终极PK！寻找史上最牛的木马查杀软件

落花流水 · 发表于 2007-6-27 16:38

引言：专家认为，以往猖狂的蠕虫类病毒正在淡出，木马因为能给制造者带来很高的经济利益，正在成为互联网新的毒王。在此情况下，为了保证自己的财产和系统安全，任何网民都需要一款优秀的木马查杀软件。为此，我们组织了一次涵盖杀毒软件、专业木马查杀软件的横向对比评测，为大家带来第一手参考！
大家碰到过以下遭遇吗？
•QQ号被盗，而自己没有密码保护；
•网络游戏账号被盗，突然有天发现账号正在淘宝上“一口价”拍卖，或者再登录时，装备已经不翼而飞；
•刚刚充的Q币，很快就发现没了，而QQ密码却没被盗；
•网络银行、支付宝的账户被盗，账户里的钱被转移了；
•股票交易账户被劫，自己的股票被人买进卖出……
常在网上漂，谁人不挨刀。前面例举的遭遇，罪魁祸首都是一个——木马。专家预言，如果2006年可以称为“流氓软件年”的话，那么2007年将成为“木马年”。
好在目前市面上的杀毒软件都支持木马查杀，而且还有一些专业的木马查杀工具可供选择，那么，到底哪款软件对付木马最牛呢？下面的专业测试会给出答案。
一、海选开始：具备木马查杀功能的软件悉数登场
目前几乎所有杀毒软件厂商都把木马作为病毒进行查杀，所以杀毒软件都带有木马查杀功能。除此之外，还有一些专业的木马查杀软件。可以说，大家可选的方案还是很丰富的。
1、瑞星杀毒软件

登录/注册后可看大图

软件版本：2007下载版
文件大小：42.5MB
软件性质：商业软件
官方网站：http://www.rising.com.cn/
瑞星是国内三大杀毒厂商之一，也是国内最早从事计算机病毒防治与研究的公司之一，其主打产品为瑞星杀毒软件，根据瑞星官方提供的资料，该软件采用了新一代虚拟机脱壳引擎（VUE）、Startup Scan独占式抢先杀毒技术。
2、金山毒霸

登录/注册后可看大图

软件版本：2007杀毒套装
文件大小：28.5MB
软件性质：商业软件
官方网站：http://www.kingsoft.com
金山也是国内杀毒软件行业的老厂商了。金山毒霸2007杀毒套装中被金山公司最为频率提及的是，其采用了数据流杀毒技术，该技术基于传统的静态磁盘文件和狭义匹配技术，更进一步从网络和数据流入手，提高了查杀木马及其变种的能力。
3、江民杀毒软件

登录/注册后可看大图

软件版本：KV2007
文件大小：20.9MB
软件性质：商业软件
官方网站：http://www.jiangmin.com
江民提供“一站式”解决方案，根据江民的官方网站介绍，KV2007采用了智能高分级高速杀毒引擎，并提供BootScan系统启动前杀毒功能。

落花流水 · 发表于 2007-6-27 16:40

4、Symantec AntiVirus

登录/注册后可看大图

软件版本：10.0.1.1000
文件大小：23.3MB
软件性质：商业软件
官方网站：http://www.symantec.com/zh/cn/
尽管刚刚经历了“误杀门”，诺顿依然是国际上最为知名、口碑最好的杀毒软件之一，享有声誉。近几年来，凭借其出色的技术，诺顿在国内也有不少粉丝支持。这次我们用来测试的是Symantec AntiVirus。
5、360安全卫士

登录/注册后可看大图

软件版本：3.5
文件大小：2.75MB
软件性质：免费软件
官方网站：http://www.360safe.com
凭借对“流氓软件”的查杀，360安全卫士成为国内用户群最大的安全辅助类软件，最近推出了木马查杀功能。据360安全卫士介绍，其支持10万木马查杀，是是国内第一款免费提供木马专业查杀的工具，并且是目前国内最大、拥有木马样本库最齐全的安全软件。
6、木马清道夫

登录/注册后可看大图

软件版本：2007 V9.9
文件大小：15.7MB
软件性质：共享软件
官方网站：http://www.dns166.com/
木马清道夫是近年来比较流行的一款专业的木马查杀工具，且获得过中国优秀共享软件、最佳人气奖等荣誉，在网民中的口碑不错，据官方提供的数字，其下载数量已经超过300万。
点评：对比这几款软件，我们发现几个结论：首先，有木马查杀功能的软件多为共享或商业软件，360安全卫士几乎是唯一一款免费软件，这是由于开发此类程序需要耗费很多精力，免费软件很难保证持续更新和运营；其次，这六款软件中360安全卫士的“身材”最为瘦小，只有区区2.75MB，当然，这与它只针对“流氓软件”和木马病毒查杀有关。

落花流水 · 发表于 2007-6-27 16:42

二、交代规矩：我们这样测试
如何考量一款软件在木马查杀方面的优劣呢？可参考的标准非常多：查杀效果、扫描速度、资源占用率、查杀机制、误报率、木马库升级频率及容量等等。下面介绍一下我们的测试方法：
第一步：通过Ghost安装一个完全“干净”的系统，安装木马查杀软件，并将其升级到最新的病毒库。
第二步：将我们的木马测试包解压缩到某个目录，利用木马查杀软件对该目录进行扫描，记录其扫描时间、扫描过程中的内存及CPU占用率、查杀结果。
小提示：
在扫描过程中，我们打开了两个Word文档、1个QQ以及1个MSN Messenger程序，之所以开启这些程序，是为了模拟大家真实使用电脑时的状况——很少有人会关闭所有其他程序，专门进行木马扫描查杀。
第三步：由于各个杀毒软件之间会产生一些兼容性问题，为了保证测试的最大限度公平，我们在测试完一款软件之后，都会重新Ghost一个“干净”系统，再进行下一款软件的测试。
第四步：在所有软件测试完毕后，统一汇总，并进行点评，给出我们的选择意见。
注意：我们如何保证测试公正性？
如果把这场测试比作一次“考试”，那么木马测试包就相当于“考卷”，“考卷”的公正性非常重要，将直接影响测试结果，我们如何保证它的公正呢？
其一，测试包庞大。这个测试包一共包含975个木马样本，足足有197MB，量越大，则公平性相对就越高。
其二，测试包中的木马样本都是当前最流行的木马病毒，并非使用一些“过期”的老测试包，这可以模拟出现在网民的普遍遭遇，测试结果更有实用价值。
其三，测试包中的木马样本涵盖了QQ、网页、网络游戏等应用类的木马，范围比较广。
三、初试：查杀机制和木马库，谁更牛？
所谓查杀机制，就是查杀木马的流程和方法，这一点决定了查杀的效率和效果，非常重要。实际上，不管是杀毒软件还是专业的木马查杀工具，大家都采用的是基于特征码的查杀方法。所以，总体上以上六款软件的查杀机制都是类似的。
当然，差异还是有的。比如对特征码匹配判断的尺度上，有些软件相对放得比较宽，这样可以保证尽可能多的查杀结果，有些软件就要求非常严格，不容易造成误判，但也可能漏掉木马。
此外，360安全卫士针对木马采用了免疫、查杀、防御三层的“主动防御”查杀理念，这一提法更加系统，对木马采用三层防护：其中第一层为免疫，通过监控注册表和系统文件防止木马入侵，如果入侵，则祭出360安全卫士特有的“破冰技术”。即便前两层都被突破，还将最有目的性的账号部分进行保护。
小知识：“脱壳”和木马查杀
木马之所以难杀，是因为它的外面可以很轻松加上一个“壳”，凭借特征库进行扫描时，一旦“壳”换了，就无法查杀了。所以杀毒软件的引擎中一般加了一个“动态脱壳”的功能，比如瑞星的虚拟机脱壳引擎（VUE）。不过即便这样，也很难做到完美，所以也有部分木马查杀工具把加壳后的特征也放进特征库，虽然办法“笨”了一点，但不失一种解决方案。
而从木马库的容量上来看，我们也无法获得真实确切的数据，只能通过官方公布的结果一窥究竟。

软件名称	瑞星杀毒软件2007下载版	金山毒霸2007	江民杀毒KV2007	Symantec AntiVirus	360安全卫士	木马清道夫
木马库	数万种	数十万	不详	不详	10万	5万左右

注意：表格中的数据仅供参考
点评：在各个软件查杀技术都差不多的情况下，实际上大家比拼的还是木马样本数量，但由于这个涉及商业机密，我们也无法得到确切的数据。关于这一点的测试，恐怕只能在查杀效果中来衡量了。

落花流水 · 发表于 2007-6-27 16:45

四、小考：系统资源和扫描速度占用率比拼
为了把悬念留在最后，我们先来看看一些相对次要的考量因素。大家肯定有这样的体验：电脑在扫描病毒、木马的时候，像“老牛拉破车”，几乎干不了其他事情。所以对于一款木马查杀软件来说，系统资源占用率还是很有意义的。
从测试结果来看，瑞星和Symantec AntiVirus的内存和CPU占有率相对较高，最低的是木马清道夫和360安全卫士。

软件名称	瑞星杀毒软件2007下载版	金山毒霸2007	江民杀毒2007	Symantec AntiVirus	360安全卫士	木马清道夫
内存占用（KB）	44964	38975	29865	47159	28102	28795
CPU使用率	8%	9%	4%	8%	5%	3%

再来看看扫描速度。下表中给出了本次测试的结果，从结果来看，扫描速度最快的是360安全卫士，接下来是瑞星，扫描速度最慢的是Symantec AntiVirus。

软件名称	瑞星杀毒软件2007下载版	金山毒霸2007	江民杀毒2007	Symantec AntiVirus	360安全卫士	木马清道夫
查杀时间（秒）	41	35	42	57	25	32

点评：从资源占用率和扫描速度来看，360安全卫士都占尽了便宜，分析其原因，我们认为有两个：其一，360安全卫士收集的主要是流行性木马，而杀毒软件则相对更广泛一些；其二，360安全卫士的匹配算法有一定改进。此外，还有一点值得留意：360安全卫士并没有“脱壳”技术，而其他杀毒软件在查杀时会“脱壳“，资源占有自然高一些。
五、终极PK：查杀效果大比拼
接下来就是最为重要的测试项目了，我们花了很长时间来进行这一项测试，并分为两轮进行：
第一轮：分别利用不同的查杀软件进行查杀，并记录结果：

	瑞星杀毒软件2007下载版	金山毒霸2007	江民杀毒2007	Symantec AntiVirus	360安全卫士	木马清道夫
木马数量	139	146	142	149	152	84
查杀数量	138	141	137	148	152	81
需手动删除	1	5	5	1	0	3

从结果来看，木马清道夫的表现让人有些失望，几乎比其他几款软件少扫描出一半的木马，并且直接通过其清除的木马也偏少。在识别率上，金山毒霸和360安全卫士表现优秀，当然，金山毒霸还有5个木马病毒需要手动删除其中5个识别出的木马。
第二轮：交叉扫描查杀。在A软件扫描查杀之后，安装B软件，并对查杀后的目录再次进行查杀。
从交叉测试来看，我们发现，各个软件查杀的木马病毒还是存在一些差异性，实际上，对用户来说，最好的办法就是都装上，都查杀一下，互为补充，以策完全。
点评：从查杀效果来看，杀毒软件在木马查杀能力方面都保持了一个较好的水平，并且各自之间的差距并不明显。360安全卫士表现不错，而且扫描出的木马都能直接予以查杀。木马清道夫作为专业木马查杀软件中的佼佼者，表现让人失望，可见木马查杀还是一件需要大量投入的事情。
需要指出的是，各大杀毒软件都采用了底层的驱动查杀技术，所以彼此之间存在着兼容性问题，无法共存，而通过测试我们又发现各个软件之间存在互补性，这对用户来说就是一个无法解决的矛盾。只有360安全卫士和木马清道夫能够与所有的杀毒软件共存，可以作为一个有效的补充。

落花流水 · 发表于 2007-6-27 16:53

六、自选加试：各自特色比拼
除了常规的木马扫描、查杀功能外，我们有必要看看各个软件针对木马病毒的一些特色辅助方案。
1、瑞星杀毒软件——快捷查杀

登录/注册后可看大图

瑞星提供了“查杀快捷方式”功能，切换到“快捷方式”，点击“添加我的快捷方式”，选择要经常需要查杀的目录并完成配置，以后想查杀该目录时，只需要切换到“快捷方式”后，双击即可。
2、金山毒霸——内置迷你木马查杀工具

登录/注册后可看大图

金山毒霸2007杀毒套装中有金山反间谍2007这个组件，该组件中就包括了一个“木马专杀”程序，它可以用来扫描一些流行性木马程序，扫描速度和查杀效率会高于金山毒霸主程序。
3、江民杀毒软件KV2007——“木马一扫光”功能

登录/注册后可看大图

江民KV2007提供了一个“木马一扫光”功能，其包括了两个方便：一是提供了白名单和黑名单功能；二是提供了“广谱扩展”功能，不过使用该功能需要注意：如果查所有启动点则误查率可能高，查部分启动点则漏查率容易高。
4、Symantec AntiVirus——防篡改功能

登录/注册后可看大图

Symantec AntiVirus提供了一个“防篡改”设置，默认情况处于关闭状态，在其主界面上切换到“配置→防篡改”标签下，勾选“启用防篡改功能”一项即可开启。而且我们还可以让Symantec AntiVirus处于关闭时，防篡改功能依然存在。
5、360安全卫士——数万人第一时间反馈最新病毒样本

登录/注册后可看大图

在最新木马和流行木马应急速度上，360安全卫士拥有不小的优势。360安全卫士的安全社区每天都有数万用户在线，可以及时反馈最新病毒样本。这样，360安全卫士开发团队能及时更新特征库，并第一时间推出专杀工具。这一点在其对“流氓软件”的对战中，已经得到充分的体现。
此外，360安全卫士在查杀时带有签名判断功能，可以根据判断程序是否带有微软签名，防止误判的发生。
6、木马清道夫——丰富的插件

登录/注册后可看大图

木马清道夫提供了多种插件来增强木马查杀的辅助功能，选择“插件→插件管理”菜单，这里可以看到所有插件列表。这款软件提供了插件接口函数，利用该接口任何人都可以为它扩充功能或者添加木马专杀插件。
总结：我们该选择哪种木马解决方案？
通过本次测试，我们认为，由于各个软件之间存在一定的木马查杀互补性，所以最好是采取多款软件协同使用的方案。不过由于杀毒软件之间“不共戴天”，所以建议以某款杀毒软件为主，以一款专业木马查杀工具为辅。