返回信息流最近很多木马开始使用修改系统时间的方法对付杀毒软件,特别是使卡巴斯基无法运行,如果用户改回正确时间,木马仍然回在开机后迅速修改系统时间,使杀毒软件无法抢在木马之前加载。
这些木马还具有关闭微软自动更新，关闭防火墙的行为，同时也具有修改注册表，使用户无法用左键打开驱动器的行为（即大家常说的AutoRun）。
尚不知各位有何解决方案？
这是一条镜像帖。来源：北邮人论坛 / security / #12823同步于 2007/8/10
该镜像源已超过 30 天没有更新，可能在源站已被删除。
Security机器人发帖
最近很多木马程序开始使用修改系统时间的方法对付杀毒软件
tenpoundnote
2007/8/10镜像同步8 回复
订阅后，新回复会通过你的通知中心匿名送达。
8 条回复
除了文件完整性验证以后，所有的保护全开。
能过这种主动防御的，我也只能深入到内核里才能搞定。
改时间应对杀软的，都是比较通用性的东西。防比较容易。
【 在 tenpoundnote (tenpoundnote) 的大作中提到: 】
: 最近很多木马开始使用修改系统时间的方法对付杀毒软件,特别是使卡巴斯基无法运行,如果用户改回正确时间,木马仍然回在开机后迅速修改系统时间,使杀毒软件无法抢在木马之前加载。
: 这些木马还具有关闭微软自动更新，关闭防火墙的行为，同时也具有修改注册表，使用户无法用左键打开驱动器的行为（即大家常说的AutoRun）。
: 尚不知各位有何解决方案？
: ...................
其实它改时间让kav当掉， 然后利用这段时间把服务注册了，线程也插好了，那kav就算恢复，主动防御也来不及了，一个无赖招而已，这个想防止，那就尽量保证自己补丁全打，因为对方改你的系统时间大部分也是利用已知漏洞得以执行shellcode的方式
其实想完善的话，完全可以用ActiveX控件做一个修改系统时间的玩意，然后挂上随便一个网马，再完善完善编程，把修改系统时间那个动作伪装的好点，也是一个门道
不过想这种方式，要看对方植入的是什么级别的木马，用户态的，就算植入了，也能轻易手杀，内核态的就只能入猫哥说的，入内核搞定
防止修改系统时间的，360出了一个东西 360timeprotect
【 在 rebirthatsix (茫犭者) 的大作中提到: 】
: 其实它改时间让kav当掉， 然后利用这段时间把服务注册了，线程也插好了，那kav就算恢复，主动防御也来不及了，一个无赖招而已，这个想防止，那就尽量保证自己补丁全打，因为对方改你的系统时间大部分也是利用已知漏洞得以执行shellcode的方式
: 其实想完善的话，完全可以用ActiveX控件做一个修改系统时间的玩意，然后挂上随便一个网马，再完善完善编程，把修改系统时间那个动作伪装的好点，也是一个门道
: 不过想这种方式，要看对方植入的是什么级别的木马，用户态的，就算植入了，也能轻易手杀，内核态的就只能入猫哥说的，入内核搞定
: ...................
主动防御 应该把修改系统时间的行为也“和谐”掉.
【 在 DarkIce (坐墙等红杏の等良人归|爚烟's暗承冰影妃) 的大作中提到: 】
: 防止修改系统时间的，360出了一个东西 360timeprotect