使用金山卫士的一些体会

　　金山卫士已经在电脑里呆了一段时间，平时没见动静，今天检查出U盘上的病毒，总算有点反应了。顺便记下一些使用体会。

　　1、在非管理员权限用户帐户下运行，有些功能会失效，如金山卫士查杀木马的本地V10引擎无法开启

　　2、实时保护功能不完善
　　今天一位同事拿U盘过来拷资料，金山卫士检查出U盘中有恶意程序，清除后再检查U盘，发现还是有问题：

 

　　（1）未删除病毒用来启动的AUTORUN.inf

AUTORUN.inf的内容为：

 

[AUTORUN]
Shellexecute=Secret.exe

　　（2）对伪装成文件夹的木马病毒EXE文件清除不彻底。遗漏了如下2个。

 

文件说明符 : G:/Recycled.exe
属性 : -SH-
数字签名:否
PE文件:是
语言 : 英语(美国)
文件版本 : 1.00
产品版本 : 1.00
产品名称 : Hav_online
内部名称 : task
源文件名 : task.exe
创建时间 : 2007-12-23 22:44:34
修改时间 : 2007-12-22 7:50:56
大小 : 112128 字节 109.512 KB
MD5 : 65fee6921df6aedca88f5b569bf1d543
SHA1: 8734BCE69825B21F3573CA94398647BDE49C6EB6
CRC32: 66169b58

 

文件说明符 : G:/Recycle.exe
属性 : -SH-
数字签名:否
PE文件:是
语言 : 英语(美国)
文件版本 : 1.00
产品版本 : 1.00
产品名称 : Hav_online
内部名称 : task
源文件名 : task.exe
创建时间 : 2007-12-23 22:44:34
修改时间 : 2007-12-22 7:50:56
大小 : 112128 字节 109.512 KB
MD5 : 65fee6921df6aedca88f5b569bf1d543
SHA1: 8734BCE69825B21F3573CA94398647BDE49C6EB6
CRC32: 66169b58

 

　　这应该是比较老的恶意程序了，许多杀毒软件都能检测出来:

http://www.virustotal.com/file-scan/report.html?id=54a42f1cb9371aa1566587dcc9db0e9ea10564a2a2474f9f2d5afc589c92935b-1297818014

AntivirusVersionLast UpdateResultAhnLab-V32011.02.14.022011.02.14Win32/Autorun.worm.112128AntiVir7.11.3.932011.02.15TR/VB.ghsAntiy-AVL2.0.3.72011.02.15Trojan/Win32.Agent.genAvast4.8.1351.02011.02.16Win32:Agent-QTRAvast55.0.677.02011.02.16Win32:Agent-QTRAVG10.0.0.11902011.02.16Downloader.Agent2.FUQBitDefender7.22011.02.16Trojan.Generic.1748385CAT-QuickHeal11.002011.02.15TrojanDownloader.Agent.ghsClamAV0.96.4.02011.02.16PUA.Packed.PECompact-1Commtouch5.2.11.52011.02.15W32/Downldr2.BDRFComodo77012011.02.15TrojWare.Win32.VB.ghs0DrWeb5.0.2.033002011.02.16BackDoor.Bulknet.419Emsisoft5.1.0.22011.02.15Virus.Worm.VB!IKeSafe7.0.17.02011.02.15Win32.Agent.ghseTrust-Vet36.1.81612011.02.15Win32/SillyFDC.DIF-Prot4.6.2.1172011.02.15W32/Downldr2.BDRFF-Secure9.0.16160.02011.02.16Trojan.Generic.1748385Fortinet4.2.254.02011.02.16-GData212011.02.16Trojan.Generic.1748385IkarusT3.1.1.97.02011.02.15Virus.Worm.VBJiangmin13.0.9002011.02.15TrojanDownloader.Agent.xlyK7AntiVirus9.85.38592011.02.15Trojan-DownloaderKaspersky7.0.0.1252011.02.16Trojan-Downloader.Win32.Agent.btlpMcAfee5.400.0.11582011.02.16Generic.dxMcAfee-GW-Edition2010.1C2011.02.15Heuristic.LooksLike.Win32.Suspicious.J!83Microsoft1.65022011.02.15Worm:Win32/VB.HANOD3258782011.02.15a variant of Win32/AutoRun.VB.VONorman6.07.032011.02.15W32/Agent.EDBTnProtect2011-02-10.012011.02.15Trojan-Downloader/W32.Agent.112128.JPanda10.0.3.52011.02.15Trj/KeyLogger.CVPCTools7.0.3.52011.02.16Trojan-Downloader.Agent!ctPrevx3.02011.02.16High Risk SpywareRising23.45.01.062011.02.15Worm.Win32.VB.qpSophos4.61.02011.02.15Mal/VB-FSUPERAntiSpyware4.40.0.10062011.02.16-TheHacker6.7.0.1.1312011.02.15Trojan/Downloader.Agent.ghsTrendMicro9.200.0.10122011.02.15WORM_AUTORUN.QHTrendMicro-HouseCall9.200.0.10122011.02.15WORM_AUTORUN.QHVBA323.12.14.32011.02.15TrojanDownloader.Agent.horVIPRE84332011.02.16Trojan.Win32.Generic.pak!cobraViRobot2011.2.15.43112011.02.15Trojan.Win32.Downloader.112128.CVirusBuster13.6.202.12011.02.15Trojan.DL.Agent!5gauyxFgJFU

　　如果说查杀是靠特征码，那么有些被清除的木马病毒为何没有病毒木马名？

　　（3）没有隔离区？被清除的文件没法找回来。

 

　　3、下载保护会自动上传扫描结果为未知的文件

 

　　我从邮箱下载了一个自己写的程序，金山卫士没检测出什么问题，就自动上传云分析了，也没询问我是否同意。

　　设置——网盾——下载保护 下的“扫描结果为未知时不再提示，自动提交云安全分析任务”这个选项好像没有作用。没钩也会自动上传。

　　另外，这个下载保护似乎不检查通过QQ传输的文件。上次有个朋友的电脑就因为不小心打开了通过QQ传过来的病毒文件而中标。详见：
http://blog.csdn.net/Purpleendurer/archive/2011/01/22/6159216.aspx