本文目录一览：
- 1、驱动层木马是什么呢？
- 2、发现恶意软件怎么办？
- 3、如何防止驱动被恶意利用
- 4、电脑蓝屏开不了机
- 5、近几年电脑病毒的介绍,和一些厉害黑客的介绍~~~
- 6、win32.trojan.DNF.c28k 这种盗号木马该怎样彻底查杀
驱动层木马是什么呢？
他是使用了 Rootkit 技术可以隐藏进程，文件，端口等等技术的木马，这种木马一般很难被杀毒软件所发现，，比如那个食猫鼠病毒就是这样的，除此之外食猫鼠病毒还能帮助黑客监控用户的电脑，威胁性可以说是大大的。目前好像只有腾讯电脑管家未被“食猫鼠”阻断云安全服务的安全软件，所以你如果电脑中了类似这样的木马，可以用它来进行杀除，希望我的回答可以帮助你。
发现恶意软件怎么办？
注意一定要在安全模式下杀毒，开机－－按F8－－安全模式－－打开杀毒软件－－全盘查杀。解决办法：1: 建议你先用杀毒软件在安全模式下查杀，因为安全模式下查杀效果更好!!!重启电脑时，按住F8就进入电脑的安全模式了!!2: windows恶意软件清理助手 下载地址：
一款用户拥有完全控制权的软件清理工具:、独有的清理技术,可以彻底清理有驱动保护的恶意软件;引擎和脚本分离,立场中立,清理操作对用户完全透明;、自定义查杀规则,控制权完全由用户掌握;、开放的用户接口,可以满足您的个性化清理需求,用户自定义脚本文件,实现对一些特殊软件的清理,并可将其共享给所有用户使用!、即时更新脚本库,使您拥有更强劲的清理能力 !!3:使用360顽固木马专杀查杀当电脑感染木马，如果不能运行请改名：“我爱酒鬼”呵呵
下载地址： （360顽固木马专杀一定得联网才能查杀)4: 用贝壳木马专杀贝壳官方网站 下载地址：
贝壳木马专杀是绿色软件，直接双击运行就可以了
360虽然不错，但是对于新木马完全没有免疫力
贝壳主要是针对新木马病毒设计的5: 木马克星乃反黑客－杀木马工具,可以查杀8122种国际木马,1053种密码偷窃木马，保证查杀传奇密码偷窃木马，oicq类寄生木马，冰河类文件关联木马，密码解霸，奇迹射手等游戏密码邮寄木马，内置木马防火墙，任何黑客程序试图发送密码邮件，都需要Iparmor 确认，不仅可以查杀木马，更可以反查黑客密码。下载地址： :冰刃 IceSword 1.22 中文版 下载地址：
这是一斩断黑手的利刃, 它适用于Windows 2000/XP/2003 操作系统, 其内部功能是十分强大, 用于查探系统中的幕后黑手-木马后门, 并作出处理. 可能您也用过很多类似功能的软件, 比如一些进程工具、端口工具, 但是现在的系统级后门功能越来越强, 一般都可轻而易举地隐藏进程、端口、注册表、文件信息, 一般的工具根本无法发现这些 "幕后黑手" . IceSword 使用了大量新颖的内核技术, 使得这些后门躲无所躲. 当然使用它需要用户有一些操作系统的知识. 使用前请详细阅读说明.
在对软件做讲解之前, 首先说明之一注意事项: 此程序运行时不要激活内核调试器(如softice), 否则系统可能即刻崩溃. 另外使用前请保存好您的数据, 以防万一未知的Bug带来损失.7: 以下两个删除软件供备用。个别病毒杀软也杀不掉的用这两个删除吧
Unlocker是一个免费的右键扩充工具，当用户发现有文件或进程无法删除时，可以通过右键菜单中的“Unlocker”进行解锁，不过它并非强制关闭的程序，而是以解除进程与程序关联性的方式进行，因此不会造成数据丢失。以后当你要删除文件的时候，右键选择Unlocker 即可
下载地址： 超级巡警文件暴力删除工具 采用内核技术删除文件，能删除运行中文件或者被占用文件，可以用来查看文件被哪些程序占用，也可以在病毒分析中对一些顽固病毒木马衍生文件的删除。
下载地址： [/color][/url]
如何防止驱动被恶意利用
对于一个经常写程序的人来说，写驱动不是一件困难的事情。因为 *** 上有很多现成的
代码，要实现某个功能，直接 Ctrl+C和Ctrl+V 就能解决问题。但是写出来了驱动能不能加
载进入内核就是另外一回事了，准确的说是能不能存在于别人的硬盘上就是另外一回事了。
因为很多杀毒软件（特别像360这种没技术含量的）见到后缀名为sys的文件就直接删除，
甚至连调用NtLoadDriver的机会都没有。对于一般的软件来说，给出一个声明说明一下解
决 *** 就算了。但是对于恶意程序，是不能给出声明的。于是很多恶意软件的作者另辟蹊径，
利用大公司写好的而且有数字签名的驱动来做坏事。
有人说，大公司做好的驱动怎么可能被用来做坏事呢？其实，这是很容易理解的事情。
很多安全类或者系统优化类的软件，甚至系统毫不相关的软件（比如：迅雷）都附带有驱动。
这些驱动都带有一定的通用性。q_lai_a_qu网友在其博客里说：“ComputerZ.sys……没事
逆了逆是鲁大师的驱动，发现这个驱动功能齐全，而且没有调用者验证！既可以读、写Msr
寄存器，也可以用in、out指令读写端口，而且char/short/long数据长度齐全！”。这个是
个人之言，可信度请自行揣度。下面说个可信度比较高的例子：曾经有病毒利用了360的
AntiRK.dll来删除杀毒软件的文件（请自行用谷歌搜索“360 antirk.dll”，会有惊喜发现。
AntiRK.dll虽然不是驱动，但也是被非法利用了）。破坏杀毒软件的病毒已经算是小儿科了，
其实利用某些驱动还能破坏硬件！我最近在笔记本上折腾硬件，“本友会”上的网友给我推
荐了几款软件：SetFSB、ThrottleStop、NvFlash、WinFlash。它们分别是修改CPU外频、设
置CPU倍频(可以调节CPU电压)、读写显卡BIOS和读写主板BIOS的软件。一言概括他们的特性，
就是它们都支持NT x86/x64，它们的驱动都有正规数字签名（特别是最后两个，分别带的是 NVIDIA和ASUS的数字签名）。
最为重要的是，他们的驱动没有加花加壳，没有校验调用者，
如果利用这几个驱动，加上一丁点的逆向知识，就能做出破坏性的病毒（以下摘自我在紫水
晶编程论坛的帖子）：
1.SetFSB能调节处理器的外频，如果直接把外频调到600MHz，电脑会瞬间黑屏，可能
会损坏 CPU或主板；
2.ThrottleStop能调节 CPU的倍频（如果CPU没有锁倍频），如果直接把倍频调到 31，
电脑会瞬间黑屏，可能会损坏CPU 或主板；ThrottleStop还能调节CPU的核心电压，如果
把CPU的核心电压调到3V，能直接烧毁CPU 甚至主板；
3.NvFlash、WinFlash等软件能直接读写BIOS（显卡BIOS 和主板BIOS），我们可以把
BIOS全部写零；
4.如果做病毒的话，先写坏显卡BIOS 和主板BIOS，然后通过调节电压烧掉显卡和CPU
（有可能会连同主板一起损坏）；
解决方案
由此可见，没有验证调用者的驱动实在是有着巨大的危害。我最近受学院委托，做一个
需要驱动的软件（那个驱动会被加上数字签名）。为了防止上述悲剧发生，我决定在正式写
驱动之前，先解决如何防止自己的驱动被恶意利用。以前我曾经在紫水晶编程论坛上问过这
个问题，网友的回答五花八门，不过大概是可以分成三类：之一类是信息验证，比如应用程
序发个信息给驱动来验证一下是“自己人”；第二类是加壳保护，比如给驱动和应用程序加
上极强难脱的壳，利用VMP加密通信部分（类似XueTr 的做法）；还有人提出混合应用，综
合之一类和第二类的做法。
这三种想法看似都不错，但是我认为不妥。之一种：别人只要把驱动全部逆向完毕就行
了；第二种：虽然VMP保护和加保护壳使得破解不容易，但是不是使破解变得不可能。而且
VMP 和保护壳能使程序执行的效率降低，我不太喜欢。最可恶的是，杀毒软件对加了壳（甚
至包括 UPX）和 VMP的程序一律报毒，得不偿失。于是我想出了第三种思路：校验调用者的
特征。如果符合，就执行功能语句，否则不予执行。如何校验调用者的特征码呢？不少人想
到的是使用CRC32 或者 MD5。使用它们不是不可以，不过我还有自己的想法。我的想法是自
己设计一套验证算法，它的规则如下：
1.获得调用者的EPROCESS
2.通过调用者的EPROCESS获得调用者的文件路径
3.获取调用者的文件全部内容，放到字节数组buff里
4.把 buff里所有的元素依次相加减（fb1 + fb2 - fb3...），得到y1
5.把 buff里所有的元素依次异或（0 XOR fb1 XOR fb2 XOR fb3...），得到y2
把 y1和 y2与已经计算出来的数值对比，如果都相同则执行功能代码，如果不相同则不
执行功能代码
获得调用者的EPROCESS直接用 PsGetCurrentProcess()就行了，获得调用者的文件路
径比较麻烦，大家可以使用我以前向高手购买的代码（已经封装为函数，方便调用）:
//依据 EPROCESS得到进程全路径
VOID GetFullPathByEprocess( ULONG eprocess, PCHAR ProcessImageName )
{
ULONG object;
PFILE_OBJECT FileObject;
UNICODE_STRING FilePath;
UNICODE_STRING DosName;
STRING AnsiString;
FileObject = NULL;
FilePath.Buffer = NULL;
FilePath.Length = 0;
*ProcessImageName = 0;
//Eprocess-sectionobject(offset_SectionObject)
if(MmIsAddressValid((PULONG)(eprocess+offset_SectionObject)))
{
object=(*(PULONG)(eprocess+offset_SectionObject));
//KdPrint(("[GetProcessFileName] sectionobject :0x%x\n",object));
if(MmIsAddressValid((PULONG)((ULONG)object+0x014)))
{
object=*(PULONG)((ULONG)object+0x014);
//KdPrint(("[GetProcessFileName] Segment :0x%x\n",object));
if(MmIsAddressValid((PULONG)((ULONG)object+0x0)))
{
object=*(PULONG)((ULONG_PTR)object+0x0);
//KdPrint(("[GetProcessFileName]
ControlAera :0x%x\n",object));
if(MmIsAddressValid((PULONG)((ULONG)object+0x024)))
{
object=*(PULONG)((ULONG)object+0x024);
if (NtBuildNumber = 6000) object=((ULONG)object
0xfffffff8);
//KdPrint(("[GetProcessFileName]
FilePointer :0x%x\n",object));
}
else
return ;
}
else
return ;
}
else
return ;
}
else
return ;
FileObject=(PFILE_OBJECT)object;
FilePath.Buffer = ExAllocatePool(PagedPool,0x200);
FilePath.MaximumLength = 0x200;
//KdPrint(("[GetProcessFileName]
FilePointer :%wZ\n",FilePointer-FileName));
ObReferenceObjectByPointer((PVOID)FileObject,0,NULL,KernelMode);
RtlVolumeDeviceToDosName(FileObject- DeviceObject, DosName);
RtlCopyUnicodeString(FilePath, DosName);
RtlAppendUnicodeStringToString(FilePath, FileObject-FileName);
ObDereferenceObject(FileObject);
RtlUnicodeStringToAnsiString(AnsiString, FilePath, TRUE);
if ( AnsiString.Length = 216 )
{
memcpy(ProcessImageName, AnsiString.Buffer, 0x100u);
*(ProcessImageName + 215) = 0;
}
else
{
memcpy(ProcessImageName, AnsiString.Buffer, AnsiString.Length);
ProcessImageName[AnsiString.Length] = 0;
}
RtlFreeAnsiString(AnsiString);
ExFreePool(DosName.Buffer);
ExFreePool(FilePath.Buffer);
}
以上代码需要三个硬编码，分别是NtBuildNumber（系统版本号）、EPROCESS中的
SectionObject项和UniqueProcessId项的偏移。我测试的操作系统是Windows 2003。所以
我在代码里如下定义：
#define offset_SectionObject 0x124
#define offset_UniqueProcessId 0x94
ULONG NtBuildNumber=3790;
获得进程路径后就校验特征码。由于流程已经说清楚了，所以直接给出代码：
VOID CalcChar(PUNICODE_STRING logFileUnicodeString, LONG *XorChar, LONG
*AnSChar)
{
OBJECT_ATTRIBUTES objectAttributes;
IO_STATUS_BLOCK iostatus;
HANDLE hfile;
NTSTATUS ntStatus;
FILE_STANDARD_INFORMATION fsi;
PUCHAR pBuffer;
ULONG i=0,y1=0,y2=0;
//初始化 objectAttributes
InitializeObjectAttributes(objectAttributes,
logFileUnicodeString,
OBJ_CASE_INSENSITIVE,//对大小写敏感
NULL,
NULL);
//创建文件
ntStatus = ZwCreateFile(hfile,
GENERIC_READ,
objectAttributes,
iostatus,
NULL,
FILE_ATTRIBUTE_NORMAL,
FILE_SHARE_READ,
FILE_OPEN,//即使存在该文件，也创建
FILE_SYNCHRONOUS_IO_NONALERT,
NULL,
0 );
if (!NT_SUCCESS(ntStatus))
{
dprintf("The file is not exist!\n");
return;
}
//读取文件长度
ntStatus = ZwQueryInformationFile(hfile,
iostatus,
fsi,
sizeof(FILE_STANDARD_INFORMATION),
FileStandardInformation);
dprintf("The program want to read %d bytes\n",fsi.EndOfFile.QuadPart);
//为读取的文件分配缓冲区
pBuffer = (PUCHAR)ExAllocatePool(PagedPool,
(LONG)fsi.EndOfFile.QuadPart);
//读取文件
ZwReadFile(hfile,NULL,
NULL,NULL,
iostatus,
pBuffer,
(LONG)fsi.EndOfFile.QuadPart,
NULL,NULL);
dprintf("The program really read %d bytes\n",iostatus.Information);
//异或计算
for(i=0;iiostatus.Information;i++)
y1=y1^(LONG)(*(pBuffer+i));
*XorChar=y1;
//加减计算
for(i=0;iiostatus.Information;i++)
{
if(i%2==0)
y2=y2+(LONG)(*(pBuffer+i));
else
y2=y2-(LONG)(*(pBuffer+i));
}
*AnSChar=y2;
//关闭文件句柄
ZwClose(hfile);
//释放缓冲区
ExFreePool(pBuffer);
}
接下来就要调用了。我们需要编写一个函数VerifyCaller，在此函数里有两个值需要
固化在驱动里，就是合法调用者的两个特征值。为了方便计算这两个特征值，我特地写了个
应用程序，核心代码如下：
Option Explicit
Private Function ReadFile(ByVal strFileName As String, Optional ByVal
lngStartPos As Long = 1, Optional ByVallngFileSize As Long = -1) As Byte()
Dim FilNum As Long
FilNum = FreeFile
Open strFileName For Binary As #FilNum
If lngFileSize = -1 Then
ReDim ReadFile(LOF(FilNum) - lngStartPos)
Else
ReDim ReadFile(lngFileSize - 1)
End If
Get #FilNum, lngStartPos, ReadFile
Close #FilNum
End Function
Private Function WriteFile(ByVal strFileName As String, bytData() As Byte,
Optional ByVal lngStartPos As Long = -1,Optional ByVal OverWrite As Boolean =
True)
On Error GoTo erx
Dim FilNum As Long
FilNum = FreeFile
If OverWrite = True And Dir(strFileName) "" Then
Kill strFileName
End If
Open strFileName For Binary As #FilNum
If lngStartPos = -1 Then
Put #FilNum, LOF(FilNum) + 1, bytData
Else
Put #FilNum, lngStartPos, bytData
End If
Close #FilNum
erx:
End Function
Private Sub Command1_Click()
Dim buff() As Byte, i As Long, y As Long, ub As Long
'text1.text is the file name
buff = ReadFile(Text1.Text, 1, -1)
ub = UBound(buff)
'calc xor char
y = 0
For i = 0 To ub
y = y Xor buff(i)
Next
Text2.Text = CLng(y)
DoEvents
'calc add/sub char
y = 0
For i = 0 To ub
If i Mod 2 = 0 Then
y = y + CLng(buff(i))
Else
y = y - CLng(buff(i))
End If
Next
Text3.Text = CLng(y)
End Sub
Private Sub Form_Load()
Me.Icon = LoadPicture("")
End Sub
驱动里的 VerifyCaller代码如下：
LONG VerifyCaller(void)
{
PEPROCESS cur_ep;
char cur_pp[260];
char *nt_cur_pp;
ANSI_STRING asCur_pp;
UNICODE_STRING usCur_pp;
LONG xorc, ansc;
cur_ep=PsGetCurrentProcess();
GetFullPathByEprocess((ULONG)cur_ep, cur_pp);
//在文件名前面加上\??\
nt_cur_pp=cs("\\??\\",cur_pp);
DbgPrint("%s",nt_cur_pp);
RtlInitAnsiString(asCur_pp, nt_cur_pp);
RtlAnsiStringToUnicodeString(usCur_pp, asCur_pp, TRUE);
DbgPrint("%wZ",usCur_pp);
CalcChar(usCur_pp, xorc, ansc);
DbgPrint("XorChar: %ld; AnSChar: %ld",xorc,ansc);
//这个就是事先算好的合法程序的特征码，【必须】固化在驱动里！
if(xorc==186 ansc==136176)
return 1;
else
return 0;
}
在 DispatchIoctl函数的每个功能执行之前，都调用VerifyCaller()校验一下调用者：
switch(uIoControlCode)
{
case IOCTL_VERIFY:
{
DbgPrint("[MyDriver] DispatchIoctl - IOCTL_VERIFY");
if(VerifyCaller()==1)
DbgPrint("[MyDriver] {IOCTL_VERIFY} Function code run now!");
else
DbgPrint("[MyDriver] {IOCTL_VERIFY} You're illegal caller!");
status = STATUS_SUCCESS;
break;
}
//下面省略
}
运行测试
3.首先把合法的调用者，非法的调用者（用eXeScope随便把合法的调用者Patch一下，
比如删掉程序的版本信息）和驱动复制到虚拟机
4.用合法的调用者来加载驱动并执行
5.用非法的调用者来加载驱动并执行
6.对比以上两者在DbgView的输出
调用者合法时：
调用者非法时：
写在最后
写完这篇文章，我必须再次重申：只有当驱动程序携带正式数字签名时，验证调用者的
代码才有使用价值。为什么这么说呢？因为别人无法patch 带有正式数字签名的驱动（一旦
驱动被 patch，签名就失效了，就像被破处的女人，不值钱了。这个比喻虽然粗俗，但是很
恰当）。而没有加上签名的驱动，本来就没有使用价值。即使别人要使用，直接把驱动扔到
IDA 里，什么代码都出来了。
电脑蓝屏开不了机
电脑蓝屏死机的原因因机器配置使用不同，造成蓝屏死机的原因多种多样，给你提供一些线索，你自己去排除。
1、散热不良，显示器、电源和CPU工作时间太长会导致死机，给风扇除尘，上油，或更换风扇，台式机在主机机箱内加个临时风扇 ，辅助散热，本本加散热垫。
2、机器内灰尘过多，接触不良，清洁机箱，将所有的连接插紧、插牢。
3、内存条松动，拔下内存，清理插槽，擦干净内存金手指，再插紧。如果是内存条质量存在问题，更换有问题的内存。
4、将BIOS设置为默认值，取下主板电池，将主板电池槽正负极对接，再安上电池。
5、降低分辨率、颜色质量、刷新率；降低硬件加速-桌面属性-设置-高级-疑难解答-将“硬件加速”降到“无”或适中。
6、检查修复磁盘错误。在我的电脑窗口—右击要装系统的磁盘驱动器（C）—属性—工具--查错，开始检查—勾选“自动修复文件系统错误”和“扫描并试图恢复坏扇区”—确定--开始—重启。用上述的办法检查修复其它分区。
7、清理磁盘整理磁盘碎片。我的电脑—右击要整理磁盘碎片的驱动器—属性—工具--选择整理的磁盘打开“磁盘碎片整理程序”窗口—分析—碎片整理—系统即开始整理。注意：整理期间不要进行任何数据读写。
8、硬盘老化或由于使用不当造成坏道、坏扇区，要用工具软件来进行排障处理，如损坏严重则要更换硬盘。
9、检查最新安装或升级的驱动程序和软件，删除或禁用新近添加的程序或驱动程序。
10、从网上驱动之家下载驱动精灵2010，更新主板、网卡、显卡、声卡、鼠标和其它指针，以及系统设备、IDE控制器、串行总线控制器等驱动。
11、启动的程序太多，使系统资源消耗殆尽，在上网冲浪的时候，不要打开太多的浏览器窗口，否则会导致系统资源不足，引起系统死机。如果你的机器内存不是很大，千万不要运行占用内存较大的程序，如Photoshop，否则运行时容易死机。
12、杀除木马病毒。在查杀病毒之前，要确保你的杀毒软件的病毒库是最新的。
13、误删除了系统文件，用Windows安装盘修复系统。
14、市电电压不稳，电源功率不足，更换成功率大、高质量的电源。
15、主板故障，一般是插座、插槽有虚焊，接触不良；个别芯片、电容等元件毁坏。修理或更换主板。
硬件方面：
1.板卡接触不良或品质问题致设备运行不稳定
2.电脑散热不良致使CPU或显卡芯片温度过高而死机，其中有硬件设计缺陷，比如某些被召回的显卡或计算机部件
3.硬件兼容性较差,这种情况常见于非品牌的组装兼容机上
软件方面：
1用户遭到远程木马控制，电脑一切都在黑客的掌握之中。
2.病毒或恶意插件入侵，导致系统被破坏。
3.电脑安装的驱动不兼容，电脑运行一段时间就出现死机情况。
4.软件本身兼容性问题，软件不兼容严重冲突与系统冲突，出现电脑死机情况。
近几年电脑病毒的介绍,和一些厉害黑客的介绍~~~
二十年最强悍病毒排行榜
自从之一个计算机病毒爆发以来，已经过去了20年左右的时间。《InformationWeek》最近评出了迄今为止破坏程度最为严重的十大病毒。
上个世纪80年代上半期，计算机病毒只是存在于实验室中。尽管也有一些病毒传播了出去，但绝大多数都被研究人员严格地控制在了实验室中。随后，“大脑”(Brain)病毒出现了。1986年年初，人们发现了这种计算机病毒，它是之一个PC病毒，也是能够自我复制的软件，并通过5.2英寸的软盘进行广泛传播。按照今天的标准来衡量，Brain的传播速度几乎是缓慢地爬行，但是无论如何，它也称得上是我们目前为之困扰的更有害的病毒、蠕虫和恶意软件的鼻祖。下面就是这20年来计算机病毒发展的历史。
CIH
估计损失：全球约2,000万~8,000万美元，计算机的数据损失没有统计在内。
CIH病毒1998年6月爆发于中国***，是公认的有史以来危险程度更高、破坏强度更大的病毒之一。
CIH感染Windows 95/98/ME等操作系统的可执行文件，能够驻留在计算机内存中，并据此继续感染其他可执行文件。
CIH的危险之处在于，一旦被激活，它可以覆盖主机硬盘上的数据并导致硬盘失效。它还具备覆盖主机BIOS芯片的能力，从而使计算机引导失败。由于能够感染可执行文件，CIH更是借众多软件分销商之力大行其道，其中就包括Activision游戏公司一款名为“原罪”(Sin)游戏的演示版。
CIH一些变种的触发日期恰好是切尔诺贝利核电站事故发生之日，因此它也被称为切尔诺贝利病毒。但它不会感染Windows 2000/XP/NT等操作系统，如今，CIH已经不是什么严重威胁了。
梅利莎(Melissa)
损失估计：全球约3亿~6亿美元
1999年3月26日，星期五，W97M/梅利莎登上了全球各地报纸的头版。估计数字显示，这个Word宏脚本病毒感染了全球15%~20%的商用PC。病毒传播速度之快令英特尔公司(Intel)、微软公司(Microsoft，下称微软)、以及其他许多使用Outlook软件的公司措手不及，为了防止损害，他们被迫关闭整个电子邮件系统。
梅利莎通过微软的Outlook电子邮件软件，向用户通讯簿名单中的50位联系人发送邮件来传播自身。
该邮件包含以下这句话：“这就是你请求的文档，不要给别人看”，此外夹带一个Word文档附件。而单击这个文件(成千上万毫无疑虑的用户都是这么做的)，就会使病毒感染主机并且重复自我复制。
更加令人恼火的事情还在后头——一旦被激活，病毒就用动画片《辛普森一家》(The Simpsons)的台词修改用户的Word文档。
我爱你(ILOVEYOU)
损失估计：全球约100亿~150亿美元
又称情书或爱虫。它是一个Visual Basic脚本，设计精妙，还有令人难以抗拒的诱饵——爱的诺言。
2000年5月3日，“我爱你”蠕虫病毒首次在香港被发现。
“我爱你”蠕虫病毒病毒通过一封标题为“我爱你(ILOVEYOU)”、附件名称为“Love-Letter-For-You.TXT.vbs”的邮件进行传输。和梅利莎类似，病毒也向Microsoft Outlook通讯簿中的联系人发送自身。
它还大肆复制自身覆盖音乐和图片文件。更可气的是，它还会在受到感染的机器上搜索用户的账号和密码，并发送给病毒作者。
由于当时菲律宾并无制裁编写病毒程序的法律，“我爱你”病毒的作者因此逃过一劫。
红色代码(Code Red)
损失估计：全球约26亿美元
“红色代码”是一种计算机蠕虫病毒，能够通过 *** 服务器和互联网进行传播。2001年7月13日，红色代码从 *** 服务器上传播开来。它是专门针对运行微软互联网信息服务软件的 *** 服务器来进行攻击。极具讽刺意味的是，在此之前的六月中旬，微软曾经发布了一个补丁，来修补这个漏洞。
“红色代码”还被称为Bady，设计者蓄意进行更大程度的破坏。被它感染后，遭受攻击的主机所控制的 *** 站点上会显示这样的信息：“你好！欢迎光临！”。随后，病毒便会主动寻找其他易受攻击的主机进行感染。这个行为持续大约20天，之后它便对某些特定IP地址发起拒绝服务(DoS)攻击。在短短不到一周的时间内，这个病毒感染了近40万台服务器，据估计多达100万台计算机受到感染。
SQL Slammer
损失估计：由于SQL Slammer爆发的日期是星期六，破坏所造成的金钱损失并不大。尽管如此，它仍然冲击了全球约50万台服务器，韩国的在线能力瘫痪长达12小时。
SQL Slammer也被称为“蓝宝石”(Sapphire)，2003年1月25日首次出现。它是一个非同寻常的蠕虫病毒，给互联网的流量造成了显而易见的负面影响。有意思的是，它的目标并非终端计算机用户，而是服务器。它是一个单包的、长度为376字节的蠕虫病毒，它随机产生IP地址，并向这些IP地址发送自身。如果某个IP地址恰好是一台运行着未打补丁的微软SQL服务器桌面引擎(SQL Server Desktop Engine)软件的计算机，它也会迅速开始向随机IP地址的主机开火，发射病毒。
正是运用这种效果显著的传播方式，SQL Slammer在十分钟之内感染了7.5万台计算机。庞大的数据流量令全球的路由器不堪重负，如此循环往复，更高的请求被发往更多的路由器，导致它们一个个被关闭。
冲击波(Blaster)
损失估计：20亿~100亿美元，受到感染的计算机不计其数。
对于依赖计算机运行的商业领域而言，2003年夏天是一个艰难的时期。一波未平，一波又起。IT人士在此期间受到了“冲击波”和“霸王虫”蠕虫的双面夹击。“冲击波”(又称“Lovsan”或“MSBlast”)首先发起攻击。病毒最早于当年8月11日被检测出来并迅速传播，两天之内就达到了攻击顶峰。病毒通过 *** 连接和 *** 流量传播，利用了Windows 2000/XP的一个弱点进行攻击，被激活以后，它会向计算机用户展示一个恶意对话框，提示系统将关闭。在病毒的可执行文件MSBLAST.EXE代码中隐藏着这些信息：“桑(San)，我只想说爱你！”以及“比尔?盖茨(Bill Gates)你为什么让这种事情发生？别再敛财了，修补你的软件吧！”
病毒还包含了可于4月15日向Windows升级网站(Windowsupdate.com)发起分布式DoS攻击的代码。但那时，“冲击波”造成的损害已经过了高峰期，基本上得到了控制。
霸王虫(Sobig.F)
损失估计：50亿~100亿美元，超过100万台计算机被感染.。
“冲击波”一走，“霸王虫”蠕虫便接踵而至，对企业和家庭计算机用户而言，2003年8月可谓悲惨的一月。更具破坏力的变种是Sobig.F，它8月19日开始迅速传播，在最初的24小时之内，自身复制了100万次，创下了历史纪录(后来被Mydoom病毒打破)。病毒伪装在文件名看似无害的邮件附件之中。被激活之后，这个蠕虫便向用户的本地文件类型中发现的电子邮件地址传播自身。最终结果是造成互联网流量激增。
2003年9月10日，病毒禁用了自身，从此不再成为威胁。为得到线索，找出Sobig.F病毒的始作俑者，微软宣布悬赏25万美元，但至今为止，这个作恶者也没有被抓到。
Bagle
损失估计：数千万美元，并在不断增加
Bagle是一个经典而复杂的蠕虫病毒，2004年1月18日首次露面。这个恶意代码采取传统的机制——电子邮件附件感染用户系统，然后彻查视窗(Windows)文件，寻找到电子邮件地址发送以复制自身。
Bagle(又称Beagle)及其60~100个变种的真正危险在于，蠕虫感染了一台计算机之后，便在其TCP端口开启一个后门，远程用户和应用程序利用这个后门得到受感染系统上的数据(包括金融和个人信息在内的任何数据)访问权限。据2005年4月，TechWeb.com的一篇文章称，这种蠕虫“通常被那帮为了扬名而不惜一切手段的黑客们称为‘通过恶意软件获利运动’的始作俑者”。
Bagle.B变种被设计成在2004年1月28日之后停止传播，但是到目前为止还有大量的其他变种继续困扰用户。
MyDoom
损失估计：在其爆发的高峰期，全球互联网的速度性能下降了10%，网页的下载时间增加了50%。
2004年1月26日几个小时之间，MyDoom通过电子邮件在互联网上以史无前例的速度迅速传播，顷刻之间全球都能感受到它所带来的冲击波。它还有一个名称叫做Norvarg，它传播自身的方式极为迂回曲折：它把自己伪装成一封包含错误信息“邮件处理失败”、看似电子邮件错误信息邮件的附件，单击这个附件，它就被传播到了地址簿中的其他地址。MyDoom还试图通过P2P软件Kazaa用户 *** 账户的共享文件夹来进行传播。
这个复制进程相当成功，计算机安全专家估计，在受到感染的最初一个小时，每十封电子邮件就有一封携带病毒。MyDoom病毒程序自身设计成2004年2月12日以后停止传播。
震荡波(Sasser)
损失估计：数千万美元
“震荡波”自2004年8月30日起开始传播，其破坏能力之大令法国一些新闻机构不得不关闭了卫星通讯。它还导致德尔塔航空公司(Delta)取消了数个航班，全球范围内的许多公司不得不关闭了系统。
与先前多数病毒不同的是，“震荡波”的传播并非通过电子邮件，也不需要用户的交互动作。
“震荡波”病毒是利用了未升级的Windows 2000/XP系统的一个安全漏洞。一旦成功复制，蠕虫便主动扫描其他未受保护的系统并将自身传播到那里。受感染的系统会不断发生崩溃和不稳定的情况。
“震荡波”是德国一名17岁的高中生编写的，他在18岁生日那天释放了这个病毒。由于编写这些代码的时候他还是个未成年人，德国一家法庭认定他从事计算机破坏活动，仅判了缓刑。
边栏1：病毒纪年
1982
Elk Cloner病毒是实验室之外诞生的最早的计算机病毒之一。该病毒感染了当时风靡一时的苹果II型(Apple II)计算机。
1983
早期的病毒研究人员，佛瑞德?科恩(Fred Cohen)，提出了“计算机病毒”(Computer Virus)的概念，并将其定义为“是一类特殊的计算机程序，这类程序能够修改其他程序，在其中嵌入他们自身或是自身的进化版本，从而来达到“感染”其他程序的目的。”
1986
“大脑”(Brain)病毒出现。这是一种启动区病毒，当计算机重启时，通过A驱动器中的软盘传播。该病毒不仅是最早的PC病毒，还是之一例隐蔽型病毒—被感染的磁盘并不会呈现明显症状。
1987
“李海”(Lehigh)病毒最早在美国的李海大学(Lehigh University)被发现。该病毒驻留内存，而且是之一个感染可执行文件的病毒。
同年，商业杀毒软件登上历史舞台，其中包括约翰?迈克菲(John McAfee)的VirusScan和罗斯?格林伯格(Ross Greenberg)的Flu_Shot。
1988
这一年诞生了最早在Mac系统传播的病毒，MacMag病毒和Scores病毒。
同年出现的Cascade病毒是之一个经加密后难以删除和修改的病毒。
之一个广泛传播的蠕虫病毒是“莫里斯的蠕虫”(Morris Worm)病毒。蠕虫是病毒的一种，它们通过外界资源，比如互联网或是 *** 服务器，传播自身。美国国内一位著名计算机安全顾问的儿子，罗伯特?T?莫里斯(Robert T. Morris)，将该病毒从麻省理工学院(MIT)释放到了互联网上。但是，他声称这一切纯属意外。
1989
“黑暗复仇者”(Dark Avenger)/“埃迪”(Eddie)病毒是最早的反杀毒软件病毒。该病毒会删除部分杀毒软件。
“费雷多”(Frodo)病毒出现。这个病毒感染文件后具有一定隐蔽性，当用户对被感染计算机进行目录列表检查时，被感染文件的大小也不会发生改变，极具隐蔽性。
1990
出现了众多杀毒软件，其中包括沃尔夫冈?斯蒂勒(Wolfgang Stiller)的“整合专家”(Integrity Master)，帕姆?凯恩(Pam Kane)的“熊猫反病毒”(Panda Anti-Virus)工具，以及雷?格雷斯(Ray Clath)的Vi-Spy软件。到此时，杀毒程序作者和病毒制造者已经开始展开了全面的较量。
变形病毒出现。这些病毒随机改变特征，同时对自身进行加密，从而避免被发现。最早的此类病毒可能是1260/V2P1病毒。
加壳病毒(Armored Virus)首次出现。此类病毒很难分解。比如防护能力极强的顽固病毒，“鲸鱼”(Whale)病毒。
1991
“特奎拉”(Tequila)病毒出现。特奎拉具有隐蔽性，属于复合型态，具备保护外壳，同时会对自身变换加密，每次感染时都会采用不同的密钥。该病毒攻击主引导记录。主引导记录一旦被感染就会随之感染其他程序。
一种名为病毒制造实验室(Virus Creation Lab)的病毒软件编写工具库催生了一系列病毒。但是大多数该类病毒都充满漏洞，而无法制造真正的威胁。
复合型DAMN病毒由“黑暗复仇者变形引擎”(Dark Avenger Mutation Engine)编写，并且在1992年大行其道。
1992
“米开朗基罗”(Michelangelo)病毒出现后感染所有类型的磁碟。但是，该病毒的散播范围比媒体预先估计的要小一些。
1993
当年出现的Satanbug/Little Loc/Natas病毒是同一个病毒的不同变种。
Satanbug病毒具有很强的反杀毒软件功能：该变种能够检查到四种杀毒软件，并且破坏相关磁碟。这是杀毒软件研究人员历史上之一次和美国联邦调查局(FBI)联手逮捕并且起诉了这个还是孩子的病毒编写者
1994
危害相对较小的KAOS4病毒出现在一个色情新闻组之中，并且很快通过COMSPEC/PATH环境变量传遍全球。这是之一个利用环境变量来定位潜在攻击对象目录的病毒。
1995
之一个宏病毒出现。宏病毒利用软件自带的编程语言编写来传播，比如微软公司(Microsoft，下称微软)的Word、Excel和Access。
1996
Laroux/Excel宏病毒利用微软为应用软件宏语言环境设计的新型Visual Basic语言，进行大范围自我复制。但是该病毒危害非常有限。
Boza病毒出现并且感染了曾号称百毒不侵的Windows 95操作平台。
Staag病毒这一年出现并且感染了当时刚刚诞生不久的Linux操作系统。
1998
StrangeBrew病毒在Java环境下传播和发作。这是一个概念性病毒，没有攻击性。
危险的CIH病毒现身后感染了视窗(Windows)可执行文件，覆盖了硬盘和BIOS数据，并且让无数计算机系统瘫痪。这个别名为“Chernobyl”的病毒在全球范围内造成了2,000万~8,000万美元的经济损失。CIH病毒对中国用户发起大规模的进攻，受损计算机超过几十万台。
1999
毁灭性的梅利莎(Melissa)Word 97宏病毒是目前为止传播得最快的一种病毒。这个以一个脱衣 *** 命名的病毒是群发邮件病毒的鼻祖。
蠕虫病毒开始产生比普通病毒更大的危害。“泡沫男孩”(Bubble Boy)病毒是之一个在用户打开电子邮件附件之前就感染系统的蠕虫病毒。在邮件被浏览之时，蠕虫病毒已经开始暗中传播。
2000
我爱你(ILoveYou)病毒，又称情书或爱虫，也是群发邮件病毒。被感染的计算机会向邮件地址簿中的所有人发送包含病毒的电子邮件。
借助人们对于情书的好奇心，该病毒迅速传遍全球，造成了大范围的电子邮件阻塞和企业亿万美元的损失。
之一次分布式拒绝服务(DoS)攻击同时侵袭了亚马逊公司(Amazon)、电子港湾公司(eBay)、谷歌公司(Google)、雅虎公司(Yahoo)和微软的网站，攻击长达数小时之久。
2001
Sircam蠕虫病毒把被感染电脑的个人文档和数据文件通过电子邮件四处发送。但是由于该病毒文件比较大，限制了自身的传播速度。
“尼姆达”(Nimda)病毒利用复杂的复制和传染技术，在全球范围内感染了数十万台计算机。
“坏透了”(BadTrans)蠕虫病毒可以截获并且向病毒作者传回受感染用户的信用卡信息和密码。但是该病毒聪明的自我复制机制在真正发挥作用之前就被防病毒软件发现，并且在其大范围传播之前被追踪清除。
2002
梅利莎病毒的编写者大卫?史密斯(David L. Smith)被判处在联邦监狱服刑20个月。
2003
SQL Slammer蠕虫病毒在十分钟内攻击了7.5万台计算机，几乎每十秒钟就将攻击数量翻倍。虽然病毒没有造成直接伤害，但是该蠕虫病毒让 *** 服务器过载，全球内互联网阻塞。
“冲击波”(Blaster)蠕虫病毒在8月11日攻击了Windows 2000和Windows XP一个已经推出补丁的安全漏洞，让数十万台来不及打补丁的计算机陷入瘫痪。该病毒的最终目的是利用受感染的计算机在8月15日发动一次针对Windowsupdate.com的分布式DoS攻击，但是病毒的危害到当天已经基本被控制。
我国的北京、上海、广州、武汉、杭州等城市也遭到了强烈攻击，从11日到13日，短短三天间就有数万台电脑被感染，4,100多个企事业单位的局域网遭遇重创，其中2,000多个局域网陷入瘫痪，对相关机构的电子政务、电子商务工作产生了伤害，造成了巨大的经济损失。
“霸王虫”(Sobig.F)是一个群发邮件病毒，通过不安全的 *** 共享感染系统。该病毒传播迅速，24小时之内自我复制超过百万次。“霸王虫”病毒大规模爆发，波及亚洲、美洲和澳洲等地区，致使我国互联网大面积感染。这次比“冲击波”病毒更加强劲，截至8月14日22时，我国受袭击的局域网数量已增加到5,800个。
win32.trojan.DNF.c28k 这种盗号木马该怎样彻底查杀
Trojan(特洛伊木马)木马病毒：该木马对抗安全软件能力非常强大，不仅能结束安全软件并删除部分杀毒软件服务，还能够关闭系统的安全中心，病毒在把安全软件关闭后，这样安全中心也就不会对用户进行提示了。用户中招后，该病毒便会上演“黑吃黑”的戏码，联网下载病毒列表，而且数量较多，修改HOST文件，屏蔽其他病毒网页地址。该病毒为了阻止用户使用还原类软件重启清楚该病毒，对系统的USERINIT.EXE进行修改，而当用户发现中毒后，即使有还原类软件也不能重启清除该病毒。
下面是具体的办法和工具
解决办法：在安全模式下查杀！重启电脑时--按F8--安全模式--打开杀毒软件－－全盘查杀。！！
( 一 )工具法：
1: 建议你先用360安全卫士的木马云查杀和杀毒软件在安全模式下查杀，因为安全模式下查杀效果更好!!
2: windows恶意软件清理助手 下载地址：
一款用户拥有完全控制权的软件清理工具:、独有的清理技术,可以彻底清理有驱动保护的恶意软件;引擎和脚本分离,立场中立,清理操作对用户完全透明;、自定义查杀规则,控制权完全由用户掌握;、开放的用户接口,可以满足您的个性化清理需求,用户自定义脚本文件,实现对一些特殊软件的清理,并可将其共享给所有用户使用!、即时更新脚本库,使您拥有更强劲的清理能力 !!3:使用360顽固木马专杀查杀当电脑感染木马，如果不能运行请改名：“asd”呵呵
下载地址： （360顽固木马专杀一定得联网才能查杀)4: 用贝壳木马专杀贝壳官方网站 下载地址：
贝壳木马专杀是绿色软件，直接双击运行就可以了
360虽然不错，但是对于新木马完全没有免疫力
贝壳主要是针对新木马病毒设计的5:AV终结者木马专杀工具 下载地址：
清除AV终结者/8749病毒;修复“映像劫持”；修复Autorun.inf;修复安全模式.6:金山U盘专杀
:移动盘或者U盘的处理更好直接用专门的工具 USBCleaner
下载
用法 下载后安装运行，即可自动清除U盘和移动硬盘上的AUTORUN之类的病毒。( 二) ：手动法
1: 打开“开始/运行”，输入“regedit”后“确定”以打开注册表编辑器，进入到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run键下，在右边列中，找到一个名为“;Rundll”的值，如果找到请双击打开看，查看并记下“数值数据”中指示的文件及路径名，一般为“C:\WINNT\System32\XXXX.exe”的形式（但并不固定，这要根据具体的环境而变化），注意其中的“XXXX.exe”代表的是任意值，并不固定，而不是4个X，所以这时一定要记清这个“XXXX.exe”所代表的文件名，记下后然后从注册表中删除这个“;Rundll”值； 2: 按“Ctrl+Alt+Del”键弹出任务管理器，找到在上面第二步中记下的“XXXX.exe”的进程（注意这里的XXXX.exe是具体的名称而不是4个X）。找到有相同的进程后选中它并点击“结束进程”以结束掉木马进程； 3: 打开资源管理器进入到 “系统目录\Winnt\System32”下（如果您的win2000/nt/xp安装在C盘则就是 C:\Winnt\System32）。找到XXXX.exe和XXXX.dll文件然后直接删除它们（当然，这里的XXXX所代表的仍然不是4个X，而是具体的名称）；如果在删除过程中发现XXXX.dll删除不掉，而是报告“文件正在使用中无法删除”，则可以注销或重启一下电脑，然后再按此 *** 找到并删除它就可以了。 4: 按“Ctrl+Alt+Del”键弹出任务管理器，找到在上面第二步中记下的“XXXX.exe”的进程（注意这里的XXXX.exe是具体的名称而不是4个X）。找到有相同的进程后选中它并点击“结束进程”以结束掉木马进程； 5: 打开资源管理器进入到 “系统目录\Winnt\System32”下（如果您的win2000/nt/xp安装在C盘则就是 C:\Winnt\System32）。找到XXXX.exe和XXXX.dll文件然后直接删除它们（当然，这里的XXXX所代表的仍然不是4个X，而是具体的名称）；如果在删除过程中发现XXXX.dll删除不掉，而是报告“文件正在使用中无法删除”，则可以注销或重启一下电脑，然后再按此 *** 找到并删除它就可以了。
( 三 )手动删除法：
按照杀软给出病毒对应的文件名和路径,开始--运行--regedit，打开注册表，用光标选取注册表中的“我的电脑”，菜单--编辑--查找，从头到尾查找这文件的项目，右键--删除，F3继续，直至查完删完.
最后再删除硬盘文件,不让删的用IceSword（冰刃）的文件和注册表功能删
冰刃下载地址：
如果手动清除有困难，可以下载一个unlocker，安装，它自动添加到右键菜单，接下来的操作可以无师自通了Unlocker下载地址： 更好也做些基本的防护，关闭系统还原及其服务；
安全模式下清空所有临时文件夹(网上有批处理，也可用超级兔子的文件清理)
关闭一些无用服务超级兔子: