绕过主动防御 木马病毒刺穿卡巴斯基(2)

　　清除木马不过如此

　　在木马辅助查找器的“进程监控”标签中，通过PID值找到被木马程序利用的Svchost进程，选中它，点击 “终止选中进程”按钮就可以终止该进程。选择“启动项管理”标签中的“后台服务管理”选项，在服务列表中找到木马的启动项，选择“删除服务”按钮即可。

　　现在打开注册表编辑器，接着点击“编辑”菜单中的“查找”命令，在弹出的窗口中输入刚刚查找到的木马文件名称，当查找到和木马文件名称相关的项目后进行修改或删除。最后我们进入系统的System32目录中，将和服务端相关的文件删除即可完成服务端的清除工作。

　　顺利找到木马程序的进程以后，张医生开始查找木马的启动项。运行System Repair Engineer(SRE)这款系统检测工具，依次点击“启动项目→服务→Win32 服务应用程序”按钮。

　　在弹出的窗口中选择“隐藏微软服务”选项后，程序会自动的屏蔽掉发行者是Microsoft的项目，很快医生就发现一个和木马文件名称相同的启动服务(图3)，因此断定这就是木马的启动项。

　　清除木马不过如此

　　在木马辅助查找器的“进程监控”标签中，通过PID值找到被木马程序利用的Svchost进程，选中它，点击 “终止选中进程”按钮就可以终止该进程。选择“启动项管理”标签中的“后台服务管理”选项，在服务列表中找到木马的启动项，选择“删除服务”按钮即可。

　　现在打开注册表编辑器，接着点击“编辑”菜单中的“查找”命令，在弹出的窗口中输入刚刚查找到的木马文件名称，当查找到和木马文件名称相关的项目后进行修改或删除。最后我们进入系统的System32目录中，将和服务端相关的文件删除即可完成服务端的清除工作。