当前位置: 电脑软硬件应用网 > 电脑学院 > 网络安全 > 正文 |
|
|||
病毒处理技术系列课堂之二—常见病毒类型说明及行为分析 | |||
2009-5-14 23:53:37 文/重剑无锋 出处:剑盟反病毒团队 | |||
1、目前杀毒厂商对恶意程序的分类 • 木马病毒: TROJ_XXXX.XX • 后门程序: BKDR_XXXX.XX • 蠕虫病毒: WORM_XXXX.XX • 间谍软件: TSPY_XXXX.XX • 广告软件: ADW_XXXX.XX • 文件型病毒: PE_XXXX.XX • 引导区病毒:目前世界上仅存的一种引导区病毒 POLYBOOT-B 2、病毒感染的一般方式 病毒感染系统时,感染的过程大致可以分为: Ø 通过某种途径传播,进入目标系统 Ø 自我复制,并通过修改系统设置实现随系统自启动 Ø 激活病毒负载的预定功能如: 打开后门等待连接 发起DDOS攻击 进行键盘记录 发送带计算机使用记录电子邮件 2.1 常见病毒传播途径 除引导区病毒外,所有其他类型的病毒,无一例外,均要在系统中执行病毒代码,才能实现感染系统的目的。对于不同类型的病毒,它们传播、感染系统的方法也有所不同。 • 计算机病毒传播方式主要有: ü 电子邮件 ü 网络共享 ü P2P 共享 ü 系统漏洞 ü 浏览网页 ü 移动磁盘传播 ü 打开带毒影音文件 2.1.1电子邮件传播方式 • HTML正文可能被嵌入恶意脚本, • 邮件附件携带病毒压缩文件 • 利用社会工程学进行伪装,增大病毒传播机会 • 快捷传播特性 例:WORM_MYTOB,WORM_STRATION等病毒 2.1.2 网络共享传播方式 • 病毒会搜索本地网络中存在的共享,包括默认共享 如ADMIN$ ,IPC$,E$ ,D$,C$ • 通过空口令或弱口令猜测,获得完全访问权限 病毒自带口令猜测列表 • 将自身复制到网络共享文件夹中 通常以游戏,CDKEY等相关名字命名 例:WORM_SDBOT 等病毒 2.1.3 P2P共享软件传播方式 • 将自身复制到P2P共享文件夹 通常以游戏,CDKEY等相关名字命名 • 通过P2P软件共享给网络用户 • 利用社会工程学进行伪装,诱使用户下载 例:WORM_PEERCOPY.A,灰鸽子等病毒 2.1.4 系统漏洞传播方式 • 由于操作系统固有的一些设计缺陷,导致被恶意用户通过畸形的方式利用后,可执行任意代码,这就是系统漏洞. • 病毒往往利用系统漏洞进入系统, 达到传播的目的。 • 常被利用的漏洞 – RPC-DCOM 缓冲区溢出 (MS03-026) – Web DAV (MS03-007) – LSASS (MS04-011) – Internet Explorer 中的漏洞(MS08-078) – 服务器服务中允许远程执行代码的漏洞(MS08-067) (Local Security Authority Subsystem Service) 例:WORM_MYTOB 、WORM_SDBOT等病毒 2.1.5 网页感染传播方式 主要是通过恶意脚本 网页感染传播方式是当前网络主要的传播方式,这种传播方式有以下几大优点: 1、 代码灵活多变 利用直接的JAVA恶意脚本。 利用<iframe>框架代码 利用转译后的base64、ESC、ASCII等方式的代码 2、 木马版本更新速度快 由于采用网页方式,木马控制者只需要更新后台的木马主程序版本,即可更新木马版本,造成反病毒软件无法察觉。 常见的有利用的漏洞包括:MS08-078、MS06-014、联众世界GLIEDown2.dllActive控件任意代码执行漏洞、超星阅览器Pdg2 ActiveX控件栈溢出漏洞、RealPlayer ierpplug.dll ActiveX控件播放列表名称栈溢出漏洞等漏洞的网页木马 2.1.6 其他常见病毒感染途径: ü 与影音文件捆绑 ü 与正常软件捆绑 ü 用户直接运行病毒程序 ü 由其他恶意程序释放 目前大多数的木马、间谍软件等病毒都是通过这几种方式进入系统。它们通常都不具备传播性。
2.1.7 广告软件/灰色软件 由于广告软件/灰色软件的定义,它们有时候是由用户主动安装,更多的是与其他正常软件进行绑定。
2.1 病毒自启动方式 一般来说,计算机病毒除引导区病毒外,绝大多数病毒感染系统后,都具有自启动特性。 病毒在系统中的行为是基于病毒在系统中运行的基础上的,这就决定了病毒必然要通过对系统的修改,实现开机后自动加载的功能。 计算机病毒对系统的修改方式有: q 修改注册表 q 将自身添加为服务 q 将自身添加到启动文件夹 q 修改系统配置文件 计算机对操作系统的修改加载方式有: q 服务和进程-病毒程序直接运行 q 嵌入系统正常进程-DLL文件和OCX文件等 q 驱动-SYS文件
2.2.1 计算机病毒修改注册表的情况: 1、注册表启动 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下: RunServices RunServicesOnce Run RunOnce HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下: Run RunOnce RunServices 以上这些键一般用于在系统启动时执行特定程序 2、通过注册表对程序进行映像劫持 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ 3、通过注册表修改文件关联项 HKEY_CLASSES_ROOT下: exefile\shell\open\command] @="\"%1\" %*" comfile\shell\open\command] @="\"%1\" %*" batfile\shell\open\command] @="\"%1\" %*" htafile\Shell\Open\Command] @="\"%1\" %*" piffile\shell\open\command] @="\"%1\" %*“ …… 例如:病毒将"%1 %*"改为 “virus.exe %1 %*",virus.exe将在打开或运行相应类型的文件时被执行。 2.2.2 修改配置文件 目前,也经常发现计算机病毒会修改系统的配置文件,如WINDOWS系统的wininit.ini、Win.ini、System.ini。 例如:(以病毒名为virus.exe为例) %windows%\ wininit.ini中[Rename]节 NUL=c:\windows\virus.exe 将c:\windows\virus.exe设置为NUL,表示让windows在将virus.exe 运行后删除. Win.ini中的[windows]节 load = virus.exe run = virus.exe System.ini 中的[boot]节 Shell = Explorer.exe,virus.exe Shell变量指出了要在系统启动时执行的程序列表。 所以,在平常我们的安全防护中,需要大家多多关注以上的系统配置文件。 2.2.3 病毒常修改的Bat文件 WINDOWS系统的BAT文件也是可执行文件类型之一,计算机病毒也经常会修改这些文件,来实现病毒传播和感染的目的。 例如: %windows%\winstart.bat 该文件在每次系统启动时执行,只要在该文件中写入欲执行的程序,该程序即可在系统启动时自动执行。 还有Autoexec.bat 在DOS下每次都会自启动执行。 所以,这类文件在我们平常的系统维护中,也得特别注意。 2.2.4 修改启动文件夹 计算机病毒非常喜欢修改系统的启动文件夹,将病毒的快捷方式加入启动文件夹,以实现随系统自动启动的目的。一般来说,病毒修改系统启动文件夹有以下两种方式: 1、当前用户的启动文件夹 可以通过如下注册表键获得: Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders中的 StartUp 项 2、公共的启动文件夹 可以通过如下注册表键获得: Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders中的 Common StartUp 项 病毒可以在该文件夹中放入欲执行的程序,或直接修改其值指向放置有要执行程序的路径。 2.3 常见病毒行为 病毒感染系统后,无疑会对系统做出各种修改和破坏。有时病毒会使受感染的系统出现自动弹出网页、占用高CPU资源、占用过高内存资源、自动弹出/关闭窗口、自动终止某些进程(特别是反病毒软件进程)等各种不正常现象。 无论病毒在系统表现形式如何,我们都需要关注的是病毒的隐性行为! 2.3.1 计算机病毒的下载特性-Downloader 很多木马、后门程序间谍软件会自动连接到Internet某Web站点,下载其他的病毒文件或该病毒自身的更新版本/其他变种。 如大水牛下载者病毒 当系统中此病毒后,病毒会自动下载病毒列表到%SystemRoot%\system32\nwizs.txt ,通过此列表下载的病毒会被藏在%UserProfile%\Local Settings\Temp\ 目录下。然后自动连接病毒下载列表的下载地址:http://520sb.cn/dir/ind??_pic/list.txt ,然后再下载其他的计算机病毒文件。 大水牛病毒下载列表里面就包含: microsoft.exe (机器狗,专杀能清除) hosts.exe (是hosts 文件里面免疫了好多网址) arp.exe(大水牛下载者病毒最新程序) cq.exe (里面包含黑客木马fei.exe和传奇盗号器lj.exe) wow.exe (魔兽盗号木马) ddos.exe (DDOS 工具,会攻击文件中自带的config.txt 里指向的所有地址) 2.2.3 计算机病毒的后门特性-Backdoor 后门程序及很多木马、蠕虫和间谍软件会在受感染的系统中开启并侦听某个端口,允许远程恶意用户来对该系统进行远程操控。有时候病毒还会自动连接到某IRC站点某频道中,使得该频道中特定的恶意用户远程访问受感染的计算机。 如灰鸽子病毒 当系统在中毒之后,中毒机会自动将系统的相关资料,如IP地址,端口号,键盘记录等资料,发送到木马控制者设定的网站上,然后,通过控制端,对中毒机进行远程操控。 2.2.4 计算机病毒的信息收集特性-Stealer 大多数间谍软件和一些木马都会收集系统中用户的私人信息,特别各种帐号和密码。收集到的信息通常都会被病毒通过自带的SMTP引擎发送到指定的某个指定的邮箱。 如: QQ密码和聊天记录 网络游戏帐号密码 网上银行帐号密码 用户网页浏览记录和上网习惯 …… 这段时间流行比较厉害的相关的盗号木马,都具有信息收集的特性。 2.2.5 自身隐藏特性-Hide & Rootkit 多数病毒会将自身文件设置为“隐藏”、“系统”和“只读”属性,更有一些病毒会通过修改注册表来实现对系统的文件夹访问权限、显示权限等进行修改,以使其更加隐蔽不易被发现。 更有一些病毒会使用Rootkit技术来隐藏自身的进程和文件,使得用户更难以发现。 使用Rootkit技术的病毒,通常都会有一个.SYS文件加载在系统的驱动中,用以实现Rootkit技术的隐藏功能。 2.2.6 文件感染特性-Infector 文件型病毒的一个特性是感染系统中部分/所有的可执行文件。病毒会将恶意代码插入到系统中正常的可执行文件中,使得系统正常文件被破坏而无法运行,或使系统正常文件感染病毒而成为病毒体。 有的文件型病毒会感染系统中其他类型的文件。 这类病毒的典型例子就是:PE_LOOKED 维京、PE_FUJACKS 熊猫烧香、机器狗病毒和磁碟机病毒。 2.2.7 网络攻击特性-Attacker 一些蠕虫病毒会针对微软操作系统或其他程序存在的漏洞进行攻击,从而导致受攻击的计算机出现各种异常现象,或是通过漏洞在受攻击的计算机上远程执行恶意代码。 一些木马和蠕虫病毒会修改计算机的网络设置,使该计算机无法访问网络。有的木马和蠕虫还会向网络中其他计算机攻击、发送大量数据包以阻塞网络,甚至通过散步虚假网关地址的广播包来欺骗网络中其他计算机,从而使得整个网络瘫痪。 如振荡波病毒、狙击波病毒,ARP攻击等。 |
|||
最新热点 | 最新推荐 | 相关文章 | ||
教你一招!添加权限阻止病毒文件再生 病毒处理技术系列课堂之一—病毒概述 |
关于45IT | About 45IT | 联系方式 | 版权声明 | 网站导航 | |
Copyright © 2003-2011 45IT. All Rights Reserved 浙ICP备09049068号 |