一、對(duì)于啟動(dòng)進(jìn)程的EXE病毒的查殺

 

1、在進(jìn)程中可以發(fā)現(xiàn)的單進(jìn)程EXE病毒或木馬程序，如：svch0st.exe，有些殺毒軟件可以發(fā)現(xiàn)且可以停掉進(jìn)程，殺掉病毒;有些殺毒軟件會(huì)報(bào)警提示用戶或形成日志，需要用戶作進(jìn)一步判斷后，再手工停掉相應(yīng)進(jìn)程，殺掉病毒。

 

2、在進(jìn)程中可以發(fā)現(xiàn)的雙進(jìn)程EXE病毒或木馬程序，由于手工方式不能同時(shí)停掉兩個(gè)進(jìn)程，當(dāng)我們手工掉其中一個(gè)進(jìn)程后，另一個(gè)進(jìn)程會(huì)將該進(jìn)程重新啟動(dòng)。針對(duì)這種情況殺毒軟件也無(wú)能為力，若兩個(gè)都是非系統(tǒng)進(jìn)程，我們可以通過(guò)“任務(wù)管理器/進(jìn)程/結(jié)束進(jìn)程樹”的方式停掉該進(jìn)程，殺掉病毒;也可以用工具IceSword中“文件/設(shè)置/禁止進(jìn)線程創(chuàng)建”，來(lái)停掉其中一個(gè)進(jìn)程，再停掉另一個(gè)進(jìn)程，殺掉病毒。

 

3、對(duì)于像被“熊貓燒香”感染的EXE文件，上述兩種手工處理無(wú)效，因?yàn)闊o(wú)法手工清除受病毒感染的文件中的病毒，這時(shí)只能向殺毒軟件廠商提供病毒樣本，等待殺毒軟件升級(jí)后再進(jìn)行處理，或重新安裝操作系統(tǒng)。

 

二、 對(duì)于采用進(jìn)程插入技術(shù)，隱藏了進(jìn)程DLL病毒的查殺

 

目前的一些高級(jí)病毒或木馬程序，采用進(jìn)程插入技術(shù)，隱藏了進(jìn)程，將其DLL動(dòng)態(tài)鏈接庫(kù)文件插入現(xiàn)有的系統(tǒng)進(jìn)程中，常見的插入explorer.exe和winlogon.exe中，目前殺毒軟件針對(duì)這種動(dòng)態(tài)鏈接庫(kù)的病毒查殺，效果都不理想，有時(shí)殺毒軟件甚至?xí)霈F(xiàn)誤判，如“賽門鐵克誤殺系統(tǒng)兩個(gè)關(guān)鍵動(dòng)態(tài)鏈接庫(kù)文件”事件。

 

對(duì)于插入explorer.exe中DLL文件，大部分可以利用工具IceSword中“模塊/卸除”,將DLL文件卸載，然后手工刪除DLL病毒文件。

 

對(duì)于插入winlogon.exe中DLL文件，少數(shù)可以利用工具IceSword中“模塊/卸除”,將DLL文件卸載，然后手工刪除DLL病毒文件;大部分是不可以“卸除”的，

 

對(duì)于上述兩種不可以“卸除”的情況，需要在安全模式下，手工刪除DLL病毒文件。

 

另外，目前還有些病毒或木馬程序有時(shí)還會(huì)感染U盤，在U盤產(chǎn)生Autorun.inf和相應(yīng)的EXE文件。