什么是启发型木马病毒？
启发式究竟指什么―启发式‖（Heuristic）是指探索和发现的行为或过程。牛津英文词典将启发式定义为―让某人能够自主的探索和学习‖或者（在计算领域）―仅依靠宽泛的定义，或者依靠不断尝试和汲取失败经验教训的 *** 来解决问题[6]。‖韦氏词典将其定义为―依靠实验尤其是反复试验，通过尝试和汲取失败经验教训的 *** ，来帮助学习、探索或者解决问题‖或者（在计算领域）―一种利用自主学习的手段（通过反馈的评估）来提高表现，以探索解决问题的技术[7]。‖ 启发式程序通常被认为是一种具有人工智能的应用程序，而且也是一种解决问题的工具。启发式程序的编写，例如用于专门系统的程序，建立于一些从经验中提取的规则，它通过不断积累经验产生更好的解决 *** ，并且增加自己的知识库。
当启发式分析被用于处理恶意软件时（当然还包括垃圾邮件和流氓软件），尽管涉及反复试验和从经验中学习的原理，却又有更多限定的含义。启发式分析使用基于规则的 *** 来诊断一个有潜在威胁的文件(或信息，如果是分析垃圾邮件的话)。分析引擎的工作是基于自身规则库的，它依据规则检查恶意软件存在的可能性，当找到一个匹配的规则时就为其分配一个分值。如果这些分值达到或超过了一个阈值[8]，这个文件就会被标记为可疑文件（或者潜在的恶意软件、垃圾邮件）并进行处理。 某种意义上来说，针对反恶意软件的启发式技术，尝试的是模拟人类的智能分析 *** 。与恶意软件分析人员设法判定某个软件的行为和动作相同，启发式分析执行相同的智能决策过程，有效地担当虚拟分析师的角色。恶意软件分析人员从出现的新生威胁中不断学习，并将他的知识通过编程应用于启发式分析器，以提高今后的检测率。
启发式编程在反病毒软件性能中有着双重的任务：速度和检测。事实上，―启发式‖这个术语在其他科学领域也有类似的含义[9]；即专注于通过达到―足够好‖的结果(尤其指数据吞吐速度)而非―完美的‖结果来提高性能。当已知病毒的数量与日俱增，就需要提高检测速度。否则，增长的恶意软件数量所带来额外扫描时间，会降低系统的使用效率。 否定式启发
一种检测规则或标准，如果检测对象符合标准，则不是病毒或恶意软件的可能性减小。肯定式启发
一种检测规则或标准，如果检测对象符合标准，则是病毒或恶意软件的可能性加大。 误杀漏杀原因争论的焦点在于，判断一个程序是不是木马程序（或恶意软件），是否应更多根据其目的来界定，而非功能来界定。例如，一个键盘记录程序如果是经过用户授权或用户自愿安装的，即使它的功能与木马程序是相同的，那么它也不算是木马程序。这会给检测带来问题，因为电脑在判断目的方面的能力弱于人类。
间谍软件和广告软件（可能由于媒体的过多关注，以及大量针对性产品的存在）已经被划分为了不同恶意软件的子类。尽管人们经常争论，广告软件不一定就是恶意软件，但这种区别是大多情况下没有意义的。而同样的争论也适用于该类别的几乎所有其他项目，因为一个程序的行为并不能作为判定恶意软件的标准，而是在于程序员的不良意图与用户期望值之间存在着的差别。 病毒三大类文件病毒
期待反病毒软件检测病毒，当然是合情合理的。因为多年来反病毒软件在检测病毒方面如此成功，也正是由于这部分原因，以至于它检测其它类型恶意软件的能力被低估了。
虽然病毒有很多种定义，但一种被恶意软件研究者普遍接受的定义是―病毒是一种计算机程序，它能通过将复制自身（或者自身的变体）修改计算机中的其他程序，以达到感染目的‖ [1， 2]。 这个定义涵盖了很多种类型的病毒，包括：
�8�4 引导型病毒，硬盘分区病毒
�8�4 文件型病毒（寄生病毒）
�8�4 混合型病毒
�8�4 宏病毒和脚本病毒尽管有些病毒类型现在已经很少见了（比如引导型病毒和硬盘分区病毒），但是反病毒程序一般都能检测在该平台上（有时包括其它平台）发现的这类已知病毒。通常，反病毒软件也善于通过启发式的方式检测新的或未知的病毒种类。蠕虫
业界从未在蠕虫的定义上真正地达成一致，如科恩所说―蠕虫是一种病毒的特例‖ [1]，但不论蠕虫是怎样的特例，反病毒软件通常都能检测它们。 对于蠕虫的不同定义甚至比针对病毒的还要多，但是大部分反病毒研究者将蠕虫定义为一种以非寄生方式复制的程序，也就是说，它不把它自身附加到一个寄主文件上。邮件群发者可以描述为一种特殊类型的蠕虫. 多数反病毒厂商将这种通过电子邮件传播的恶意软件视为蠕虫，但是一些邮件群发者具有纯病毒的特点（比如，Melissa事实上是一种纯病毒，一种能够像蠕虫一样传播的宏病毒，而W32/Magistr则是一种文件型病毒）。 对于新型蠕虫变种的检测，厂商同样有很好的手段。比如说，新型邮件群发器几乎在出现的同时，就被通信安全服务供应商及其系统列入了黑名单.
非复制型恶意软件
这个定义是根据上文的定义得出来的，即如果一个恶意软件不具有复制能力，那它就不是病毒或者蠕虫。但是这并不意味着反病毒软件不能检测到它，除非其不具有威胁。
要说明的是，即使当反病毒厂商过去常以非复制型的对象不是病毒为由拒绝对它们的检测时，一些非自我复制的对象（它们当中的一些甚至不是可执行程序，更不要说是有恶意的了）仍然能被检测到并且报毒。例如：�8�4 未遂病毒(复制自身失败的病毒)和损坏的病毒
�8�4 垃圾文件
�8�4 与病毒相关的非病毒程序，如病毒原体，释放器，病毒生成器
�8�4 合法的测试程序如EICAR测试文件[4]
许多已传播多年的非复制型病毒，由于管理不善，仍然被一些评测机构作为样本，用于针对杀毒软件的测试中。绝大部分厂商早已不再拒绝将这些病毒的特征码添加到其产品的病毒库中，避免因没有检测出这些病毒样本，而取得不理想的测试成绩。遗憾的是，日趋复杂的启发式扫描引擎，也只是刚好跟上了杀毒软件测试者不断更新的测试手段，有时新的测试手段也并非恰当。本文的后面部分会简略地分析测试产品启发式扫描能力时，技术上可接受的方式。 人们了解最多的非复制型恶意软件是木马程序（或简称为木马）。木马程序声称能执行一些有用的操作或提供一些必要的功能，可能也确实如此。但同时它也会执行一些用户并不希望或不需要的操作。这包括一系列特定的恶意软件：
�8�4 病毒释放器；
�8�4 键盘记录器；
�8�4 破坏性木马程序；
�8�4 下载者；
�8�4 间谍程序；
�8�4 广告程序；
�8�4 内核后门与stealthkits
�8�4 玩笑程序；
�8�4 僵尸程序 (机器人程序， 远程控制木马， DDoS 客户端等)
可自我复制的恶意软件（如病毒）有时也被认为是木马程序（或称为木马型病毒，这表示这种木马通过将一个以前合法的程序损坏，修改或替换而引起破坏），大部分人可能会发现这样的分类所带来的困惑多于帮助。检测出所有非复制型恶意软件要比检测出所有形式的病毒更加困难，因为不仅要测试程序的复制能力，还要测试程序的一系列作用。
这就是 BitDefender的病毒分析师的水平？
BitDefender
12:48:05您提供的文件应该是灰鸽子木马，详情请参考BitDefender
12:48:26不论你发的是什么文件
我们都会提交到总部进一步分析的BitDefender
12:48:34给你回复的邮件，是一个基本的回复BitDefender
12:48:40有更深入的分析结果后会告诉你的
这是为什么？怎么处理？[木马病毒] Win32.Troj.Alipay.lx.(云鉴定) 描述：这是一个木马程序，可能会盗取您
哥们儿，这是木马病毒，查杀木马你可以这样,先下载360系统急救箱保存到D盘,重启按F8进入带 *** 连接的安全模式,使用360系统急救箱进行查杀 这样就查杀的比较彻底了,然后启动360杀毒 360安全卫士的木马云查杀功能查杀清除残留就可以了.
机器中了木马病毒怎麼办
建议用卡巴斯基，脱壳能力比KV强NN倍
下面是引自某人的观点
看一个杀毒软件的好坏，要看它真正能够识别病毒的能力；
中国脱壳能力最强的杀毒软件KV，只能脱两种壳，UPX和ASPack；
中国公安部卖的瑞星，只能脱一种壳,UPX壳；
金山和诺顿根本没有脱壳能力。
也就是说一个原本能被他们查杀的病毒，随便加一个冷门的壳，就无法查出来了。
而卡巴斯基支持4000（已经不止了！！这资料有一段时间了！）种以上的脱壳技术（现在还在增加），虽然扫描速度下降了，但是识别病毒的能力相当强，无论怎样加壳，都会被识别。
前几天出了一个能够躲过卡巴斯基查杀的加壳工具"Nspack"，震惊了中国木马界。
但是不到一个星期，卡巴斯基就可以识别这种壳了。
我曾经在病毒特征码附近用反汇编添加花指令，都无法躲过卡巴斯基的法眼，更何况是加壳。
要想躲过卡巴斯基的追杀，至今只能通过修改特征码的 *** 。
卡巴斯基的病毒库虽然不是世界最多（诺顿最多），但是它的识别病毒的能力却是世界上任何一种其他杀毒软件无法比拟的！！
我坚信卡巴斯基的能力
（我自己说的：更好是在安全模式里杀！）
下面是有关卡巴斯基的资料：
1、对病毒上报反应迅速，卡巴斯基具有全球技术领先的病毒运行虚拟机，可以自动分析70%左右未知病毒的行为，再加上一批高素质的病毒分析专家，反应速度就是快于别家。每小时升级病毒的背后是以雄厚的技术为支撑的。
2、对任何上报病毒的用户不问正版，D版，病毒分析师一律回信，有时还详细给出分析结论的依据，体贴呵护用户，有时我想就算写信和他们鬼扯，他们也会回复的，以前一直用D版心里不免愧疚，当网易降价销售卡巴的时候，赶紧去买套正版。这就是卡巴斯基，轻易征服潜在用户的杀毒软件公司。
3、随时修正自身错误，杀毒分析是项繁琐的苦活，卡巴斯基并不是不犯错，而是犯错后立刻纠正，只要用户去信指出，误杀误报会立刻得到纠正。知错就改，堪称其他杀软的楷模，你去试试看给symantec纠错，会是什么结果。
4、卡巴斯基的引擎技术是国内外许多杀毒软件的核心，这是公认的事实，另外，国外的我不知道，国内的杀毒厂商，对上报病毒一律先卡巴扫一遍，这是很有趣的现象，你说，卡巴斯基是不是其他杀软的师傅。
5、卡巴斯基的毒库数量不是更高，但实际可杀病毒数量绝对是世界之一，这是因为，卡巴斯基的超强脱壳能力，无论你怎么加壳，只要程序体还能运行，就逃不出卡巴斯基的掌心，它总唱是你是你还是你。因此卡巴斯基毒库目前的15（近16万 在2006-1-10 有159926）多万病毒是真实可杀数量，某些杀软对病毒的加壳版要么傻眼要么列为变种，还沾沾自喜每天100多条升级，殊不知人家卡巴一条升级就顶你几十条了。
6、最重要的一点是，卡巴斯基对上报病毒的用户并没有物质奖励，但大家却趋之若鹜，原因在于：当我1小时前中了未知病毒，于是将病毒体文件发送给卡巴，然后悠悠然去洗澡吃饭，过1小时回来后，将卡巴斯基升级后，伴随着卡巴斯基悠扬的杀猪声响起，可恶的病毒被逐个扫除，那种心理 *** 和参与感，岂是别的杀软能够带给我们的？
卡巴斯基被过度神话了吗？是的，卡巴斯基确实是个神话，他是国内外其他杀毒软件厂商追赶的神话，也是用户心中永远不灭的神话！
中了LSASS木马病毒，怎么办？
用卡巴斯基杀毒软件 杀毒好 速度快（之一次可能慢些后来就飞一样） 升级好 好注册 比国产的好用多了（不是我不爱国哦） 这大概是世界上更好的杀毒软件了 不过这个杀毒软件不能和别的共存
为虾米呢？
因为 强 就是要霸道
下面是有关卡巴斯基的资料：
1、对病毒上报反应迅速，卡巴斯基具有全球技术领先的病毒运行虚拟机，可以自动分析70%左右未知病毒的行为，再加上一批高素质的病毒分析专家，反应速度就是快于别家。每小时升级病毒的背后是以雄厚的技术为支撑的。
2、对任何上报病毒的用户不问正版，D版，病毒分析师一律回信，有时还详细给出分析结论的依据，体贴呵护用户，有时我想就算写信和他们鬼扯，他们也会回复的，以前一直用D版心里不免愧疚，当网易降价销售卡巴的时候，赶紧去买套正版。这就是卡巴斯基，轻易征服潜在用户的杀毒软件公司。
3、随时修正自身错误，杀毒分析是项繁琐的苦活，卡巴斯基并不是不犯错，而是犯错后立刻纠正，只要用户去信指出，误杀误报会立刻得到纠正。知错就改，堪称其他杀软的楷模，你去试试看给symantec纠错，会是什么结果。
4、卡巴斯基的引擎技术是国内外许多杀毒软件的核心，这是公认的事实，另外，国外的我不知道，国内的杀毒厂商，对上报病毒一律先卡巴扫一遍，这是很有趣的现象，你说，卡巴斯基是不是其他杀软的师傅。
5、卡巴斯基的毒库数量不是更高，但实际可杀病毒数量绝对是世界之一，这是因为，卡巴斯基的超强脱壳能力，无论你怎么加壳，只要程序体还能运行，就逃不出卡巴斯基的掌心，它总唱是你是你还是你。因此卡巴斯基毒库目前的15（近16万 在2006-1-10 有159926）多万病毒是真实可杀数量，某些杀软对病毒的加壳版要么傻眼要么列为变种，还沾沾自喜每天100多条升级，殊不知人家卡巴一条升级就顶你几十条了。
6、最重要的一点是，卡巴斯基对上报病毒的用户并没有物质奖励，但大家却趋之若鹜，原因在于：当我1小时前中了未知病毒，于是将病毒体文件发送给卡巴，然后悠悠然去洗澡吃饭，过1小时回来后，将卡巴斯基升级后，伴随着卡巴斯基悠扬的杀猪声响起，可恶的病毒被逐个扫除，那种心理 *** 和参与感，岂是别的杀软能够带给我们的？
卡巴斯基被过度神话了吗？是的，卡巴斯基确实是个神话，他是国内外其他杀毒软件厂商追赶的神话，也是用户心中永远不灭的神话！