瑞星卡卡安全论坛

流程如图

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; WPS; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; CIBA; MAXTHON 2.0)

木马会操作的注册表项目

1. 木马服务注册表项目
HKEY_LOCAL_MACHINE\SYSTEM\Controlset\Services\
HKEY_LOCAL_MACHINE\SYSTEM\Controlset001\Services\
HKEY_LOCAL_MACHINE\SYSTEM\Controlset002\Services\
2.木马自启动注册表项目
HKEY_LOCAL_MACHINE\Software\Microsoft\Windos\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windos\CurrentVersion\RunOnceEX
HKEY_LOCAL_MACHINE\Software\Microsoft\Windos\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\Software\Microsoft\Windos\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windos\CurrentVersion\RunServicesOnce
HKEY_LOCAL_USER\Software\Microsoft\Windos\CurrentVersion\Run
HKEY_LOCAL_USER\Software\Microsoft\Windos\CurrentVersion\RunOnce
HKEY_LOCAL_USER\Software\Microsoft\Windos\CurrentVersion\RunServices
3.内核级木马加载项目
HKEY_LOCAL_MACHINE\Software\Microsoft\WindosNT\Currentversion\Winlogon\Userinit
HKEY_LOCAL_MACHINE\Software\Microsoft\WindosNT\Currentversion\Winlogon\Shell
HKEY_LOCAL_MACHINE\Software\Microsoft\WindosNT\Currentversion\Winlogon\System
4.文件关联
可能被病毒修改用于启动病毒的
HKEY_CLASSES_Root\.exe
HKEY_CLASSES_Root\.com
HKEY_CLASSES_Root\.bat
HKEY_CLASSES_Root\.VBS
HKEY_CLASSES_Root\.JS
HKEY_CLASSES_Root\.JSE
HKEY_CLASSES_Root\.WSF
HKEY_CLASSES_Root\.WSH
HKEY_CLASSES_Root\.Pif
HKEY_CLASSES_Root\.INk
HKEY_CLASSES_Root\.scr
HKEY_CLASSES_Root\.txt
HKEY_CLASSES_Root\.ini



欢迎各位专家指出错误

沙发。
  :default6: :default6:

楼主
可否解释一下为啥要去掉那几个对勾啊?去掉了的话会导致怎样的后果呢?谢谢 
:default5:

不去的话
瑞星的主动防御会导致
在进行正常的操作会弹一车皮提示:default2: :default2:

狮子有作品了？支持

我还正在整理RD规则，这帖子不错

学习一下  手动分析必须了解注册表

不错,,正好学习一下怎么设置主动防御的规则

哦～～～  现在知道了
谢谢LZ大人！！！:default6:

注册表那深奥了,,不懂...

:default10:

挑刺：
1、木马是病毒的一种，防住木马不等于防住所有病毒；
2、病毒修改、添加的注册表启动项就多了，随便补充几个：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]

最后一个注册表子项目，近来出现的病毒经常在这里光顾，需要引起警惕。

:default6: :default6: :default6:

没这么简单
这个最好也搞上，要用启动控制
省的病毒利用后台打开IE
下载病毒
对*.EXE启动IE提示
可惜
瑞星不支持:kaka7: :kaka7: :kaka7: :kaka7:


无语中。。。。。。。。。。。。。。。。。

很多注册表项可以监控的，深入研究一下，谢谢分享！

13楼我写错了
看图
瑞星能通过应用程序启动控制限制病毒后台打开Ie下载病毒
看图

:default7: 进来学习下

该用户帖子内容已被屏蔽

很多病毒都是次无忌惮修改注册表导致杀不了或系统瘫痪

不怕影响性能的话
主动防御里的都设为高级
一般就没问题了

可以了解一下主动防御，虽说我已经装了x主动防御。:default6:

现在知道了
谢谢楼主分享哦！！！:default6:

不检测SYS...
RS被结束进程,一切YY..:default3:

楼主能否上传个设置好的打包啊？我们直接导入

没有加壳的木马都能过瑞星主动防御，但过不了卡巴主动防御，朋友给的木马，运行，瑞星防御，卡卡六，全开着，一点反应都没有，就象个傻子一样站在右下角，哎

学习

我来加一个
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
这项是映象劫持

瑞星的规则里有

瑞星的系统加固里有

如何进行设置？