哪些文件容易被木马病毒伪装（常见木马病毒伪装方式有哪些）

本文目录一览：

• 1、哪些情况容易中木马？
• 2、木马病毒一般会伪装成什么程序进入电脑？
• 3、下载东西老提示是病毒，怎样识别哪些是木马病毒？
• 4、哪些类型的文件会带病毒？
• 5、什么样的文件才会被定义为木马？木马是怎样攻击系统的？会造成怎样的影响？？
• 6、一般什么扩展名的文件容易是病毒或者木马

哪些情况容易中木马？

你好，其实有数种情况是可以导致中木马病毒的：

1.未及时安装系统安全更新。每一个系统安全更新均与系统漏洞有关，现在网络上的挂马网站不少，而很多木马的入侵，往往会利用系统漏洞，你若未及时安装系统安全更新，而又访问了这些挂马网站，特别是这种标题极具诱惑力的网站，就极易中木马。针对这种情况，建议你安装腾讯电脑管家这样的安全软件，点击“漏洞修复”，软件立即就会为你检测，并列出需要安装的安全更新，你选择安装更新即可。以后在每个月的第二周微软发布最新安全更新时，电脑管家也会及时提示你安装。你若不希望出现提示，而自动安装，那么可以在设置中心中选择漏洞修复，选中“有高危漏洞时自动修复，无需提醒”，这样电脑管家就会自动为你安装系统补丁了。

2.未安装防杀病毒的软件。未安装防杀病毒的软件的情况下，你是连是否中了木马病毒都不知道，特别像盗号木马，运行时根本就是无声无息，除非你发现异地登录、甚至密码被盗，游戏装备等莫名丢失，你才能发现异常。而开启杀毒软件的情况下，杀毒软件就会帮助你阻止木马的入侵。像电脑管家，默认情况下开启了上网安全防护、应用入口防护和系统底层防护，能够保护你在上网时避免遭受病毒木马攻击和通过U盘传播的病毒等。

3.未设置系统登录密码或使用的弱密码。黑客可是很喜欢未设置密码或使用弱密码的用户的，这样他们可以设法连接到你的电脑上，然后上传木马，建议你在右击桌面上我的电脑（WIN7是计算机），选择管理，在“本地用户和组”的“用户”右面窗口中右击相应的用户名，特别是管理员组的用户名，如Administrator，选择创建密码，建议为大于或等于8位的，由数字、英文大小写字母、符号组成的密码，不过也请记住此密码，别把自己挡在系统门外。

4.未关闭Windows自动播放功能。现在利用U盘等移动存储设备传播的病毒仍旧不少，一旦插入带毒U盘，又不安装杀毒软件就可能中毒，还特别容易在各分区根目录中生成病毒文件及autorun.inf这个会触发自动播放的文件，此时就算清除了C盘的病毒，若点击分区就仍旧容易再次触发病毒木马。建议你在设置中心的“U盘、下载”中确认选中禁用Windows系统的自动播放功能（重启后生效），并点击应用按钮，然后重启计算机。

5.随意接收他人发来的文件或点击安全性未知甚至警告为危险的链接。在他人未告诉过你需要有文件需要接收时，请勿随意接收，有时发送过来的会是木马病毒，即使别人打过招呼了，打开前也得先杀毒才行，这包括从IM软件，如QQ、旺旺中发来的文件，或者是邮件中的附件。从网站下载软件后，也请务必先用电脑管家杀毒，再安装。如果说网站上说请关闭杀毒软件再安装，千万别相信，现在就有种网银木马，伪装成播放器，在你通过网银转帐或汇款时疯狂窃取你的网银资金，转到他们在云端服务器上配置好的账号里。

6.GHOST版的系统镜像中本身容易带有病毒木马。现在的GHOST版制作者很多为了自己的经济利益，轻则在制作镜像之前，先插入广告软件，更多是植入恶意软件，甚至木马病毒。所以不建议你使用GHOST版安装镜像文件，而建议使用原版安装镜像。

如果你还有其它电脑问题，欢迎你在电脑管家企业平台提出，我们将尽力为你解答。

木马病毒一般会伪装成什么程序进入电脑？

会伪装成系统文件或者正在运行的软件，可以用腾讯电脑管家杀毒，一共有闪电查杀、全盘查杀、指定位置查杀3个模式，但是这3个模式代表的意义是不同的，虽然闪电查杀按钮比较明显，但不代表杀毒效果最好，只是在紧急时刻使用来杀毒而已，全盘查杀可以说是杀毒效果最好的，指定位置查杀属于其次，也是为了节约时间设置的一个杀毒办法。

下载东西老提示是病毒，怎样识别哪些是木马病毒？

1.伪装成图片文件。这是黑客常用来骗别人执行木马的方法。将木马说成为图像文件，比如说是照片，只要入侵者扮成美眉及更改服务端程序的文件名为“类似”图像文件的名称，然后再假装传送照片给受害者，一般情况下受害者就会立刻执行它，致使电脑系统感染木马。

2.伪装成应用程序扩展组件。这类扩展组件的木马最难识别。黑客通常将木马程序写成各种类型的文件，然后挂到一个出名软件的安装目录中，由于软件本身很出名，所以通常不会有人怀疑它的安全性，更不会检查它的文件是否多了，当运行这个软件的时候，木马也会同时运行。

3.逆名木马伪装成JPG 、TXT文件。木马作者通过技术手段，使得文件名逆向显示为：扩展名+文件名(exe.txt)，让木马文件名看上去跟记事本文件完全一样，即使是经验丰富的IT技术人员也会很容易被该木马欺骗。

4.利用你的惯性点击心理，伪装成文件夹。把木马文件伪装成文件夹图标后，放在一个文件夹中，然后在外面再套三四个空文件夹，很多人出于连续点击的习惯，点到那个伪装成文件夹木马时，也会收不住鼠标点下去，这样木马就成功运行了。

5.邮件冒名欺骗。该类木马植入的前提是，用匿名邮件工具冒充好友或大型网站、机构单位向别人发带木马附件的邮件，只要下载附件并打开的话就中木马了。

6.伪装成RAR等压缩文件。木马作者会将木马和一个热门的资源(比如写真照片)捆绑成一个自解压包文件，同时文件图标会更换成为RAR图标，由于图片相似度极高，用户很容易就误操作，同时，为了防止被用户识破木马，作者还会修改rar等压缩包的关键数据结构，这样一来用户很难通过解压的方式来辨别文件中是否包含木马。

哪些类型的文件会带病毒？

1、首先可能性最大的就是 .exe .bat .pif .com .scr 这些可执行文件,它们自身可以独立运行,因此可以达到运行病毒的目的.2、进程插入技术,通过修改注册表感染系统进程,当系统启动时会自动加载,从而达到运行目的，它们以 .dll 扩展名.3、黑客也可以通过"WMA插马器","Office文档捆绑器"等工具或编写特殊的宏来感染 office文档(如:.doc .xls)和大部分的音乐与视频文件,帮助文件也有可能(如:.mp3 .wma .rm .rmvb).4、通过编写特殊的图片或网页，可以让用户的计算机自动下载并运行病毒.

以上方法最常用的是前两种,平时只要注意 .exe .com .dll 这些文件就可以了.第四种常在浏览网页才会中招。

还有要注意的是,.txt .reg .inf .ini 文件虽然本身不带毒,但黑客可以通过修改注册表,让用户试图打开它们时,调用病毒文件解读,文件是否打开不重要,重要的是病毒运行.有程序试图更改文件关联时要注意了!

随着技术研究的深入,黑客用来运行病毒的方法也越来越多,几乎所有文件都可能被黑客利用.在平时用电脑时,要警惕来历不明的文件!

什么样的文件才会被定义为木马？木马是怎样攻击系统的？会造成怎样的影响？？

木马（Trojan）这个名字来源于古希腊传说（荷马史诗中木马计的故事，Trojan一词的特洛伊木马本意是特洛伊的，即代指特洛伊木马，也就是木马计的故事）。“木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。

如果中了木马，那么可以使用电脑管家来查杀，电脑管家的杀毒部分采用的是4+1引擎，包含金山和腾讯两个国内最大的云查杀引擎以及以高查杀著称的德国小红伞本地引擎，查杀率非常的高，可以完美的清除各种顽固的木马病毒

腾讯电脑管家企业平台：

一般什么扩展名的文件容易是病毒或者木马

一般都是以下四种，下面我分别加以介绍并简要说明以下清除的方法：

一、EXE后缀型病毒文件

这类病毒一般是以进程的方式运行，这类病毒一般是比较好被发现的。下边先说下这类病毒，是在哪里启动的。

1.注册表

如果发现计算机有不名的进程和异常情况请在注册表内下列地方进行核实找住可以的程序进行删除：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

HKEY_CURRENT_USER/Software\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/brExplorer/ShellFolders

Startup="C:/windows/start menu/programs/startup

2.系统WIN.INI文件内

在win.ini文件中，“run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。当然你也得看清楚，因为好多“木马”，如“AOL Trojan木马”，它把自身伪装成command.exe文件，如果不注意可能不会发现它不是真正的系统启动件。也许你会问了我是XP系统啊 怎么没有这个呢？不必担心给你个正确的你参考下就知道有没有可疑程序了。下边就是正常的WIN.INI(XP)：

; for 16-bit app support

[fonts]

[extensions]

[mci extensions]

[files]

[Mail]

MAPI=1

CMCDLLNAME32=mapi32.dll

CMCDLLNAME=mapi.dll

CMC=1

MAPIX=1

MAPIXVER=1.0.0.1

OLEMessaging=1

[MCI Extensions.BAK]

aif=MPEGVideo

aifc=MPEGVideo

aiff=MPEGVideo

asf=MPEGVideo2

asx=MPEGVideo2

au=MPEGVideo

m1v=MPEGVideo

m3u=MPEGVideo2

mp2=MPEGVideo

mp2v=MPEGVideo

mp3=MPEGVideo2

mpa=MPEGVideo

mpe=MPEGVideo

mpeg=MPEGVideo

mpg=MPEGVideo

mpv2=MPEGVideo

snd=MPEGVideo

wax=MPEGVideo2

wm=MPEGVideo2

wma=MPEGVideo2

wmv=MPEGVideo2

wmx=MPEGVideo2

wvx=MPEGVideo2

wpl=MPEGVideo

3.SYSTEM.INI文件中

在system.ini文件中，在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。又会有人问了，我是XP系统怎么又不一样呢？给你个正常的XP系统的SYSTEM.INI，请大家可以参考下正常的SYSTEM.INI文件：

; for 16-bit app support

[drivers]

wave=mmdrv.dll

timer=timer.drv

[mci]

[driver32]

[386enh]

woafont=app936.FON

EGA80WOA.FON=EGA80WOA.FON

EGA40WOA.FON=EGA40WOA.FON

CGA80WOA.FON=CGA80WOA.FON

CGA40WOA.FON=CGA40WOA.FON

4.在Config.sys内

这类加载方式比较少见，但是并不是没有。如果上述方法都找不到的话，请来这里也许会有收获的。

5.在Autuexec.bat内

这类加载方式也是比较少见，建议跟Config.sys方法一样。

4和5的加载方式建议大家先必须确定计算机有病毒，并且上边的方法都找不到后，最后来这里进行查找。

总结：这类病毒是比较容易暴露的，建议手动删除时最好进入安全模式下，因为安全模式只运行WINDOWS必备的系统进程，EXE型病毒很容易暴露出来的，下边附上一张WINDOWS安全模式的必须进程表：

smss.exe Session Manager

csrss.exe 子系统服务器进程

winlogon.exe 管理用户登录

services.exe 包含很多系统服务

lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生

会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务) -netlogon

svchost.exe 包含很多系统服务 !!!-eventsystem,(SPOOLSV.EXE 将文件加载到内存中以便迟后打

印。)

explorer.exe 资源管理器 (internat.exe 托盘区的拼音图标)

system

System Idle Process 这个进程是不可以从任务管理器中关掉的。这个进程是作为单线程运行在每个处

理器上，并在系统不处理其他线程的时候分派处理器时间

taskmagr.exe 就是任务管理器了

二、DLL型后缀病毒

这类病毒大多是后门病毒，这类病毒一般不会把自己暴露在进程中的，所以说特别隐蔽，比较不好发现。启动DLL后门的载体EXE是不可缺少的，也是非常重要的，它被称为：Loader。如果没有Loader，那DLL后门如何启动呢？因此，一个好的DLL后门会尽力保护自己的Loader不被查杀。Loader的方式有很多，可以是为我们的DLL后门而专门编写的一个EXE文件；也可以是系统自带的Rundll32.exe和Svchost.exe，即使停止了Rundll32.exe和Svchost.exeDLL后门的主体还是存在的。现在大家也许对DLL有了个初步的了解了，但是不是后缀是DLL就是病毒哦，也不要因为系统有过多的Rundll32.exe和Svchost.exe进程而担心，因为他们不一定就是病毒，所以说这个病毒比较隐蔽，下边来介绍几种判别办法

1.Svchost.exe的键值是在“HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\Current

Version\Svchost”每个键值表示一个独立的Svchost.exe组。微软还为我们提供了一种察看系统正在运行在Svchost.exe列表中的服务的方法。以Windows XP为例：在“运行”中输入：cmd，然后在命令行模式中输入：tasklist /svc。如果使用的是Windows 2000系统则把前面的“tasklist /svc”命令替换为：“tlist -s”即可。如果你怀疑计算机有可能被病毒感染，Svchost.exe的服务出现异常的话通过搜索 Svchost.exe文件就可以发现异常情况。一般只会找到一个在：“C:\Windows\System32”目录下的Svchost.exe程序。如果你在其他目录下发现Svchost.exe程序的话，那很可能就是中毒了。

2.还有一种确认Svchost.exe是否中毒的方法是在任务管理器中察看进程的执行路径。但是由于在Windows系统自带的任务管理器不能察看进程路径，所以要使用第三方的进程察看工具。比如Windows优化大师中的Windows 进程管理 2.5。这样，可以发现进程到底调用了什么DLL文件.

3.普通后门连接需要打开特定的端口，DLL后门也不例外，不管它怎么隐藏，连接的时候都需要打开端口。我们可以用netstat –an来查看所有TCP/UDP端口的连接，以发现非法连接。大家平时要对自己打开的端口心中有数，并对netstat –an中的state属性有所了解。当然，也可以使用Fport来显示端口对应的进程，这样，系统有什么不明的连接和端口，都可以尽收眼底。

4.最关键的方法，对比法。安装好系统和所有的应用程序之后，备份system32目录下的EXE和DLL文件：打开CMD，来到WINNTsystem32目录下，执行：dir *.exeexe.txt dir *.dlldll.txt，这样，就会把所有的EXE和DLL文件备份到exe.txt和dll.txt文件中；日后，如发现异常，可以使用相同的命令再次备份EXE和DLL文件(这里我们假设是exe0.txt和dll0.txt)，并使用：

fc exe.txt exe0.txtexedll.txt fc dll.txt dll0.txtexedll.txt

其意思为使用FC命令比较两次的EXE文件和DLL文件，并将比较结果保存到exedll.txt文件中。通过这种方法，我们就可以发现多出来的EXE和DLL文件，并通过文件大小，创建时间来判断是否是DLL后门。

DLL型病毒的清除

1.在确定DLL病毒的文件的话请尝试下边的移除方法：

a. 开始——运行——输入"Regedit" ；

b. 搜索“*.dll” ；

c. 删除搜索到的键值；

d. 重启；

e. 转到C:\Windows\System32\；

f. 删除*.dll；

2.到注册表下列地方寻找DLL的踪迹

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/WindowsNT/Currentversion/Svchost

3.如果上边的地方都找不到的话建议使用优化大势进程显示工具对RUNDLL32.EXE和SVCHOST.EXE里边运行的DLL程序进行核实找到病毒文件对其进行结束，然后在对他进行删除。建议使用第1种方法是非常有效的。

三、$NtUninstallQxxxxxxx$（x代表数字）型病毒

这个属于恶意脚本文件病毒。C盘下生成文件夹：$NtUninstallQxxxxxxx$（x代表数字）冒充微软更新补丁的卸载文件夹，并且在Win2000/XP下拥有系统文件级隐藏属性。下边说下清楚方法：

注册表手动删除启动项，参考：

HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Run

HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Run

删除：regedit -s C:\$NtUninstallQxxxxxxx$\WINSYS.cer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

删除：Sys32，值为：C:\$NtUninstallQxxxxxxx$\WINSYS.vbs

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除：Sys32，值为：regedit -s C:\$NtUninstallQxxxxxxx$\WINSYS.cer

删除：internat.exe，值为：internat.exe

删除整个$NtUninstallQxxxxxxx$ 目录

补充说明

系统文件夹（\WINNT或\Windows）下出现的如$NtUninstallQ823980$ 、$NtUninstallQ814033$ 这类文件夹是Windows Update 或安装微软补丁程序留下的卸载信息，用来卸载已安装的补丁，按补丁的编号如Q823980、Q814033 可以在微软的网站查到相应的说明。请注意与恶意代码建立的文件夹区分。

四、压缩文件杀毒工具对其不能删除

这类病毒大多是在IE临时文件里的，请对临时文件进行清除即可清楚此类病毒，建议定时清理IE临时文件。