木马程序的识别、预防及清除方法

    一：通过病毒名称识别木马

    世界上那么多的病毒，反病毒公司为了方便管理，他们会按照病毒的特性，将病毒进行分类命名。虽然每个反病毒公司的命名规则都不太一样，但大体都是采用一个统一的命名方法来命名的。一般格式为：<病毒前缀>.<病毒名>.<病毒后缀> 。　

    木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的公有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。一般的木马如QQ消息尾巴木马 Trojan.QQ3344 ，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW.60 。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能(这些字母一般都为“密码”的英文“password”的缩写)，一些黑客程序如：网络枭雄(Hack.Nether.Client)等。

    二：了解木马种植方式才能防止别人种植木马

    目前常见的木马种植方式有以下几种：

    1.网吧种植

    这个似乎在以前很流行，先关闭网吧的放火墙，再安装木马客户端，立刻结帐下机，注意，重点是不要重起机器，因为现在网吧都有还原精灵，所以在不关机器的情况下，木马是不会给发现的。因此，在网吧上网，首先要重起机器，其次看看杀毒软件有没有打开。最后建议，不要在网吧打开有重要密码的东西，如网络银行等。毕竟现在木马客户端躲避防火墙的能力很强，其次是还存在其他的病毒。

    2.通讯软件传送

    发一条消息给你，说，“这个我的照片哦，快看看。”当你接受并打开的时候，你已经中了木马了。（此时，你打开的文件好象“没有任何反应”）“她”可能接着说说：“呀，发错了。再见。”防御：不要轻易接受别人传的东西，其次是打开前要用杀毒软件查毒。

    3.恐怖的捆绑

    捆绑软件现在很多，具体使用就是把木马客户端和一个其他文件捆绑在一起（拿JPG图象为例），你看到的文件可能是.jpg，图标也是正常（第2条直接传的木马客户端是个windows无法识别文件的图标，比较好认），特别是现在有些捆绑软件对捆绑过后的软件进行优化，杀毒软件很难识别其中是否包含木马程序。建议：不要打开陌生人传递的文件。特别是图象文件。

    4.高深的编译

    对木马客户程序进行编译。让木马更加难以识别。

    5.微妙的网页嵌入

    将木马安装在自己的主页里面，当你打开页面就自动下载运行。“你中奖了，请去www.**.com领取你的奖品”，黑客可能这么和你说。建议：陌生人提供的网页不要打开，不要去很奇怪名字的网站。及时升级杀毒软件。

    三：电脑被种植了木马的症状

    在使用计算机的过程中如果您发现以下现象，则很有可能是被种植了“木马”：
　　 a. 计算机反应速度明显变慢
　　 b. 硬盘在不停地读写
　　 c.键盘、鼠标不受控制

　　 d.一些窗口被无缘无故地关闭
　　 e.莫名其妙地打开新窗口
　　 f.网络传输指示灯一直在闪烁

　　 g.没有运行大的程序而系统却越来越慢
　 　h.系统资源占用很多
　　 i运行了某个程序没有反映(此类程序一般不大，从十几k到几百k都有)
　　 j.在关闭某个程序时防火墙探测到有邮件发出
　　 k.密码突然被改变，或者他人得知您的密码或私人信息
　　 l.文件无故丢失，数据被无故删改　

    四：几种常见木马的清除方法

    一旦我们的电脑被种植了木马，我们应选择一款针对木马的杀毒软件进行清除，同时，我们也可以手工清除木马程序。下面我们介绍几种常见木马的手工清除方法，通过手工清除木马的介绍，我们可以对木马有一个更好的了解。

    1，洛伊木马TROJ_QAZ.A　　

    1、单击“开始│运行” 键入：Regedit，按Enter键

    2、找到注册键：
    HKEY_LOCAL_MACHIN/Software/Microsoft/Windows/CurrentVersion/Run      

    3、在右边的窗口中，找出任何包含下列数据的注册键值： startIE=XXXXNotepad.exe

    4、在右边的窗口中，选中该键值，按删除键后再选是，删除该值。 退出注册表修改。 单击 “开始│关闭系统”，选择“重启动”后单击“是”。

    5、重命名Note.com为Notepad.exe。
　　
    2，冰河v1.1 v2.2

    这是国产最好的木马 作者：Snokebin
   
    1.清除木马v1.1
    打开注册表Regedit
    点击目录至：
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    查找以下的两个路径，并删除
    " C:\windows\system\ kernel32.exe"
    " C:\windows\system\ sysexplr.exe"
    关闭Regedit
    重新启动到MSDOS方式
    删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序
    重新启动。

    2.清除木马v2.2
    服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。
    因此，不能明确说明。
    你可以察看注册表，把可疑的文件路径删除。
    重新启动到MSDOS方式
    删除于注册表相对应的木马程序
    重新启动Windows。

    3，Trojan.QQ3344

    1．在运行中输入MSconfig，如果启动项中有“Sendmess.exe”和“wwwo.exe”这两个选项，将其禁止。在C：\WINDOWS一个叫qq32.INI的文件，文件里面是附在QQ后的那几句广告词，将其删除。转到DOS下再将“Sendmess.exe”和“wwwo.exe”这两个文件删除。

2．随时升级杀毒软件。

    3．安装系统漏洞补丁

    由病毒的播方式我们知道，“QQ尾巴”这种木马病毒是利用IE的iFrame传播的，即使不执行病毒文件，病毒依然可以借由漏洞自动执行，达到感染的目的。因此应该敢快下载IE的iFrame漏洞补丁。

    iFrame漏洞补丁地址：
    http://www.microsoft.com/windows/ie/downloads/critical/q319182/download.asp   

    五：对木马绑定文件的剥离方法

    当我们需要的一款文件被发现绑定了木马程序，而我们又需要这款原文件时，我们可以采取下面的方法进行文件剥离。

    第一步：用UltraEdit的十六进制方式打开绑定程序，选中第二个MZ到第三个MZ之间的内容(即第二个文件)，将该部分复制。然后新建一个文件，粘贴，保存为EXE文件。
   
    第二步：选中第三个MZ至文件末尾之间的内容(即第三个文件)，同样复制，新建文件后粘贴、保存为EXE文件。

    第三步：现在你要通过检查两个文件的图标及大小来判断哪个文件是所需的正常程序。一般来说，所需程序文件与捆绑后的图标一致，且文件体积较大的那个文件就是我们所要的原文件。

    六：总结

    防范木马首先应在自己的电脑中安装一款合适的防杀病毒软件并及时升级，同时在日常工作中不要打开未知文件以及陌生人传来的文件，不要随便打开陌生网页，升级最新版本的操作系统。