防范IFEO映像劫持
http://tech.ddvip.com 2007年06月23日 社区交流 收藏本文
内容摘要：由于最近病毒都采用了IFEO映像劫持技术，导致杀软无法运行或提示无法打开文件，最近此类病毒非常流行，病毒清除操作起来相对复杂一些，所以今天特意发帖强调大家注意。关于IFEO的介绍网络上有非常多，本文借用的是剑盟skyshine的帖子内容，感谢原作者！重要的是第五步的预防方法，简单有效，可达到防患于未然，避免中毒的苦恼。
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options od32kui.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsavgrssvc.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsRfwMain.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsKAVPFW.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsIparmor.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options od32krn.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsPFW.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsRavMon.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsKAVSetup.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsNAVSetup.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsSysSafe.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsQHSET.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionszxsweep.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsAvMonitor.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsUmxCfg.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsUmxFwHlp.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsUmxPol.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsUmxAgent.exe
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsUmxAttachment.exe
从这个案例，我们可以看到这个技术的强大之处！很多的杀软进程和一些辅助杀软或工具，全部被胁持，导致你遇到的所有杀软都无法运行！
试想如果更多病毒，利用于此，将是多么可怕的事情！
五、如何解决并预防IFEO？
方法一：
限制法(转自网络搜索) ——此方法经测试非常有效，即使中毒了，辅助工具仍然能运行，如SREng,这样的就方便清除病毒，所以强烈推荐一般用户操作一次。
它要修改Image File Execution Options，所先要有权限，才可读，于是一条思路就成了。
开始-运行-regedt32 （这个是系统的32位注册表，和注册表操作方法差不多）然后还是展开到：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options 右键——选择权限
方法二：
把[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options]项删除即可
方法三：
使用IFEO映像挟持修复程序修复！
注意本程序未经验证，请小心使用
责编：豆豆技术应用