识别进程中的隐藏木马 - 德化论坛

识别进程中的隐藏木马

任何病毒和木马存在于电脑系统中，都无法彻底和进程脱离关系，即使采用了隐藏技术，也还是能够从进程中找到蛛丝马迹，因此，查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多，哪些是正常的系统进程，哪些是木马的进程，而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢？请看病毒进程隐藏三法，他就能告诉您。

当我们确认系统中存在病毒，但是通过"任务管理器"查看系统中的进程时又找不出异样的进程，这说明病毒采用了一些隐藏措施，总结出来有三法：

一.以假乱真

系统中的正常进程有：svchost.EⅩE、explorer.EⅩE、iexplore.EⅩE、winlogon.EⅩE等，可能你发现过系统中存在这样的进程：svch0st.EⅩE、explore.EⅩE、iexplorer.EⅩE、winlogin.EⅩE。对比一下，发现区别了么？这是病毒经常使用的伎俩，目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0，l改为i，i改为j，然后成为自己的进程名，仅仅一字之差，意义却完全不同。又或者多一个字母或少一个字母，例如explorer.EⅩE和iexplore.EⅩE本来就容易搞混，再出现个 iexplorer.EⅩE就更加混乱了。如果用户不仔细，一般就忽略了，病毒的进程就逃过了一劫。

常见系统进程解惑：

进程文件：svchost 或 svchost.EⅩE

进程描述：svchost.EⅩE是一个属于微软Windows操作系统的系统程序，微软官方对它的解释是：Svchost.EⅩE 是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。这个程序对你系统的正常运行是非常重要,而且是不能被结束的。因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，达到感染、入侵、破坏的目的（如冲击波变种病毒“w32.welchia.worm”）。但windows系统存在多个svchost进程是很正常的，但如果你的svchost.EⅩE进程不是在C:\windows\system32\这个目录下的话，那么就要当心了。

进程文件：explorer 或 explorer.EⅩE

进程全称：Microsoft Windows Explorer

中文名称：微软windows资源管理器

进程描述：Windows 资源管理器，可以说是 Windows 图形界面外壳程序，它是一个有用的系统进程。注意它的正常路径是 C:\Windows 目录，否则可能是 W32.Codered 或 W32.mydoom.b@mm 病毒。explorer.EⅩE也有可能是 w32.Codered和w32.mydoom.b@mm病毒。该病毒通过email邮件传播，当你打开病毒发送的附件时，即被感染。该病毒会在受害者机器上建立SMTP服务。该病毒允许攻击者访问你的计算机、窃取密码和个人数据。

进程文件：iexplore 或 iexplore.EⅩE

进程名称：Microsoft Internet Explorer

进程描述：iexplore.EⅩE是Microsoft Internet Explorer的主程序。这个微软Windows应用程序让你在网上冲浪，和访问本地Interanet网络。这不是纯粹的系统程序，但是如果终止它，可能会导致不可知的问题。iexplore.EⅩE同时也是Avant网络浏览器的一部分，这是一个免费的基于Internet Explorer的浏览器。注意iexplore.EⅩE也有可能是 Trojan.KillAV.B病毒，该病毒会终止你的反病毒软件，和一些Windows系统工具。

进程文件：winlogon 或 winlogon.EⅩE

进程名称：Microsoft Windows Logon Process

进程描述：Windows Logon Process，Windows NT 用户登陆程序，管理用户登录和退出。该进程的正常路径应是 C:\Windows\System32 且是以 SYSTEM 用户运行，若不是以上路径且不以 SYSTEM 用户运行，则可能是 W32.Netsky.D@mm 蠕虫病毒，该病毒通过 EMail 邮件传播，当你打开病毒发送的附件时，即会被感染。该病毒会创建 SMTP 引擎在受害者的计算机上，群发邮件进行传播。

二.偷梁换柱

如果用户比较心细，那么上面这招就没用了，病毒会被就地正法。于是乎，病毒也学聪明了，懂得了偷梁换柱这一招。如果一个进程的名字为svchost.EⅩE，和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢？非也，其实它只是利用了"任务管理器"无法查看进程对应可执行文件这一缺陷。我们知道svchost.EⅩE进程对应的可执行文件位于"C:\WINDOWS\system32"目录下（Windows2000则是C:\WINNT\system32目录），如果病毒将自身复制到"C:\WINDOWS\"中，并改名为svchost.EⅩE，运行后，我们在"任务管理器"中看到的也是svchost.EⅩE，和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗？

此时需要借助第三方软件来查看进程的所在目录，比较重要的系统进程，如：svchost.EⅩE、winlogon.EⅩE等，正常路径是 C:\Windows\System32，如果不是那么就要小心了。

另外需要提醒大家注意的是，在选择用来查看进程或实现其它辅助功能的第三方软件时也要谨慎，不要随便安装一些不知名的小软件或系统插件，因为木马和病毒也往往会隐藏在其中。目前大部分的知名杀毒软件或与杀软配套的安全助手类工具，都具备基本的系统维护功能，如垃圾文件清理、进程管理、系统修复、启动项管理等。