注意检测 防范反抗杀毒软件工作电脑病毒 （2）

四：服务以及驱动

典型病毒：灰鸽子变种

目的现象：难于发现与清理、关闭杀毒程序等。

检测位置：

HKLM\System\CurrentControlSet\Services

补充说明：病毒写入底层服务与rootkits驱动，导致清除困难。

五：映像劫持

典型病毒：大多数AV病毒均会写入此位置

目的现象：简单粗暴地让某个特定文件名的文件无法执行

检测位置：

HKLM\Software\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions

补充说明：被劫持的文件不一定是exe文件。如Papa在处理恐怖鸡感染号病毒时，为了防止ani.ani还原病毒主文件，便劫持ani.ani文件。

六：目前已知删除安全软件文件的检测位置

典型病毒：飘雪变种

目的现象：杀毒软件安装文件被删除、sreng改名后运行立即被删除等。

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

补充说明：已知变种均会修改hosts文件、在QQ目录下写入隐藏的病毒dll并且修改APIHOOH。

七：Boot.ini文件

典型病毒：磁碟机变种

目的现象：独占访问Boot.ini文件，导致未更新的grub重启删除工具失效。

检测位置：Boot.ini

补充说明：在Vista操作系统下对该项检测没有意义。

小结：检测报告的分析工作需要具备常用软件以及操作系统丰富的使用经验，才可以比较迅速准确地定位到具体问题。本文仅将对抗杀软类病毒常见的关注位置找出来供大家参考。其实还有很多病毒会加载的位置本文不做详述，请具体问题具体分析。

PapaCheck检测工具v3.0目前可以比较全面地检测到包括对抗杀毒软件、删除安全工具病毒在内的非感染型病毒的写入位置。如在Vista下面使用时，需要右键单击该文件后点击“以管理员身份运行”。

注：在脚本运行时请阅读其中的免责信息。在检测的过程中有可能会提示“没有找到pkmws.dll，因此这个程序未能启动重新安装应用可能会修复此问题”点击“确定”即可。提示“插入软盘”，点击”“取消”即可。相关提示并不影响检测报告的生成。如果您没有执行扫描操作，按“CTRL+C”键终止或直接关闭了程序，则会在当前目录生成papa.com、papascan.bat、papawb.com、papashell.exe、papatask.exe这六个文件。相关文件释放与调用不会对您系统造成影响，检测结束后直接删除即可。