标题: 几个过主动防御的方法 [打印本页]

---

作者: yjh311     时间: 2008-7-28 21:11    标题: 几个过主动防御的方法

一般的木马运行添加自启动就会被杀毒软件的主动防御或者360拦截,前几天在网上发现了几个注册表自启动的方法,效果还不错,也算是目前主动防御的一大死角了,连微点竟然也拦截不到.
1.cmd运行前执行的程序(被动启动)
HKEY_CURRENT_USER\Software\Microsoft\Command Processor
AutoRun            REG_SZ              "xxx.exe"

2.session manager(自启动)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Session Manager
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager
BootExecute        REG_MULIT_SZ          "autocheck autochk *      xxx"
瑞星就来了一个bsmain，用来开机查毒
不过xxx.exe必须用Native API，不能用Win32API

3.屏幕保护程序(被动启动)
HKEY_USERS\.DEFAULT\Control Panel\Desktop
SCRNSAVE.EXE    REG_SZ      "xxx.scr"
其实屏幕保护程序scr文件就是PE文件

4.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Run
"MSCONFIG"="%SystemRoot%\\xxx.exe"

——还有很多注册表项更改后,可以实现自启动,这里先写这几个,其他的去要测试.
另外,还有一个偷换控制面板文件来被动启动的方式，控制面板文件在C:\windows\system32\下
的.cpl文件,这个文件类似与dll文件.方法给大家了,至于怎么利用,大家就各显神通吧!


以上是我在一些论坛上看到的，不知道是不是真的

---

作者: Legend     时间: 2008-7-28 21:17
微点对此类方式的有害程序均有很好的防御和查杀效果，请您放心使用。

---

作者: 如风过路     时间: 2008-7-29 00:04
修改注册表微点也会报的

---

作者: stht1986     时间: 2008-7-29 00:11
很多的，主动防御并不是完美无缺的，任何产品也不可能是完美的，不过，以微点的主动防御加上良好的电脑习惯，是不可能中毒的

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn