恶意软件清除手册

　无论是在家还是在工作中，对于系统使用者来说最大的困扰似乎是恢复被恶意软件感染的系统。实际上，对我们SearchWindowsSecurity.com的专家答疑来说这是个最普通不过的问题。或多或少它们都会产生一些破坏，某些广告软件，病毒，(禁止)木马程序需要花费一定的时间将之从系统中除去。

　　这些年来我遇到各种各样的骗局，它们实际上清除不了任何东西，同时还将你的清除努力，和安全力降至最低。当对感染做出反应时，确保你考虑到以下每一个步骤:

　　使用多种工具来清除病毒，侦查软件和木马程序。许多恶意软件清除工具工作方式不一样，有的的确要优于其它，所以如果你遇到问题要清理系统，就要确保使用工具二至三，四，甚至更多。以保你能找到有效的工具。一些我曾使用过并经证明真实的选项如下:

• 　　http://vil.nai.com/vil/stinger
• 　　http://www.spybot.info/en/index.html
• 　　http://www.microsoft.com/athome/security/spyware/software/default.mspx
• 　　http://www.sysinternals.com/Utilities/RootkitRevealer.html
• 　　http://greatis.com/unhackme
• 　　http://www.f-secure.com/blacklight

　　尝试使用免费工具可用于网上扫描。来自Google 免费防毒软件的一个提示将能指引你正确的方向。这里有我和他人过去使用效果不错的工具:

• 　　http://www.pestpatrol.com/prescan.htm
• 　　http://www.ewido.net/en/onlinescan
• 　　http://housecall.trendmicro.com
• 　　http://www.pandasoftware.com/products/activescan

　　3.检查所有明显的地方比如你的Windows 启动文件夹，在 msconfig的启动符号,任意注册按钮涉及到在注册表编辑器HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/Current Version/Run下的程序。而且，你也不能低估位于一个表面上正常的目录例如Windows 临时目录下的malware. 因此整个系统的扫描是很重要的。

　　4.挖深一点。尝试装载内部的进程检测来观察加载程序和应用软件，这样才可能追捕到在运转的malware。你也能够运行Findstone的想象力来寻找基于当地TCP和UDP端口的malware。你也能够用你自己防火墙的应用软件保护特征(如果支持的话)或者是网络分析器，例如CommView或者Ethereal来看在现场背后到底发生了什么。这个能帮你展现不可信的草案和输入的通信量以及当你离开你的电脑时其他方式不能见的东西。

　　5.卸载任何你认为被感染的软件然后重起你的电脑，这可能是你的软件有文件开着的阻断任何的清洁或隔离你的malware移动软件的尝试。

　　6.尝试恢复损坏的系统和导入安全模式(这是一个好例子)，然后运行你的病毒侦查软件测试工具，同时你也能够运行光盘启动的抗病毒程序。

　　7.你可能有软件毛病或者是硬件问题胜于malware感染。重新设置你的windows或者是有效的应用软件。如果那样还是没有用，尝试取消你最近所做的任何硬件改变比如加了一条内存，一个电视卡等等。你可能有坏的内存，一个不好的PCI卡或者是其他的常常用来断定的观点除非你在那个标准下及时发现并修理故障或者是让一个有资格技术员看看。

　　8。不要全部依赖google或是你喜爱的搜索引擎来寻找如何清理你系统的细节问题.直接点击卖主的网页那里寻找答案.我已经多次浏览关于杀毒和杀毒软件的网页(symantec,trend micro,sophos,等等)来寻找正确的答案.symantec安全回复网址和ca's spyware百科全书网址都包含了很多好的信息.而且点击google groups也会得到从任何别的地方得不到的有价值的信息.

　　9。杀毒和杀毒软件的买主也许会有专业的移除工具,这些也许是你从未听说过的,但是仍然对杀毒有帮助.放心使用卖主提供的工具,而不要轻易使用现今流行的杀毒或杀毒软件的卖主.即使你已经安装了很有竞争能力的一个产品,有时他们的工具仍然会起到作用,当然这仅供选择.

　　10。使用hashcalc这个工具或是相近的工具来检测非常值得怀疑的文件,比较得到的结果会了解安装传媒中的完善的文件和清洁的系统.

　　11。如果还有怀疑,请重新安装.如果你的windows系统甚至在安全模式下都不能安装--它被锁上或是在某点持续重新启动--你可以采取强硬的手段来恢复你的系统.但是在你那样做之前,你应该试一下winternal的erd指令来使电脑有足够的时间保存那些你不想丢失的文件.在那之前,你可以保存备份或是格式化然后重新开始.这个听起来也许很强硬,但是它和直接解决问题相比占用很少的时间,这样你就可以启动一个没有病毒的系统了.

　　12。站在一个企业的角度,你真的需要一个正式的安全回复计划.这是把不安全软件从一个或两个系统中清理出去的方法,但不是一个可以运用在全部网络都瘫痪的方法.以下的网址是很好的开始:

• 　　http://csrc.nist.gov/publications/nistpubs/800-83/SP800-83.pdf
• 　　http://csrc.nist.gov/publications/nistpubs/800-61/sp800-61.pdf
• 　　http://www.first.org/resources/guides
• 　　http://cirt.rutgers.edu/tools.php