[分享] 杀毒软件频频误杀（图）

杀毒软件频频误杀（图）

继7月17日，奇虎360正式发布360杀毒，并宣布360杀毒永远对用户免费的同时，其国内最大的竞争对手瑞星也在第一时间推出了瑞星卡卡6.0，并宣布瑞星旗下的瑞星卡卡6.0和瑞星防火墙将对全球用户提供一年免费优惠服务。一时间杀毒安全软件行业剑拔弩张，火药味十足，瑞星与奇虎的相互攻击也逐渐猛烈。最近网上频频爆出误杀事件，成为媒体争相报道的热点，口水战也随之升级，呈愈演愈烈之势。
　　下面和小编和大家一起盘点一下最近两周爆出的“误杀门”以及“口水战”：
　　第一回合卡巴斯基误杀奇虎360 　　

卡巴斯基报警界面截图　　据部分网友反映，7月21日下午卡巴斯基反病毒软件突然显示奇虎360安全卫士的程序文件感染了木马程序，并自动将文件彻底清除。在系统重启后，360安全卫士已无法正常运行。
　　卡巴斯基中国相关负责人也就此事向媒体表示不知情，并将对此进行调查。
　　奇虎360安全卫士相关负责人表示，这种情况属于卡巴斯基的误报，类似情况之前就已出现过。
　　而对于此次卡巴斯基误杀奇虎360事件，张立申称，当时仅为卡巴斯基的一次误报。
　　第二回合：奇虎360误杀瑞星口水战升级　　

奇虎360拦截瑞星个人防火墙　　7月30日下午，国内杀毒软件公司瑞星公司称，“有用户向瑞星客户服务中心反映，安装瑞星个人防火墙时被360杀毒报毒并拦截。据瑞星验证，其同时还会删除已安装的瑞星防火墙核心文件，使用户面临极大的安全风险。”
　　7月30日晚奇虎360回应
　　7月30日晚：仅在瑞星称奇虎360误杀瑞星个人防火墙的2个小时过后，奇虎360发布了“关于瑞星公司散布‘误杀稿件’的声明”。声称目前360杀毒在公测阶段，每天选取几千名360用户进行使用测试，公司并没有接到用户关于误杀的举报。并发表声明称瑞星是自导自演。
　　7月31日瑞星迅速回应
　　瑞星迅速回应称：“奇虎“暗算”瑞星证据确凿无法抵赖”。奇虎30日下午发布的7.20258版360杀毒已经不再删除瑞星个人防火墙的HookUrl.sys文件,但引擎版本为7.20245等旧版本的360杀毒软件仍然存在删除现象.
　　7月31日瑞星提供最新误杀证据
　　7月31日瑞星提供最新奇虎360误杀瑞星个人防火墙证据，　如果用户安装了360杀毒软件，再去下载安装360病毒专杀工具的时候，其杀毒软件会进行报警。每个媒体和用户都可以亲自去体验这种“正常现象”。
　　详细情况如下：　　

奇虎360拦截瑞星个人防火墙　　瑞星奉劝奇虎360，想进入安全行业的除了要有核心技术和自主产品，更要有负责任的心态，如果依旧秉承“3721”时期的流氓心态，那么产品迟早也会沦为流氓产品。
　　第三回合“360安全卫士”被曝暗中破坏杀毒软件运行　　

诺顿被阻止后，无法开机扫描
　　

金山毒霸被阻止后，升级可能存在异常　　8月4日，据“消息人士“透露，根据大量测试表明，360安全卫士在杀毒软件安装、卸载、升级重启事会弹出消息，进行误导性的提示，将杀毒软件、防火墙的正常加载等行为，描述为“一个未知的系统启动项正在被装入”、“篡改系统启动项”等。除了有时会提示全部英文的软件路径之外，并将这些公众所熟悉的杀毒软件厂商的名字被抹去。
　　被阻止后的安全软件，有的监控失效、有的无法升级、有的无法随电脑开机自动启动、有的无法重新安装。受360安全卫士影响的安全软件包括瑞星、江民、金山、诺顿、卡巴斯基、趋势科技等几乎所有主流产品。
　　奇虎360市场与技术部门回应全文：
　　质疑 1 、抹去出品公司名。众所周知，不光杀毒软件，任何正常使用的软件产品都是有出品公司的，只有流氓软件、病毒才没有出品公司名。
　　奇虎回应：
　　360 安全卫士对系统关键位置有实时监控和保护功能，对试图添加开机运行项、系统服务的操作会弹出提示框以便用户确认。
　　弹出提示框中的出品公司名称是完全动态地从执行该操作的程序的文件属性中获取的，如果这个文件属性中没有公司信息，则提示窗口则显示为空。这是非常正常的现象。
　　质疑 2 、将安全软件的正常行为，说成是“一个未知的系统启动项”。这和拦截一个未知流氓软件、未知病毒时的表现一样。
　　奇虎回应：
　　对于 360安全卫士已知的安全启动项，在这个弹出提示框中都会直接标明为安全，并且都会有详尽的描述。
　　但是每个软件也是不断更新变化的，会有新的程序模块可能会添加或修改系统开机启动项或系统服务等敏感位置。 360安全卫士对这些新的程序模块的认识需要有一个时间，才能确认其安全可靠，而不能仅仅依据其所在目录位置来判断其是安全的，否则就很容易被木马等恶意软件利用。
　　因此，在未被 360安全卫士确认是安全的系统启动项、系统服务等之前，我们在提示框中一律给用户提示的是“未知”。
　　况且，即使提示的是“未知”，我们默认的选择也是“允许”。
　　综上， 360对此提示完全是一个正常而严谨的做法。
　　质疑 3 、对“瑞星卡卡”等直接竞争产品的描述为，“篡改系统启动项”。用“篡改”这种最直接的贬义词汇，去误导用户阻止该产品的正常运行。
　　奇虎回应：
　　AppInit_Dlls 是一个特殊的系统启动项，被大量病毒和木马利用作为其注入系统进程，窃取用户密码、破坏安全软件之用 (例如磁碟机病毒 )。
　　AppInit_Dlls 可以注入到系统中任何一个进程中，因此非常危险，一个比较多的应用是很多盗号木马都会写这样一个 AppInit_Dlls,然后就可以轻松注入到原来有比较强的保护体系的游戏、网银客户端中、从而盗取用户密码。我们发现有大量的使用了这种技术的木马样本，相反正常软件则极少使用此种方法。
　　写入该启动项的 DLL文件将被注入到所有的系统进程中，因此这种方式是极不稳定的，该种模式的系统启动项已经在 Windows Vista及以后的系统中被取消。只有极少的正常软件会使用 AppInit_Dlls启动项，例如一些特殊的打印机驱动等。
　　目前在主流的安全软件中使用 AppInit_Dlls启动项的目前只有瑞星，其他主流安全软件一般不会使用这种容易导致系统不稳定且被病毒木马大量采用的方式。另外，一些反木马软件或安全软件会直接报告写 AppInit_Dlls的程序是木马，例如木马克星。
　　因此，凡是采用 AppInit_Dlls这种启动项方式的软件确实存在相当大的风险， 360对其的报警提示文字中包含“篡改”是合乎逻辑的做法。
　　第四回合瑞星被曝误杀腾讯游戏与Vista系统文件
　　据悉，7月31日早上7时后，瑞星卡卡论坛上就出现了用户投诉瑞星误报腾讯游戏与Vista系统文件的帖子。到目前为止瑞星公司对此进行任何公开的声明。　

　　以下为瑞星用户在卡卡论坛里举报帖：
　　一、卡卡扫描出的木马很怀疑
　　http://bbs.ikaka.com/showtopic-8530473.aspx
　　二、瑞星卡卡是否误报?
　　http://bbs.ikaka.com/showtopic-8530549.aspx
　　三、瑞星版本20.55.22误杀腾讯
　　http://bbs.ikaka.com/showtopic-8530381.aspx
　　四、瑞星误杀vista优化大师的ms_fm.exe和腾讯的tessafe.sys
　　http://bbs.ikaka.com/showtopic-8530292.aspx
　　瑞星关于误杀事件的声明：
　　1、文章里的误杀截图来源于论坛，而且截图中发帖人的ID均为新注册ID，极可能是枪手所为。
　　2、瑞星尚未
发现该误杀现象。如果发现，会在第一时间内改正。
　　3、瑞星卡卡作为一种安全工具，采用与杀毒软件不同的机制，对于木马的扫描和清除存在较大不确定性。瑞星建议用户使用正规杀毒软件清除电脑上的木马。
　　总结
　　近期的杀毒行业可谓乱成一团。奇虎360安全卫士是一款从推出起就宣布终身免费的木马查杀软件，在很长的一段时间和杀毒软件卡巴斯基联合推广，而近日巴斯基误杀奇虎360和奇虎公司宣布推出免费杀毒软件，双方的合作关系受到了业内人士的关注。虽然奇虎360称与卡巴斯基仍是合作伙伴，但卡巴斯基已停止通过奇虎360赠送杀毒服务。卡巴单飞会让奇虎360用户难以享受到免费产品，这无疑给了奇虎360沉重打击。
　　而对于瑞星和奇虎360来这两个行业内最大的竞争对手来说，从一开始便存在这竞争关系，两家的口水战想必也是很正常的事情，正如刘兴亮老师所说的：“高手之间的对决，总是招数套招数，每一招，都是虚虚实实的。周鸿祎和瑞星的毛一丁，都是高手中的高手。这样的级别的高手，想来对田忌赛马之类的典故是非常熟悉的。
　　不过不管两家闹得如何沸沸扬扬，他们所推出的免费杀毒软件的最大受益者还是用户，我们还是坐享其成比较舒服。
　　附：刘兴亮：两家推免费杀毒事件的几点分析：
　　1、360之所以宣布推出“永久免费”杀毒软件，目标直指瑞星“卡卡6.0”的“云安全”计划。
　　2、360在瑞星高调推卡卡6和云安全的时候吆喝免费杀毒，是上上策。
　　3、瑞星宣布“一年免费”，是中策。
　　4、360误杀瑞星防火墙，是小插曲，可惜，周鸿祎在这个事件的处理上有点气急败坏了。
　　5、战况：瑞星360之争，媒体传播端瑞星占上风论坛传播端360占上风。
　　6、打市场阻击战一向是瑞星的强项，但这次瑞星卡卡6的发布被周鸿祎阻击了。

集萃坊社区