“望闻问切”识病毒

作者：苏悦

虽然现在杀毒和防火墙的病毒库不断更新，但是病毒和木马的变种似乎更多更快，总是有漏杀的现象；更有些用HTML代码、调用IE浏览器ActiveX技术编写的恶意破坏系统和硬盘数据（自动格式化硬盘）的网页及蠕虫病毒，就连很多自己做网站的老手，都不慎中招，我觉得无论过去现在，都不能只是依靠简单的杀毒和防火墙过滤，用户使用各种软件和与网络连接的时候，要自己特别小心（人还是得靠自己），人工识别和防范这步做得好的话，不容易被黑，或者即使被黑也能及时发现，在病毒作出大的破坏前能及时挽救清除。

　　下面介绍一些用“肉眼”就能察觉到的病毒和木马特征，类似中医的望闻问切，以及相应的处理办法：

　　1、系统和常用软件的速度：一般地现在的主流新机器都非常的快捷，启动windows都在20-30秒以内，启动outlook邮件都在几秒以内――如果你发现系统在没有同时开很多窗口和多任务处理的情况下，启动或处理文件的速度突然大幅度下降，尤其是显示软件版权的画面有明显停顿的现象出现，多是中了毒，臭名昭彰的CIH就经常使微软的outlook express出现明显的停滞现象，无论是收取新邮件或是打开已经存在的旧邮件，速度都慢得象386。这是“望”诊。
　　处理办法：此时应马上备份转移重要文档和硬盘分区表等，再在windows下用多种杀毒软件交叉清除，然后关机，再用干净系统盘启动，使用杀毒软件再查杀一次，让病毒没有寄生残存的机会。

　　2、依然使用windows9x系列操作系统的用户，可以借助当年DOS下最简单快捷的查看病毒的方式：在DOS窗口下和纯DOS下用MEM命令看一下那640K内存，如果显示的基本内存总和少于640K，很有可能感染了驻留引导区和内存的病毒，（当然也有在CMOS里设置了有关的选项使得基本内存不足640K的情况），这是很多引导区病毒的惯用伎俩，因为驻留引导区是非常快捷的寄生方式，用户一开机病毒就在windows初始化之前开始“工作”了。此乃“问”诊。
　　处理办法：尽管有可能会是CMOS设置的影响，但也应该立即用杀毒软件查杀，特别是用老牌的KV300 for DOS和windows的版本，因为这个著名杀毒软件对DOS状态下引导区病毒有特效――这有点象武侠小说里用银针试毒，虽然并不是百分百地能查出所有的东西，但是却是基本的一关，就像人的口水能杀菌，是第一道基本防线一样，可不要因为粗心大意躲过了CIH和爱虫，却在80年代的老掉牙病毒手上“阴沟里翻船”喔！（特别是有些怀旧的人玩一些DOS的经典老游戏的时候）

　　3、如果驻留了蠕虫和木马，病毒会对你的机器进行远程数据存取，也就是说，你的发件箱经常会有些不速之客到来，看看那些收件人的名单，就是你所有在“通讯簿”里的好友名单，你应该明白这是蠕虫类自动复制的家伙在作祟；还有，留意你的MODEM的状态小灯，如果你此刻暂时没有收发邮件，没有发送数据、没有浏览网页，状态灯却经常闪动绿光，你就要小心是不是黑客的木马在把你的秘密发送到远端的坏蛋那里。此乃“闻”诊。
　　处理办法：在正常状态下，要把系统信息里运行的后台程序做个记录，再装个实时监控的工具软件，随时比较目前运行的后台程序和正常时候有何不同；时常点击连接状态看看接收和发送的情况，尤其是已经发送的字节数，一般不会多于600K-1M的（除非你一天没有下过线或发送了大量的邮件和上传数据。有不对劲的地方，立即动手查杀，“宁可错杀一千，不可放过一个”，进行种族灭绝的大屠杀！缴枪也杀！

　　4、不要迷信防火墙，因为现在有一些利用HTML代码制作的邮件和网页，能调用ActiveX技术，自动复制和删除硬盘数据，特别有种叫Verona病毒，又称“罗密欧与朱丽叶”病毒，邮件正文包含一个HTML 脚本文件，但是收件人看不到。该蠕虫利用了Windows95、Windows NT4.0 或Windows98系统上的IE5所具有的所谓IFRAME弱点来影响系统。因此它不需要打开其附件就能感染计算机，因为邮件正文里就含有病毒；不需要打开邮件，在预览过程中，病毒就蔓延，已经是成精的妖怪，厉害之极！当然要用“切”诊，切断病毒的脉搏。
　　处理办法：少去不安全的站点，即使要去，当网页请求你运行ActiveX控件或是下载其莫明其妙的软件时，选择否。时常备份，来历不明的邮件连看都不用看，删除就是。那些硕大无朋的电子贺卡，千篇一律，把信箱都填满了，又是病毒的好载体，不看也罢。如果你的工作必须在线，数据又要求相当高的安全度，可以把IE的安全选项设高一些，宁可麻烦一点，不要冒丢失数据和泄密的危险。

　　5、准备好咖啡、蛋糕、牛肉干等，随时准备在无可奈何的情况贿赂周围的电脑高手，让他们不远千里地干来“热心”地帮助你，（比如我就喜欢牛肉干）注意把吃的东西放下后，要适当地“去洗手间”两三次，然后更新桌面上的零食配置。或者是最新的进口美国大片的VCD光盘或游戏也很好，不用我多说了吧？：）