顽固木马通过哪些技术手段绕过杀毒软件的检测与清除？

顽固木马绕过杀毒软件检测与清除的核心技术手段包括以下几类：

1. Rootkit内核级隐藏：通过加载驱动程序进入操作系统内核层（Ring 0），直接挂钩（Hook）系统调用或修改内核数据结构，使木马的文件、注册表项、网络连接和进程对杀毒软件不可见。
2. 进程注入与寄生：将恶意代码注入到系统关键进程（如svchost.exe、explorer.exe）中运行。杀毒软件若强行终止该进程，可能导致系统崩溃，从而限制清除操作。
3. 文件锁定与权限控制：利用Windows API独占打开自身文件，或修改文件访问控制列表（ACL），阻止杀毒软件读取、修改或删除木马文件。
4. 多组件互相守护：木马由多个进程或服务组成，彼此监控。当某一组件被杀毒软件清除后，其他存活组件会立即重新释放并恢复被删文件。
5. 引导区与固件感染：感染主引导记录（MBR）、UEFI固件或卷引导记录（VBR）。此类木马在操作系统和杀毒软件加载前即已执行，常规环境下的查杀无法触及。
6. 反调试与反虚拟机：检测运行环境是否为沙箱、虚拟机或存在调试器。一旦识别为分析环境，木马会改变行为或保持静默，逃避动态启发式检测。
7. 代码混淆与加壳：使用多重加壳、花指令、代码变形或多态引擎改变文件特征码，绕过基于静态签名的检测。

常见误区：

• 认为杀毒软件提示“清除失败”仅是软件故障，实际上多为木马采用了上述对抗机制。
• 认为进入安全模式即可清除所有顽固木马，但引导区感染型或驱动级Rootkit在安全模式下依然可能生效。