我编写的VB程序已被McAfee VirusScan防病毒软件删除(2)

PE（可执行文件）格式，每个EXE文件都有自己的格式，而不仅仅是第一个字节中的代码. 介绍该表，该表告诉系统该EXE将调用哪些API. 系统加载EXE时，会根据导入表中的信息将正确的API函数位置填充到导入表中，以便EXE可以正常调用API. 除了用于存储代码的代码段之外，还有一个数据段用于在EXE文件中存储诸如字符串之类的数据. 对于更复杂和更大的数据，例如图像，操作期间要释放的子文件mcafee怎么找回被删掉的程序，窗口布局等，将作为资源存储.

[编辑本段]启发式引擎定义的规则

现代启发式引擎主要面对: 木马，软件，下载器，已知恶意程序的变体等. 如今，启发式引擎很少分析代码，因为这些东西通常是由高级语言编译器完成的，两者之间并没有太大区别普通程序的代码风格（高级语言编译器通常针对代码优化），而病毒的代码通常旨在使分析人员困惑. 即使代码样式异常，也可能是由打包（外壳通常由程序集编写）引起的. 相反，刚刚提到的表和数据段中的字符串和资源的引入已成为判断的重要依据.

以下载器为例，下载器通常是一个小型且紧凑的程序，用于下载更大更完整的木马. 为了响应此功能，启发式引擎可以定义以下规则:

1. 体积很小.

2. 在导入表中引入了UrlDownloadToFile. 这是下载程序通常用于下载程序的API，但在普通程序中很少见.

3. 数据段中存在形式为“ http: //****/***.exe”的字符串.

4. 导入表中没有用于创建窗口并与用户交互的API，例如CreateWindow.

对于某些进程插件木马，您可以定义以下规则:

1. 简介表中存在CreateRemoteThread. 这是进程插入木马常用的API，但在普通程序中很少见.

2. 资源中有一个DLL文件. 可以认为它是在操作过程中释放的，并进一步检查该DLL. 如果DLL具有其他特征，则会增加可疑性.

3. 导入表中没有用于创建窗口并与用户交互的API，例如CreateWindow.

如您所见，这些规则非常有经验. 这并不意味着满足这些规则一定是恶意程序，但这很有可能. 当然，实际的实现并不像上面那样简单，例如，除了静态调用之外，还可以动态加载API调用. 还要考虑误报的问题. 例如，您可以计算“可疑API的数量/ API的总数”，以避免某些错误警报.

关于“打包”: 我认为打包不一定是启发式方法的最大障碍. 由于未分析代码~~包装的最大影响是一些保护壳将对导入表进行加密. 对于启发式引擎，请确保将其解密. 对于多层打包，启发式引擎可以将超过两层的多层打包视为病毒，而常规程序很少这样做. 这样，您就能理解为什么您杀死了所有带有北斗外壳程序的文件作为病毒，因为除了中国以外，使用北斗外壳程序的正常过程几乎是不可见的.

[编辑本段]关于“沙盒”

杀毒软件似乎已将防病毒软件集成到防病毒软件中. KAV7的启发式引擎还使用“”，该应与沙箱相同. 沙箱应该算作是虚拟机的开发，传统的虚拟机只是一个虚拟CPU. 除了虚拟化CPU外，沙箱还需要尽可能地虚拟化操作系统的某些数据结构等. 在沙盒中，启发式引擎可以分析HIPS等可疑文件的行为并给出结论. 与HIPS相比，这应该是一种更安全的方法.

但是，模拟操作系统的复杂性比模拟CPU更好. 我模拟了XP，所以我应该模拟Vista吗？模拟用户模式，是否要模拟内核模式？内核模式的复杂性甚至更高.

此外，与虚拟机一样，它也可能会遇到“反沙盒”病毒. 在虚拟机开发之初，它还不是很完美. 一些多态病毒（一种自加密的变形病毒，可以使该病毒的每个副本具有不同的特征）. 为了防止自己在虚拟机中执行，他们使用了许多反虚拟机方法，它们使用的错误代码可以在真实系统中执行，从而导致虚拟机出现错误，还可以计算执行特定代码的时间. 虚拟机中运行的时间通常与真实系统不同. 简而言之，很难通过比较和区分虚拟环境和真实环境来确定沙箱是否将面临类似的挑战.

此外，沙箱还遇到性能挑战. 无法运行沙箱中的每个程序. 在这种情况下，用户体验将非常糟糕. 启发式引擎应首先扫描此文件，然后确定是否有必要将其放入沙箱中.

[编辑本段]高级+评分

最近，国际知名的防病毒软件评估机构AV-Comparatives宣布了2008年11月防病毒软件主动检测测试（追溯/主动测试）的结果. 在经过测试的16种著名的防病毒软件中，ESET NOD32防病毒软件专门获得最高的ADVANCED +等级.

AV-Comparatives是位于奥地利的国际独立测试机构. 测试项目分为手动扫描（按需比较）和主动检测测试（回顾性/主动测试），每项每年进行两次，这次宣布主动检测结果.

与其他评估机构相比，AV-Comparatives最突出的测试是其追溯测试. 由于许多新病毒的设计都是为了避免防病毒软件采用基于特征的检测，因此大多数防病毒软件通过直接分析病毒行为来确定未知病毒，从而具有主动保护功能. 主动检测测试是对反病毒软件主动防御功能的检测.

为了使测试最好地反映实际情况，测试使用以下方法: 将防病毒软件和病毒冻结4周，然后使用在这4周内出现的新病毒作为测试样品. 主要测试标准有两种: 一种是新病毒的检测率，另一种是“假阳性”的数目. 最后，根据性能对标准（一般），高级（优秀），高级+（最佳）评估进行评估.

在该测试中，ESET NOD32防病毒软件以51％的主动检测率排名最佳. 尽管它的检测率不是最高，但是在另一个重要的指示符-虚假警报率中，防病毒软件显示出极低的虚假警报的优势. 测试结果表明，即使病毒未更新4周，ESET NOD32防病毒软件也可以检测到超过51％的新病毒，并且很少会产生误报. 因此，AV-Comparatives为ESET NOD32防病毒软件赋予了此测试独特的ADVANCED +标题.

[编辑本段] nod32和360之间的合作

[2] ESETNOD32 + Qihoo 360有什么优势？

第二版ESETNOD32中国发行商与奇虎360共同推出了“ ESETNOD32 Antivirus 360特别版”. ESETNOD32已连续53次通过VB 100％测试，并且他在病毒检测和杀死方面的能力显而易见. 对于普通用户而言，与360合作的个人感受是什么？

俗话说: “汽车好坏，发动机是最重要的. ”同样，防病毒是否有效取决于防病毒引擎是否强大. 现在，病毒和木马盛行，并且有无数种变体. 面对变种，传统的防病毒软件需要再次获取这些样本，然后提取特征代码，并将其添加到病毒中，用户可以在更新病毒后进行检查和查杀. 为了弥补这种效率低下且周期长的查杀方法，国外软件查杀制造商已经开发了一种更好的查杀技术: 启发式技术. 它可以根据程序的行为智能地判断它是否是病毒，并执行查杀. ESETNOD32的ThreatSense.Net启发式引擎结合了遗传代码技术，虚拟机技术和代码分析这三项主要技术，构建了三维保护架构. 即使未更新病毒，也可以找到大多数变态病毒和大量未知病毒. 依靠这个强大的“”，它是扫描速度和杀伤能力的领导者.

病毒的数量越来越大，并且系统资源的使用肯定在增加. 在所有防病毒软件中，只有ESETNOD32安装软件包和病毒更新的数量最少. 如果您的计算机配置仍为256MB或更小，则可以尝试使用ESETNOD322.7版本，以确保您像Yan一样“轻便”. 它占用的资源更少，特别适合计算机用户.

当前与Qihoo合作的ESETNOD323.0版本（ESETNOD32Antivirus）在界面可操作性，自动病毒拦截和清除方面非常简洁. 可以说，安装之后，我们不需要进行任何配置，可以最大程度地向计算机添加安全阈值.

奇虎的360安全防护功能必须为每个人所熟悉. 安装系统后，是否经常使用它来修复系统漏洞？许多病毒使用系统漏洞和软件漏洞进行入侵，而360安全卫士绝对擅长于解决此问题. 上网浏览后，请记住使用360 Security Guard不良评论插件的清除功能！如今，广告业务已经成为一波广告浪潮. 当然，不要忘记隐私是最重要的事情-“清理使用痕迹”，只需几秒钟即可让您立即放心. 360安全卫士提供非常实用的功能，并且永远免费，不会伪造！

最后，建议您每周进行一次计划扫描. 使用ESETNOD32的计划任务时，这很令人担忧.

看到这一点，您必须了解ESETNOD32 + 360安全卫士的优势. ESETNOD32占用资源少，易于部署，并且其防病毒和木马清除功能非常强大； 360 Security Guard也可以删除广告插件和补丁漏洞. 两者之间的强大合作无疑将使国内用户特别是使用低配置机器的用户感到满意.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-166190-2.html