历数杀毒软件市场几个怪现象之 误杀 暗杀 被暗杀

最近炒的很热，并且引得两位行业老大戟指嚼舌的事件就是360安全卫士误杀瑞星个人防火墙一事。按瑞星的官方说法：引擎版本为7.20245的360杀毒软件存在误杀行为，将瑞星个人防火墙的Hookurl.sys文件当作病毒拦截并删除。已安装了瑞星个人防火墙的用户，Hookurl.sys文件被360杀毒误杀后，恶意网址过滤功能无法正常使用。

在杀毒软件靠特征码识别的基本原则下，出现“误杀”事故本不新鲜，过去一旦发生这样的情况，通常是双方立刻沟通协调，将事故消弭于无形――公诸于众，彼此颜面上都不怎么好看。然而这一回的情况却截然不同了，初出茅庐的安全卫士居然敢在称霸中国市场的老大头上动土，这显然不是“误杀”，而是别有用心的“暗杀”！

比起无心之失，“暗杀”可演绎的空间就多了，完全可以上升到企业主RPWT的层面进行鞭挞。因此“暗杀”说一出，紧跟其后的就是瑞星义正言辞的指责和贴满各个IT网站的如山铁证。

其实当面叫板也好，背后捅刀子也罢，杀毒软件相互冲突本是不争的事实――瑞星用户如果想装江民，就必须把瑞星卸掉，否则你的机器就会出现死机、蓝屏，甚至无法启动的现象。反之亦然。这一冲突的缘由，一方面较为客观的原因是杀毒软件越来越深入系统底层实现监控，如果多个杀毒软件同时启动，难免产生争夺系统资源的严重冲突。另一方面，以占领终端为目的的杀毒软件厂商，显然更喜欢对他人取而代之，而不是求同存异。

不管怎么说，被“杀”的总容易博取公众的同情心一些，况且凶手一方的大当家至今还顶着“流氓软件教父”的帽子。未想到的是，眼球效应也引出了让人瞠目结舌的新发现。有网友称，瑞星7月29日发布的20.55.12版本中 “HookUrl.sys”文件与此前版本的文件是不同的，而这个文件从2007年10月份“瑞星2008”开始公测一直到2008年7月29日这10个月内没有任何变化。但7月29日瑞星做修改后就发生了被误杀的“惊人巧合”（实际上是7月22日修改完毕的，在7月29日20.55.12版本中进行的更新）。

通过对新旧HooKUrl.sys反汇编后的比较，这位网友还发现更新后的HooKUrl.sys文件内容与更新前的文件程序流程完全一致，只是变量定义的位置分布不同。尽管功能一模一样，新版本的HooKUrl.sys编译路径也换了位置，此前版本的Hookurl.sys编译路径很规范，如： “C:\DistributedAotuLink\Temp\hookurl.sys_N10847Release\firewall\drivers\32\hookurl\driver\” ，有服务器名、产品名称、编译类型、产品类型、可执行文件类型、运行平台、可执行文件名等等。 最新版本的HooKUrl.sys编译路径成了 C:\DistributedAotuLink\Temp\CompileOutputDir\i386。此君不由发出喟叹：“难道瑞星最近研究发现，后者更好更规范？”发现者还据此推论：从技术上来说，某些杀毒软件厂商完全可以针对竞争对手的某款产品，故意在自己的产品里放一段特征码来造成误报。

对于非专业人士来说，要查证这般吊诡事件背后的真相，显然殊为不易。但对于已经熟悉了各种各样“被自杀”事件的公众而言，再接受一次区区杀毒软件业的“被暗杀”也不会有什么心理障碍。

无独有偶，四年前陈先生和吕女士就在地区领导人选举前被同样吊诡地“暗杀”过。