隱蔽性較高、插入正常進程運行的木馬/后門越來越多。遇到這類木馬，有時用殺軟也不能立即搞掂。怎么辦？
我的習(xí)慣是用SSM解決問題。
SSM的全稱為：
System Safety Monitor，即：系統(tǒng)安全監(jiān)控器。這個工具已經(jīng)是“多國語言”版，支持簡體中文。
SSM的使用確實比PG稍復(fù)雜些，但還算一個簡單、易用的工具。如果你的IQ高于正常人，半天就能學(xué)會SSM的使用；如果你的IQ在“普通人”的水平，2－3天也能掌握它；如果你的IQ略低于“普通人”的水平，但還不屬于“弱智”，花一周左右的時間，也能用它解決一些常見的問題了。
不少人不會（或不善）用SSM解決問題，其實不是其IQ偏低，而是“懶惰成性”，總是指望用殺軟一下就將木馬滅掉。這個帖子不是給這類人看的，我也不打算與這類人辯論“殺軟是干什么的”、“XX殺軟是否垃圾”、“如何向殺軟商索賠”等問題。如果你將SSM理解為“運行后就能殺死那些該死的病毒/木馬”的工具，那么，您就大錯特錯了。SSM根本就不是殺軟！對于那些不愿意自己動手的的人，這個工具基本沒用。還是早早卸載了好。
下面，以一個較隱蔽的后門為例，說明用SSM搞掂它的具體過程。
這個后門運行后，SSM并不能發(fā)現(xiàn)其文件創(chuàng)建、注冊表改動等行為。但是，SSM的進程列表中可發(fā)現(xiàn)異常的瀏覽器進程和異常DLL模塊加載（圖1）。我用OPERA瀏覽器，但此時，OPERA并未打開。
遇到這類怪事，應(yīng)追究具體原因。
右擊這個DLL，查看其“屬性”（圖2）——更加可疑（正常的文件都有“版本”標(biāo)簽，而它沒有?。?；文件創(chuàng)建日期也是最近的。
右擊SSM“規(guī)則”面板，自己添加一條規(guī)則，禁止這個DLL加載運行。
添加上述規(guī)則時，意外發(fā)現(xiàn)同一路徑下還有一個server.exe文件（圖3），創(chuàng)建日期與上面那個DLL相同。再添加一條規(guī)則，禁止server.exe加載運行。
規(guī)則添加完后，務(wù)必點擊面板下方的“應(yīng)用設(shè)定”（圖4）。否則，你就瞎忙活了！
還要核實一下圖5所示的復(fù)選框是否勾選了（需勾選）。
下一步：將SSM設(shè)置為“自動啟動”（圖6），也就是“系統(tǒng)啟動時，SSM自動加載運行”。
最后，重啟系統(tǒng)，這個后門就被廢掉了。盡管后門的.exe、.dll文件還未刪除，注冊表項也未清理；但只要你的SSM能隨系統(tǒng)啟動加載運行，這個后門已經(jīng)沒用了。
至此，只剩下了打掃垃圾的問題了。自己清掃一下，就全部搞掂了。
圖1
圖2
圖3
圖4
圖5
圖6
