明察秋毫,解决病毒及后遗症

软件先锋 2016-03-09 11:59网络整理点击: 标签:

木马、病毒等的横行,催生了许多安全工具,这类工具的功能虽然主要是针对安全威胁的,但合理利用,在解决系统故障方面同样能大展手脚。

解决无法运行的软件

有不少人遇到过某款软件总是无法运行的故障,即使重装软件也无法解决。观察硬盘指示灯,明明看到在读取数据,打开任务管理器也能看到软件进程。出现这种奇怪的情况,很有可能是Windows的映像劫持功能“IFEO”(Image File Execution Options)在作祟。

想要解决这一问题,这里推荐使用PowerTool。PowerTool成功运行后,就会对当前系统的安全性进行分析扫描,一旦发现有问题的内容后就会用红色进行显示(图1)。比如我们这里已经显示出映像劫持有问题,那么点击软件窗口中的“应用层”标签,接下来再点击下面的“镜像劫持”子标签。这样就可以在列表中显示出所有的映像劫持内容,选中这些项后,右击,选择右键菜单中的“修复”按钮(图2)。当重新启动系统后,被劫持的软件即可正常运行了。

201605aqgj1

201605aqgj2

小提示:

★由于PowerTool这类的软件需要渗入到系统的底层,所以在运行的时候会加载一些驱动文件,因此建议大家不要将文件解压到含有中文信息的文件夹中运行。另外在运行该软件之前,最好重新启动一次系统,这样可以更好地使用该软件的功能(图3)。还有需要注意的是,一定要选择和系统对应的版本,比如32位的系统就运行32位的版本。如果不注意以上几点的话,那么在软件运行后很可能出现蓝屏的情况。

201605aqgj3

★很多病毒在进行映像劫持后,被劫持的软件进程会自动跳转到病毒文件。而我们通过右键菜单中的“修复以及删除关联文件”命令,就可以在操作的同时将病毒文件也删除掉。

查找危险的进程

要想了解Windows系统当前的运行状况,查看当前的进程是非常重要的途径。但是通过任务管理器进行查看的话,并不能了解到所有进程的实际情况。因为有的进程被电脑病毒等进行了隐藏,而有的则是利用了线程插入技术,借用其它的进程完成操作。如何才可以更好地查看和管理这些进程信息呢?

点击PowerTool窗口中的“进程管理”标签,就可以对系统中的进程进行分析判断。为了方便普通用户的查看,软件通过不同的颜色来区分不同的进程信息。比如黑色代表Windows系统自身的进程,而蓝色则代表第三方软件的进程。除此以外,通过进程列表中的“进程类型”选项,就可以进一步显示出进程的相关介绍。如果这里没有任何显示的话,那么自然就是重点关注的项目。当我们选择一个进程以后,点击鼠标右键选择菜单中的命令,就可以对其进行管理操作。如果用户对某个进程有怀疑的话,点击“上传到Virustotal进行病毒扫描”命令,就可以对进程对应文件的安全性进行分析(图4)。如果发现该进程的确是有问题,那么点击“结束进程”命令可关闭该进程。

201605aqgj4

红色则是被进行线程插入的进程,也是需要用户重点关注的进程信息。当用户用左键选择一个进程后,在窗口下方的“模块”列表中,就可以显示出所有的模块信息。同样点击鼠标右键可以对模块文件进行管理,比如点击“检测数字签名”命令,就可以查看数字签名的真实性。如果发现数字签名有问题的话,不要直接对进程进行关闭操作。因为这些插入的进程往往是系统进程,如果直接结束进程的话,就会出现系统蓝屏的情况。我们可以在选择模块文件后,单击右键菜单选择“普通卸载模块并删除模块文件”命令,就可以在解除模块和进程的关联后删除相关的模块文件(图5)。

201605aqgj5

修复引导区

当系统出现问题后,许多人可能会选择重装系统。但是让人疑惑的是,不少刚刚安装的操作系统就有病毒,再次重装还是如此。出现这一现象可能有两种情况导致,首先就是系统里面的程序文件被感染,当用户再次运行被感染的程序后,操作系统被重新感染。其次就是病毒的源头并不在系统中,而是在磁盘的引导区中。这样在电脑启动的时候,隐藏在引导区中的病毒就会被再次感染系统。要想对第二种情况进行防范,只能对磁盘的引导区进行修复才行。

点击PowerTool操作窗口中的“系统修复”标签,在出现的新窗口里面选择“主引导记录(MBR)”子标签。如果用户只安装了一块硬盘的话,那么直接点击窗口下方的“检测”按钮,软件开始对磁盘的引导区进行分析处理。如果用户使用的是双硬盘的话,那么首先在磁盘列表中选择引导区所在的硬盘,然后再点击“检测”按钮对引导区进行检查。

当引导区检测完成后,PowerTool会给出一个详细的报告,并且用不同的颜色表示出安全状况(图6)。比如引导区已经被病毒进行破坏,那么就会用红色显示出“检测到恶意代码(MBR Rootkit)”这样的提示。接着点击窗口下方的“自动修复MBR”按钮,这时软件会弹出一个提示窗口,点击“是”按钮就开始进行引导区的恢复,同时也就是进行引导区病毒的清除了。

201605aqgj6

恢复被锁定的注册表

不少病毒对系统的破坏,是在注册表中完成的。为了避免用户对篡改内容的修复,有些病毒会对注册表进行锁定,造成我们无法编辑注册表。

大部分所谓的对注册表的锁定,就是禁止用户使用Regedit编辑器。不过网上有很多第三方的注册表编辑器,其实PowerTool中也有类似的编辑器功能。在PowerTool中切换到“注册表”标签,在“重要的注册表项”里面输入HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System,再点击“快速跳转”按钮就可以找到锁定注册表的位置。然后在右侧窗口里面找到DisableRegistryTools项,点击鼠标右键选择“删除”命令后重新启动系统(图7)。这样就可以重新使用系统的Regedit编辑器进行操作了。

201605aqgj7

小提示:

在“系统检测”标签中点击“一键修复”按钮,可以对常见的篡改项目进行快速修复。