史到信用卡或个人详细资料的一切信息）给第三方完成。有些间谍软件是作为另一个程序的一部分传送，但是有些是作为一个蠕虫的payload（载荷）或者通过利用浏览器弱点在后台静默安装程序的网站传送。也有许多伪装成反间谍软件程序但实际上自身就是间谍软件的程序。（上有流氓反间谍与反病毒程序的列表）

广义上说，Spyware被用作反间谍软件联盟称为“间谍软件和其他潜在冗余技术”的同义词。这可以包括一些种类的cookies、商业键盘记录器和其他跟踪技术。

威胁演化的非常快：这不再仅仅指病毒。间谍软件、特洛伊木马、蠕虫和 *** 钓鱼攻击都在上升。恶意软件的开发者正在积极地改进它们的代码，试图躲避安全防护。在这里您将找到各种资源，理解这些不断发展的威胁的本质，它们对您的业务的影响以及为什么预先主动防护是如此重要。

Trojan Horse（特洛伊木马）

Trojan Horse经常也被仅仅称为Trojan，是一种声称做一件事情而实际上做另外一件事情的程序。不是总是破坏性的或者恶意的，它们常常与侦测文件、重写硬盘驱动器之类的事情有关，或者被用于为攻击者提供一个系统的远程访问权限。经典的木马包括作为游戏文件传送的键盘记录器或者伪装成有用应用程序的文件删除者。木马可以用于多种目的，包括：

远程访问（有时称为远程访问工具或RAT’s或者后门）

键盘记录于盗取密码（大部分间谍软件属于此类）

Virus（病毒）

病毒是一种通过拷贝自身或者准确地说以一种改进的形式进入其他一段可执行代码中的程序。病毒可以使用很多类型的宿主，最常见的一些是：

可执行文件（例如您的计算机上的程序）

引导扇区（告诉您的计算机从那里找到用于“引导”或者开启的代码部分）

脚本文件（例如Windows脚本或者Visual Basic脚本）

宏文件（这种现在非常少见了，因为宏在例如微软Word程序中不会默认执行）

当一个病毒把自身嵌入了其他可执行代码中时，这就保证了当其他代码运行时它也运行，并且病毒会通过在每次运行的时候搜索其他“干净”宿主的方式传播。有些病毒会重写原始文件，有效地破坏它们，但是很多仅仅是简单地插入成为宿主程序的一部分，因此两者都能幸存。取决于它们的编码方式，病毒可以通过许多系统文件、 *** 共享文件、文档里和磁盘引导区里传播。尽管某些病毒通过电子邮件传播，但是这样并不能使它们成为病毒，并且事实上，大多数在电子邮件中传播的东西实际上是蠕虫。要成为一个病毒，这个代码只需要去复制，它不需要造成很多损害，或者甚至不需要广泛地传播（参看Payload）。

Worm（蠕虫）

在计算机术语中，蠕虫实际上是病毒的一个子类，但是它们有能力自身复制，不需要一个宿主文件。

简单的说，病毒感染宿主，如何扰乱系统。蠕虫常常利用面向 *** 的服务的弱点。这样的蠕虫能够在易受攻击的系统 *** 上快速传播，因为它们不需要任何用户的介入就能运行。不过，最常见类型的蠕虫都携带在电子邮件中（注意，并不是邮件被感染了，而是它们携带了蠕虫病毒文件，这一点很重要）。在邮件带有蠕虫病毒的情况下，邮件的收件人就是被利用的弱点，通常会有一个诱人的主题或信息。

通常从系统中清除蠕虫比清除病毒容易多了，因为它们并不感染文件。蠕虫经常试图把它们添加到启动文件中，后者修改注册表键值以确保它们在每次系统启动时被加载。此外，蠕虫并不一定要造成任何损害（参看Payload）。

百度安全中心提醒：您的电脑已经感染严重木马病毒,请及时清除以免导致CPU温度过高而爆炸。怎么办？？？

一种名为“AV终结者”的电脑病毒目前正在网上肆虐，约十万台电脑的杀毒软件以及相关安全工具被病毒破坏，致使电脑失去安全保障，遭受到无数电脑病毒的轮番攻击。金山毒霸反病毒工程师提醒电脑用户，注意关闭U盘、移动硬盘等移动存储介质的自动播放功能。 电脑安全保障遭破坏 昨日上午，晨报记者在四川北路某外贸公司目睹了新病毒“AV终结者”的破坏效应。该公司经理宋振明说：“我们公司规模不大，只有8台电脑，一开始不知是谁先染上了病毒，后来因为相互使用U盘，很快就‘传染’开了。” 记者看到，由于没有及时更新病毒库，宋振明和其同事电脑使用的卡巴斯基等杀毒软件、防火墙全部自动关闭，电脑在没有任何防护措施的情况下暴露在网上，受到雨点般的病毒攻击。连“冲击波”等早已被攻克的旧病毒也任意“蹂躏”着这些电脑，飞速弹出的窗口、不断地自动重启让宋振明的公司办公系统陷入瘫痪。近日，新病毒“AV终结者”的迅速传播引起了国内外杀毒厂商的高度重视，其“忍者”般的隐蔽手段、强悍的杀毒软件破坏功能让众多电脑用户陷入“网上裸奔”境地。金山毒霸软件开发方提供的统计数据显示，目前至少有10万台电脑报告感染此病毒。 挑战整个反病毒行业 昨日下午，金山毒霸反病毒工程师李铁军在接受采访时介绍，“AV终结者”作者是有意识地挑战整个反病毒行业，其名称中的“AV”即为英文“反病毒”(An-ti-virus)的缩写。“这种病毒主要特征有：禁用所有杀毒软件以及相关安全工具，让用户电脑失去安全保障；致使用户根本无法进入安全模式清除病毒；强行关闭带有病毒字样的网页，只要在网页中输入‘病毒’相关字样，网页遂被强行关闭，即使是一些安全论坛也无法登陆，用户无法通过 *** 寻求解决办法。” “AV终结者”设计中最恶毒的一点是，用户即使重装操作系统也无法解决问题：“格式化系统盘重装后很容易被再次感染。用户格式化后，只要双击其他盘符，病毒将再次运行。” 注意U盘使用安全 李铁军介绍，除 *** 传播外，“AV终结者”的重要传播途径是U盘等移动存储介质。“它通过U盘、移动硬盘的自动播放功能传播，我们建议用户暂时关闭电脑的这一功能。”他建议，用户近期一定要注意U盘使用安全，不要在可疑电脑上使用U盘，以免自己的电脑受到传染。据了解，“AV终结者”会使用户电脑的安全防御体系被彻底摧毁，安全性几乎为零。它还自动连接到某网站，下载数百种木马病毒及各类盗号木马、广告木马、风险程序，在用户电脑毫无抵抗力的情况下，鱼贯而来，用户的网银、网游、 *** 账号密码以及机密文件都处于极度危险之中。近日，国内各反病毒中心监测到，一种采用“映像劫持”技术的病毒正在互联网上大肆流窜，其特征为：病毒运行后，会产生一个由数字和字母随机组成的8位名称的病毒进程，并且尝试关闭多款杀毒软件、防火墙和安全工具进程，使杀毒操作极其困难。目前，金山反病毒中心将该病毒统称为“AV终结者”，瑞星反病毒中心将该病毒称为“帕虫”，江民反病毒中心将该病毒称为“U盘寄生虫”（本文都将其称为“AV终结者”）。截止到昨天，其变种数已达500多个，波及人群超过10万人。 ★病毒发作时四步可使电脑彻底崩溃 据了解，6月8日，金山毒霸发布紧急预警，“AV终结者”病毒导致大量安全软件无法正常使用，用户系统安全面临严峻威胁；短短三天之后，6月12日，“AV终结者”危害行为变得更加恶劣，杀毒软件被禁用，反病毒网站无法打开，安全模式遭破坏，格式化系统盘后病毒仍无法清除，用户电脑的安全性被大大降低，电脑内的重要信息、机密文件、 *** 财产等面临严峻威胁。 金山毒霸反病毒专家戴光剑表示，“AV终结者”集目前更流行的病毒技术于一身，而且破坏过程经过了严密的“策划”，普通用户一旦感染该病毒，从病毒进入电脑，到实施破坏，四步就可导致用户电脑彻底崩溃： 1.禁用所有杀毒软件及相关安全工具，让电脑失去安全保障； 2.破坏安全模式，致使用户根本无法进入安全模式清除病毒； 3.强行关闭带有病毒字样的网页，只要在网页中输入“病毒”相关字样，网页遂被强行关闭，即使是一些安全论坛也无法登录，用户无法通过 *** 寻求解决办法； 4.格式化系统盘重装后很容易被再次感染。用户格式化后，只要双击其他盘符，病毒将再次运行。 此外，经过“AV终结者”的精心“策划”，用户电脑的安全防御体系被彻底摧毁，安全性几乎为零，而“AV终结者”并未就此罢手，自动连接到拥有病毒的网站，并自动下载数百种木马病毒，各类盗号木马、广告木马、风险程序用户电脑毫无抵抗力的情况下，鱼贯而来，用户的网银、网游、 *** 账号密码以及机密文件都处于极度危险之中。因此提醒电脑用户目前使用电脑需慎之又慎。 ★感染病毒之后常用杀毒软件无法查杀 同时，记者从瑞星反病毒中心了解到，瑞星反病毒中心目前暂将该病毒称为“帕虫”病毒。据瑞星反病毒中心表示：“该病毒采用了多种技术手段来保护自身不被清除，例如，它会终结几十种常用的杀毒软件，如果用户使用google、百度等搜索引擎搜索‘病毒’，浏览器也会被病毒强制关闭，使得用户无法取得相关信息。尤为恶劣的是，该病毒还采用了IFEO劫持（windows文件映像劫持）技术，修改注册表，使 *** 医生、360安全卫士等几十种常用软件无法正常运行，从而使得用户很难手工清除该病毒。” 此外，据瑞星反病毒专家介绍：“该病毒通过映像劫持技术，将大量杀毒软件‘绑架’，使其无法正常应用，而用户在点击相关安全软件后，实际上已经运行了病毒文件，实现病毒的“先劫持后掉包”的计划。该病毒不但可以劫持大量杀毒软件以及安全工具，而且还可禁止Windows的自更新和系统自带的防火墙，大大降低了用户系统的安全性，这也是近几年来对用户的系统安全破坏程度更大的一个病毒之一。而且该病毒还会在每个磁盘分区上建立自动运行文件（包括U盘），从而使得通过U盘传播的概率大大增加。同时，由于每个分区上都有病毒留下的文件，普通用户即使格式化C盘重装系统，也无法彻底清除该病毒。” 我上个星期就中了这种毒。其实应该很早就中了的，应该在上个月已经中了毒，但是当时没太在意。就是上星期，7号那天，感觉比较严重了，就去杀，结果搞了半天无能为力，病毒实在太厉害了，搞的电脑差点完蛋。我试图进安全模式杀，但安全模式根本就进不了，不停重启，根本就无法开机了。没办法，只好重装系统了。到现在还没杀死。太强了病毒。 可以看下面的参考资料，有专杀工具下载。 参考资料： ;ADUIN=251090937ADSESSION=1181703544ADTAG=CLIENT. *** .1579_SvrPush_Url.0

关于瑞星和木马

说到国内的杀毒软件市场，人们首先想到的就是瑞星，不仅仅因为瑞星是一个国内的老品牌，关键还是经过市场的检验，瑞星得到了人们的认可。包括诺顿等一批国外的杀毒豪门都无法撼动瑞星的地位。

当然，市场的认可还需要不断地推陈出新。当初奇虎打出的安全卫士也在市场上以截杀流氓软件的名号呼啸一时，如今流氓软件已经没有了，360安全卫士也开始主打“查杀木马”了。众所周知，要想彻底清除木马，必须具备系统级的技术能力，实时监控、主动防御、 *** 监控这些功能都要有，才能把木马彻底干掉，否则会被巧妙地绕过去。安全卫士有这个能力吗？

日前，瑞星安全专家发出警告，约有近70万种木马病毒正在威胁着上网电脑，电脑用户必须使用国内外主流的正规杀毒软件防范木马病毒。在目前木马病毒肆虐的情况下，依然有一些用户被各种传言所误导，不用正规的杀毒软件，只用一些可以查杀少量木马的安全工具来保护电脑安全。近半年来，瑞星客户服务中心接到了数百起该类用户的求助，但是大部分用户的账号等私人信息已经被木马病毒窃取。

瑞星表示，“现在网上有一个错误观点，将木马和其它电脑病毒区别对待，其实木马只是病毒的一类。”按照全球安全行业以往的惯例，根据电脑病毒的感染方式、行为特征等，将其分为木马病毒、后门病毒、蠕虫病毒等，但随着病毒技术的发展，各类病毒之间逐渐呈现出相互融合的态势。特别是近年来，很多木马病毒同时具有蠕虫的特征，感染性很强，有的甚至直接和蠕虫等进行捆绑，形成复杂的混合型病毒。只有正确使用主流的正规杀毒软件才能避免木马病毒的侵害，这些软件基本要具备以下三个条件，一是拥有庞大、全面的病毒库，譬如瑞星杀毒软件2008版，可以查杀70万种左右的木马病毒，这是任何一个安全工具难以比拟的；二是拥有广泛、专业的新病毒监控和样本收集系统，以及快速的新病毒反应能力；三是拥有可以彻底清除"混合型木马"的底层核心技术。

很显然，瑞星喊出“查杀70万”的口号，一看就知道是对准360而来，而且正打中他的命门！之前，安全卫士表示：“目前多数的杀毒软件或者木马专杀工具一般只拥有数万个木马样本库，尽管刚刚才推出木马查杀工具，不过360安全卫士提供了10万木马的查杀功能，已经成为国内更大、拥有木马样本库最齐全的安全软件。”不过，DONEWS有篇文章已经指出安全卫士的10万并不准确《查木马杀病毒，周鸿祎您的360不专业！》。据悉，像360这样的安全工具，不可能像正规杀毒软件那样有清除多种病毒的能力，例如加壳、变形、感染的木马，需要强大的杀毒引擎支持才行。从技术角度看，360的木马查杀不过就是判断文件名、文件路径，再“高深一点”的技术手段，就是判断一下病毒文件的MD5值。也就是说，只要木马文件稍微变形，360失效了。这样的手段，顶多能杀掉10%的简单木马。瑞星原先给人一种“杀木马不行”的印象，不过是周利用市场手段造成的错觉，而且瑞星反映的也比较迟钝。此次瑞星出手，70万的查杀木马能力，360前途堪忧啊。