第6章計(jì)算機(jī)病毒與惡意軟件

第6章計(jì)算機(jī)病毒與惡意軟件版權(quán)所有，盜版必糾概述本章來(lái)介紹計(jì)算機(jī)病毒和惡意軟件。在國(guó)外，有時(shí)將計(jì)算機(jī)病毒當(dāng)作惡意軟件來(lái)處理。而在我國(guó)，惡意軟件沒(méi)有明確的法律定義，只在互聯(lián)網(wǎng)協(xié)會(huì)對(duì)惡意軟件做了介紹，其中不包括計(jì)算機(jī)病毒的。版權(quán)所有，盜版必糾目錄6.1計(jì)算機(jī)病毒概述

6.2典型的病毒分析6.3惡意軟件概述版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述6.1.1計(jì)算機(jī)病毒的概念用卡巴在安全模其實(shí)只要我們掌握一些病毒的命名規(guī)則，我們就能通過(guò)殺毒軟件的報(bào)告中出現(xiàn)的病毒名來(lái)判斷該病毒的一些公有的特性了?！坝?jì)算機(jī)病毒”為什么叫做病毒。首先，與醫(yī)學(xué)上的“病毒”不同，它不是天然存在的，是某些人利用計(jì)算機(jī)軟、硬件所固有的脆弱性，編制具有特殊功能的程序。其能通過(guò)某種途徑潛伏在計(jì)算機(jī)存儲(chǔ)介質(zhì)(或程序)里,當(dāng)達(dá)到某種條件時(shí)即被激活,它用修改其他程序的方法將自己的精確拷貝或者可能演化的形式放入其他程序中,從而感染它們，對(duì)計(jì)算機(jī)資源進(jìn)行破壞的這樣一組程序或指令集合。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述1994年2月18日，我國(guó)正式頒布實(shí)施了《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》，在《條例》第二十八條中明確指出：“計(jì)算機(jī)病毒，是指編制或者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者毀壞數(shù)據(jù)，影響計(jì)算機(jī)使用，并能自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼。”此定義具有法律性、權(quán)威性。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述6.1.2計(jì)算機(jī)病毒產(chǎn)生的原因那么究竟它是如何產(chǎn)生的呢？其過(guò)程可分為：程序設(shè)計(jì)－＞傳播－＞潛伏－＞觸發(fā)－＞運(yùn)行－＞實(shí)行攻擊。究其產(chǎn)生的原因不外乎以下幾種：版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述1.開(kāi)個(gè)玩笑，一個(gè)惡作劇某些愛(ài)好計(jì)算機(jī)并對(duì)計(jì)算機(jī)技術(shù)精通的人士為了炫耀自己的高超技術(shù)和智慧，憑借對(duì)軟硬件的深入了解，編制這些特殊的程序。這些程序通過(guò)載體傳播出去后，在一定條件下被觸發(fā)。如顯示一些動(dòng)畫(huà)，播放一段音樂(lè)，或提一些智力問(wèn)答題目等，其目的無(wú)非是自我表現(xiàn)一下。這類病毒一般都是良性的，不會(huì)有破壞操作。2.產(chǎn)生于個(gè)別人的報(bào)復(fù)心理每個(gè)人都處于社會(huì)環(huán)境中，但總有人對(duì)社會(huì)不滿或受到不公證的待遇。如果這種情況發(fā)生在一個(gè)編程高手身上，那么他有可能會(huì)編制一些危險(xiǎn)的程序。在國(guó)外有這樣的事例：某公司職員在職期間編制了一段代碼隱藏在其公司的系統(tǒng)中，一旦檢測(cè)到他的名字在工資報(bào)表中刪除，該程序立即發(fā)作，破壞整個(gè)系統(tǒng)。類似案例在國(guó)內(nèi)亦出現(xiàn)過(guò)。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述3.用于版權(quán)保護(hù)計(jì)算機(jī)發(fā)展初期，由于在法律上對(duì)于軟件版權(quán)保護(hù)還沒(méi)有象今天這樣完善。很多商業(yè)軟件被非法復(fù)制，有些開(kāi)發(fā)商為了保護(hù)自己的利益制作了一些特殊程序，附在產(chǎn)品中。如：巴基斯坦病毒，其制作者是為了追蹤那些非法拷貝他們產(chǎn)品的用戶。用于這種目的的病毒目前已不多見(jiàn)。4.用于特殊目的某組織或個(gè)人為達(dá)到特殊目的，對(duì)政府機(jī)構(gòu)、單位的特殊系統(tǒng)進(jìn)行宣傳或破壞?；蛴糜谲娛履康?。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述6.1.3計(jì)算機(jī)病毒的歷史 自從1946年第一臺(tái)馮.諾依曼型計(jì)算機(jī)ENIAC出世以來(lái)，計(jì)算機(jī)已被應(yīng)用到人類社會(huì)的各個(gè)領(lǐng)域。然而，1988年發(fā)生在美國(guó)的“蠕蟲(chóng)病毒”事件，給計(jì)算機(jī)技術(shù)的發(fā)展罩上了一層陰影。蠕蟲(chóng)病毒是由美國(guó)CORNELL大學(xué)研究生莫里斯編寫(xiě)。雖然并無(wú)惡意，但在當(dāng)時(shí)，“蠕蟲(chóng)”在INTERNET上大肆傳染，使得數(shù)千臺(tái)連網(wǎng)的計(jì)算機(jī)停止運(yùn)行，并造成巨額損失，成為一時(shí)的輿論焦點(diǎn)。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述6.1.4計(jì)算機(jī)病毒的特征1.傳染性傳染性是病毒的基本特征。在生物界，通過(guò)傳染病毒從一個(gè)生物體擴(kuò)散到另一個(gè)生物體。在適當(dāng)?shù)臈l件下，它可得到大量繁殖，并使被感染的生物體表現(xiàn)出病癥甚至死亡。同樣，計(jì)算機(jī)病毒也會(huì)通過(guò)各種渠道從已被感染的計(jì)算機(jī)擴(kuò)散到未被感染的計(jì)算機(jī)，在某些情況下造成被感染的計(jì)算機(jī)工作失常甚至癱瘓。與生物病毒不同的是，計(jì)算機(jī)病毒是一段人為編制的版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述 2.隱蔽性病毒一般是具有很高編程技巧、短小精悍的程序。通常附在正常程序中或磁盤(pán)較隱蔽的地方，也有個(gè)別的以隱含文件形式出現(xiàn)。目的是不讓用戶發(fā)現(xiàn)它的存在。如果不經(jīng)過(guò)代碼分析，病毒程序與正常程序是不容易區(qū)別開(kāi)來(lái)的。一般在沒(méi)有防護(hù)措施的情況下，計(jì)算機(jī)病毒程序取得系統(tǒng)控制權(quán)后，可以在很短的時(shí)間里傳染大量程序。而且受到傳染后，計(jì)算機(jī)系統(tǒng)通常仍能正常運(yùn)行，使用戶不會(huì)感到任何異常。試想，如果病毒在傳染到計(jì)算機(jī)上之后，機(jī)器馬上無(wú)法正常運(yùn)行，那么它本身便無(wú)法繼續(xù)進(jìn)行傳染了。正是由于隱蔽性，計(jì)算機(jī)病毒得以在用戶沒(méi)有察覺(jué)的情況下擴(kuò)散到上百萬(wàn)臺(tái)計(jì)算機(jī)中。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述3.潛伏性大部分的病毒感染系統(tǒng)之后一般不會(huì)馬上發(fā)作，它可長(zhǎng)期隱藏在系統(tǒng)中，只有在滿足其特定條件時(shí)才啟動(dòng)其破壞模塊。只有這樣它才可進(jìn)行廣泛地傳播。如“PETER-2”在每年2月27日會(huì)提三個(gè)問(wèn)題，答錯(cuò)后會(huì)將硬盤(pán)加密。著名的“黑色星期五”在逢13號(hào)的星期五發(fā)作。國(guó)內(nèi)的“上海一號(hào)”會(huì)在每年三、六、九月的13日發(fā)作。當(dāng)然，最令人難忘的便是26日發(fā)作的CIH。這些病毒在平時(shí)會(huì)隱藏得很好，只有在發(fā)作日才會(huì)露出本來(lái)面目。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述4.破壞性任何病毒只要侵入系統(tǒng)，都會(huì)對(duì)系統(tǒng)及應(yīng)用程序產(chǎn)生程度不同的影響。輕者會(huì)降低計(jì)算機(jī)工作效率，占用系統(tǒng)資源，重者可導(dǎo)致系統(tǒng)崩潰。由此特性可將病毒分為良性病毒與惡性病毒。良性病度可能只顯示些畫(huà)面或出點(diǎn)音樂(lè)、無(wú)聊的語(yǔ)句，或者根本沒(méi)有任何破壞動(dòng)作，但會(huì)占用系統(tǒng)資源。這類病毒較多，如：GENP、小球、W-BOOT等。惡性病毒則有明確得目的，或破壞數(shù)據(jù)、刪除文件或加密磁盤(pán)、格式化磁盤(pán)，有的對(duì)數(shù)據(jù)造成不可挽回的破壞。這也反映出病毒編制者的險(xiǎn)惡用心。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述6.1.5計(jì)算機(jī)病毒的命名世界上那么多的病毒，反病毒公司為了方便管理，他們會(huì)按照病毒的特性，將病毒進(jìn)行分類命名。雖然每個(gè)反病毒公司的命名規(guī)則都不太一樣，但大體都是采用一個(gè)統(tǒng)一的命名方法來(lái)命名的。一般格式為：<病毒前綴>.<病毒名>.<病毒后綴>。病毒前綴是指一個(gè)病毒的種類，他是用來(lái)區(qū)別病毒的種族分類的。不同的種類的病毒，其前綴也是不同的。比如我們常見(jiàn)的木馬病毒的前綴Trojan，蠕蟲(chóng)病毒的前綴是Worm等等還有其他的。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述下面附帶一些常見(jiàn)的病毒前綴的解釋：

1.系統(tǒng)病毒系統(tǒng)病毒的前綴為：Win32、PE、Win95、W32、W95等。這些病毒的一般公有的特性是可以感染windows操作系統(tǒng)的*.exe和*.dll

文件，并通過(guò)這些文件進(jìn)行傳播。如CIH病毒。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述2.蠕蟲(chóng)病毒蠕蟲(chóng)病毒的前綴是：Worm。這種病毒的公有特性是通過(guò)網(wǎng)絡(luò)或者系統(tǒng)漏洞進(jìn)行傳播，很大部分的蠕蟲(chóng)病毒都有向外發(fā)送帶毒郵件，阻塞網(wǎng)絡(luò)的特性。比如沖擊波（阻塞網(wǎng)絡(luò)），小郵差（發(fā)帶毒郵件）等。3.木馬病毒、黑客病毒木馬病毒其前綴是：Trojan，黑客病毒前綴名一般為Hack。木馬病毒的公有特性是通過(guò)網(wǎng)絡(luò)或者系統(tǒng)漏洞進(jìn)入用戶的系統(tǒng)并隱藏，然后向外界泄露用戶的信息，而黑客病毒則有一個(gè)可視的界面，能對(duì)用戶的電腦進(jìn)行遠(yuǎn)程控制。木馬、黑客病毒往往是成對(duì)出現(xiàn)的，即木馬病毒負(fù)責(zé)侵入用戶的電腦，而黑客病毒則會(huì)通過(guò)該木馬病毒來(lái)進(jìn)行控制?，F(xiàn)在這兩種類型都越來(lái)越趨向于整合了。一般的木馬如QQ消息尾巴木馬Trojan.QQ3344，還有大家可能遇見(jiàn)比較多的針對(duì)網(wǎng)絡(luò)游戲的木馬病毒如Trojan.LMir.PSW.60。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述

4.腳本病毒腳本病毒的前綴是：Script。腳本病毒的公有特性是使用腳本語(yǔ)言編寫(xiě)，通過(guò)網(wǎng)頁(yè)進(jìn)行的傳播的病毒，如紅色代碼（Script.Redlof）。腳本病毒還會(huì)有如下前綴：VBS、JS（表明是何種腳本編寫(xiě)的），如歡樂(lè)時(shí)光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述

5.宏病毒其實(shí)宏病毒是也是腳本病毒的一種，由于它的特殊性，因此在這里單獨(dú)算成一類。宏病毒的前綴是：Macro，第二前綴是：Word、Word97、Excel、Excel97（也許還有別的）其中之一。凡是只感染W(wǎng)ORD97及以前版本W(wǎng)ORD文檔的病毒采用Word97做為第二前綴，格式是：Macro.Word97；凡是只感染W(wǎng)ORD97以后版本W(wǎng)ORD文檔的病毒采用Word做為第二前綴，格式是：Macro.Word；凡是只感染EXCEL97及以前版本EXCEL文檔的病毒采用Excel97做為第二前綴，格式是：Macro.Excel97；凡是只感染EXCEL97以后版本EXCEL文檔的病毒采用Excel做為第二前綴，格式是：Macro.Excel，依此類推。該類病毒的公有特性是能感染OFFICE系列文檔，然后通過(guò)OFFICE通用模板進(jìn)行傳播，如：著名的美麗莎(Macro.Melissa)。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述

6.后門(mén)病毒后門(mén)病毒的前綴是：Backdoor。該類病毒的公有特性是通過(guò)網(wǎng)絡(luò)傳播，給系統(tǒng)開(kāi)后門(mén)，給用戶電腦帶來(lái)安全隱患。如54很多朋友遇到過(guò)的IRC后門(mén)Backdoor.IRCBot

。

7、病毒種植程序病毒這類病毒的公有特性是運(yùn)行時(shí)會(huì)從體內(nèi)釋放出一個(gè)或幾個(gè)新的病毒到系統(tǒng)目錄下，由釋放出來(lái)的新病毒產(chǎn)生破壞。如：冰河播種者（Dropper.BingHe2.2C）、MSN射手(Dropper.Worm.Smibag)等。

8．破壞性程序病毒破壞性程序病毒的前綴是：Harm。這類病毒的公有特性是本身具有好看的圖標(biāo)來(lái)誘惑用戶點(diǎn)擊，當(dāng)用戶點(diǎn)擊這類病毒時(shí)，病毒便會(huì)直接對(duì)用戶計(jì)算機(jī)產(chǎn)生破壞。如：格式化C盤(pán)（Harm.formatC.f）、殺手命令（Harm.Command.Killer）等。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述

9．玩笑病毒玩笑病毒的前綴是：Joke。也稱惡作劇病毒。這類病毒的公有特性是本身具有好看的圖標(biāo)來(lái)誘惑用戶點(diǎn)擊，當(dāng)用戶點(diǎn)擊這類病毒時(shí)，病毒會(huì)做出各種破壞操作來(lái)嚇唬用戶，其實(shí)病毒并沒(méi)有對(duì)用戶電腦進(jìn)行任何破壞。如：女鬼（Joke.Girlghost）病毒。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述10．捆綁機(jī)病毒捆綁機(jī)病毒的前綴是：Binder。這類病毒的公有特性是病毒作者會(huì)使用特定的捆綁程序?qū)⒉《九c一些應(yīng)用程序如QQ、IE捆綁起來(lái)，表面上看是一個(gè)正常的文件，當(dāng)用戶運(yùn)行這些捆綁病毒時(shí)，會(huì)表面上運(yùn)行這些應(yīng)用程序，然后隱藏運(yùn)行捆綁在一起的病毒，從而給用戶造成危害。如：捆綁QQ（Binder.QQPass.QQBin）、系統(tǒng)殺手（Binder.killsys）等。版權(quán)所有，盜版必糾6.1計(jì)算機(jī)病毒概述10．捆綁機(jī)病毒捆綁機(jī)病毒的前綴是：Binder。這類病毒的公有特性是病毒作者會(huì)使用特定的捆綁程序?qū)⒉《九c一些應(yīng)用程序如QQ、IE捆綁起來(lái)，表面上看是一個(gè)正常的文件，當(dāng)用戶運(yùn)行這些捆綁病毒時(shí)，會(huì)表面上運(yùn)行這些應(yīng)用程序，然后隱藏運(yùn)行捆綁在一起的病毒，從而給用戶造成危害。如：捆綁QQ（Binder.QQPass.QQBin）、系統(tǒng)殺手（Binder.killsys）等。版權(quán)所有，盜版必糾6.2典型的病毒分析這其中U盤(pán)中的病毒是見(jiàn)到的最多的，在本節(jié)重點(diǎn)介紹。U盤(pán)是目前使用最為廣泛的移動(dòng)存儲(chǔ)器，它有體積小、重量輕、容量大攜帶方便等優(yōu)點(diǎn)。但是目前U盤(pán)也是傳播病毒的主要途徑之一，有人統(tǒng)計(jì)發(fā)現(xiàn)U盤(pán)有病毒的比例高達(dá)90%。具2008年1月2日，國(guó)內(nèi)最大的計(jì)算機(jī)反病毒軟件廠商之一江民科技發(fā)布了2007年年度病毒疫情報(bào)告以及十大病毒排行，如表6.1所示。其中U盤(pán)病毒高位居第一位。版權(quán)所有，盜版必糾6.2典型的病毒分析這其中U盤(pán)版權(quán)所有，盜版必糾6.2典型的病毒分析6.2.1U盤(pán)“runauto..”文件夾病毒及清除方法1.“runauto..”文件夾病毒經(jīng)常在計(jì)算機(jī)硬盤(pán)里會(huì)發(fā)現(xiàn)名為“runauto..”的一個(gè)文件夾，在正常模式或安全模式下都無(wú)法刪除，粉碎也不可以。如圖所示為runauto..文件夾。版權(quán)所有，盜版必糾6.2典型的病毒分析2.病毒清除方法假設(shè)這個(gè)文件夾，在C盤(pán)，則刪除辦法是：在桌面點(diǎn)擊“開(kāi)始”→“運(yùn)行”，輸入“cmd”，再輸入“C:”輸入“rd/s/q

runauto...\”。就可以了，如圖所示為刪除runauto..文件夾的方法。版權(quán)所有，盜版必糾6.2典型的病毒分析6.2.2U盤(pán)autorun.inf文件病毒及清除方法1.autorun.inf文件病毒目前幾乎所有U盤(pán)類的病毒的最大特征都是利用autorun.inf這個(gè)來(lái)侵入的，而事實(shí)上autorun.inf相當(dāng)于一個(gè)傳染途徑，經(jīng)過(guò)這個(gè)途徑入侵的病毒，理論上是“任何”病毒。版權(quán)所有，盜版必糾6.2典型的病毒分析

autorun.inf這個(gè)文件是很早就存在的，在WinXP以前的其他windows系統(tǒng)（如Win98，2000等），需要讓光盤(pán)、U盤(pán)插入到機(jī)器自動(dòng)運(yùn)行的話，就要靠autorun.inf。這個(gè)文件是保存在驅(qū)動(dòng)器的根目錄下的，是一個(gè)隱藏的系統(tǒng)文件。它保存著一些簡(jiǎn)單的命令，告訴系統(tǒng)這個(gè)新插入的光盤(pán)或硬件應(yīng)該自動(dòng)啟動(dòng)什么程序，也可以告訴系統(tǒng)讓系統(tǒng)將它的盤(pán)符圖標(biāo)改成某個(gè)路徑下的icon。所以，這本身是一個(gè)常規(guī)且合理的文件和技術(shù)。版權(quán)所有，盜版必糾6.2典型的病毒分析一種是假回收站方式：病毒通常在U盤(pán)中建立一個(gè)“RECYCLER”的文件夾，然后把病毒藏在里面很深的目錄中，一般人以為這就是回收站了，而事實(shí)上，回收站的名稱是“Recycled”，而且兩者的圖標(biāo)是不同的如圖所示。版權(quán)所有，盜版必糾6.2典型的病毒分析

U版權(quán)所有，盜版必糾6.2典型的病毒分析

U版權(quán)所有，盜版必糾6.2典型的病毒分析

2.病毒清除方法對(duì)于autorun.inf病毒的解決方案如下：(1)如果發(fā)現(xiàn)U盤(pán)有autorun.inf，且不是你自己創(chuàng)建生成的，請(qǐng)刪除它，并且盡快查毒。(2)如果有貌似回收站、瑞星文件等文件，而你又能通過(guò)對(duì)比硬盤(pán)上的回收站名稱、正版的瑞星名稱，同時(shí)確認(rèn)該內(nèi)容不是你創(chuàng)建生成的，請(qǐng)刪除它。(3)一般建議插入U(xiǎn)盤(pán)時(shí)，不要雙擊U盤(pán)，另外有一個(gè)更好的技巧：插入U(xiǎn)盤(pán)前，按住Shift鍵，然后插入U(xiǎn)盤(pán)，建議按鍵的時(shí)間長(zhǎng)一點(diǎn)。插入后，用右鍵點(diǎn)擊U盤(pán)，選擇“資源管理器”來(lái)打開(kāi)U盤(pán)。版權(quán)所有，盜版必糾6.2典型的病毒分析6.2.3U盤(pán)RavMonE.exe病毒及清除方法1.病毒描述經(jīng)常有人發(fā)現(xiàn)自己的U盤(pán)有病毒，殺毒軟件報(bào)出一個(gè)RavMonE.exe病毒文件，這個(gè)也是經(jīng)典的一個(gè)U盤(pán)病毒。如圖所示為RavMonE.exe病毒運(yùn)行后出現(xiàn)在進(jìn)程里。版權(quán)所有，盜版必糾6.2典型的病毒分析2.解決方法(1)打開(kāi)任務(wù)管理器（ctrl+alt+del或者任務(wù)欄右鍵點(diǎn)擊也可），終止所有RavmonE.exe進(jìn)程。(2)進(jìn)入病毒目錄，刪除其中的ravmone.exe。(3)打開(kāi)系統(tǒng)注冊(cè)表依次點(diǎn)開(kāi)HK_Loacal_Machine\software\Microsoft\windows\CurrentVersion\Run\，在右邊可以看到一項(xiàng)數(shù)值是c:\windows\ravmone.exe的，把他刪除掉。(3)完成后，重新啟動(dòng)計(jì)算機(jī)，病毒就被清除了。版權(quán)所有，盜版必糾6.2典型的病毒分析6.2.4ARP病毒1.病毒描述ARP地址欺騙類病毒（以下簡(jiǎn)稱ARP病毒）是一類特殊的病毒，該病毒一般屬于木馬(Trojan)病毒，不具備主動(dòng)傳播的特性，不會(huì)自我復(fù)制。但是由于其發(fā)作的時(shí)候會(huì)向全網(wǎng)發(fā)送偽造的ARP數(shù)據(jù)包，干擾全網(wǎng)的運(yùn)行，因此它的危害比一些蠕蟲(chóng)還要嚴(yán)重得多。該病毒位居2007年病毒排行榜第二位，如表6.1所示。版權(quán)所有，盜版必糾6.2典型的病毒分析6.2.4ARP病毒1.病毒描述版權(quán)所有，盜版必糾6.2典型的病毒分析2.解決方法 可以使用360ARP防火墻，這個(gè)防火墻可以在上下載。安裝完成后，可以在綜合設(shè)置里面設(shè)置對(duì)ARP病毒的防護(hù)，如圖所示。版權(quán)所有，盜版必糾6.2典型的病毒分析6.2.5“熊貓燒香”病毒

2006年底，中國(guó)互聯(lián)網(wǎng)上大規(guī)模爆發(fā)“熊貓燒香”病毒及其變種，這種病毒將感染的所有程序文件改成熊貓舉著三根香的模樣，如圖所示。它還具有盜取用戶游戲賬號(hào)、ＱＱ賬號(hào)等功能。截至案發(fā)為止，已有上百萬(wàn)個(gè)人用戶、網(wǎng)吧及企業(yè)局域網(wǎng)用戶遭受感染和破壞，引起社會(huì)各界高度關(guān)注，被稱為2006年中國(guó)大陸地區(qū)的“毒王”。版權(quán)所有，盜版必糾6.2典型的病毒分析據(jù)警方調(diào)查，“熊貓燒香”病毒的制作者為湖北省武漢市的李俊，如圖所示，另外雷磊等五名犯罪嫌疑人通過(guò)改寫(xiě)、傳播“熊貓燒香”等病毒，構(gòu)建“僵尸網(wǎng)絡(luò)”，通過(guò)盜竊各種游戲和QQ賬號(hào)等方式非法牟利。目前，6名犯罪嫌疑人已被刑事拘留。圖“熊貓燒香”病毒的制作者李俊版權(quán)所有，盜版必糾6.2典型的病毒分析6.2.6QQ與MSN病毒目前，網(wǎng)上利用QQ、MSN等聊天工具，進(jìn)行病毒傳播時(shí)有發(fā)生，如圖所示為通過(guò)QQ自動(dòng)傳播的病毒。如圖所示為通過(guò)MSN傳播的網(wǎng)頁(yè)病毒。另外還有黑客給QQ、MSN上加木馬，以盜取QQ、MSN的密碼等信息。版權(quán)所有，盜版必糾6.2典型的病毒分析6.2.6QQ與MSN病毒目前，網(wǎng)上利用QQ、MSN等聊天工具，進(jìn)行病毒傳播時(shí)有發(fā)生，如圖所示為通過(guò)QQ自動(dòng)傳播的病毒。如圖所示為通過(guò)MSN傳播的網(wǎng)頁(yè)病毒。另外還有黑客給QQ、MSN上加木馬，以盜取QQ、MSN的密碼等信息。版權(quán)所有，盜版必糾6.2典型的病毒分析

這個(gè)網(wǎng)址很可怕，因?yàn)樗暮竺婕恿艘粋€(gè)端口號(hào)?？梢詐ing一下它的網(wǎng)址，如圖所示。通過(guò)這種方式可以看到它的IP。版權(quán)所有，盜版必糾6.2典型的病毒分析

看到它的IP為7，然后再到網(wǎng)站上查找一下就會(huì)發(fā)現(xiàn)這個(gè)網(wǎng)站實(shí)際上在香港。版權(quán)所有，盜版必糾6.2典型的病毒分析 2.QQ、MSN病毒防治方法 對(duì)于QQ和MSN病毒的防治，可以采用專殺工具。例如，對(duì)于QQ病毒可以下載QQkav專殺工具，進(jìn)行查殺。它的主界面如圖所示。版權(quán)所有，盜版必糾6.2典型的病毒分析6.2.7典型手機(jī)病毒介紹隨著智能手機(jī)的不斷普及，手機(jī)病毒成為了病毒發(fā)展的下一個(gè)目標(biāo)?，F(xiàn)在手機(jī)病毒已經(jīng)從過(guò)去的利用手機(jī)系統(tǒng)漏洞進(jìn)行攻擊的類型，向針對(duì)開(kāi)放式智能手機(jī)操作系統(tǒng)的類似電腦病毒的程序型轉(zhuǎn)變，目前為止已經(jīng)出現(xiàn)了三十多種針對(duì)智能手機(jī)的病毒。本文將向你介紹典型手機(jī)病毒的特征、防治方法和殺毒軟件。版權(quán)所有，盜版必糾6.2典型的病毒分析1.Cabir手機(jī)病毒介紹下面將介紹一種Cabir手機(jī)病毒。它的別名包括：EPOC.Cabir，Worm.Symbian.Cabir.a，EPOC/Cabir.A，EPOC_CABIR.A，Symbian/Cabir等。目標(biāo)手機(jī)主要是SymbianOSS60平臺(tái)手機(jī)。主要危害包括干擾藍(lán)牙通訊，加大電力消耗等。版權(quán)所有，盜版必糾6.2典型的病毒分析1.Cabir手機(jī)病毒介紹下面將介紹一種Cabir手機(jī)病毒。它的別名包括：EPOC.Cabir，Worm.Symbian.Cabir.a，EPOC/Cabir.A，EPOC_CABIR.A，Symbian/Cabir等。目標(biāo)手機(jī)主要是SymbianOSS60平臺(tái)手機(jī)。主要危害包括干擾藍(lán)牙通訊，加大電力消耗等。版權(quán)所有，盜版必糾6.2典型的病毒分析當(dāng)文件被執(zhí)行后，手機(jī)的屏幕上會(huì)提示“InstallCaribe？”，如圖所示。版權(quán)所有，盜版必糾6.2典型的病毒分析 一旦開(kāi)始安裝，手機(jī)屏幕上會(huì)顯示“Caribe-VZ/29a”，如圖所示。版權(quán)所有，盜版必糾6.2典型的病毒分析 病毒安裝過(guò)程中，會(huì)對(duì)Symbian操作系統(tǒng)進(jìn)行修改。此后用戶每次打開(kāi)手機(jī)時(shí)，Cabir也隨之啟動(dòng)。Cabir會(huì)在手機(jī)上創(chuàng)建以下文件夾，如圖所示。版權(quán)所有，盜版必糾6.2典型的病毒分析2.Cabir手機(jī)病毒防治對(duì)于Cabir病毒最好的防治方法是：在不用藍(lán)牙功能時(shí)，將手機(jī)的藍(lán)牙設(shè)置為隱藏（不可被搜索到）或者直接關(guān)閉版權(quán)所有，盜版必糾6.3惡意軟件概述

惡意軟件俗稱流氓軟件，是對(duì)破壞系統(tǒng)正常運(yùn)行的軟件的統(tǒng)稱。惡意軟件介于病毒軟件和正規(guī)軟件之間，同時(shí)具備正常功能（下載、媒體播放等）和惡意行為（彈廣告、開(kāi)后門(mén)），給用戶帶來(lái)實(shí)質(zhì)危害。目前，互聯(lián)網(wǎng)上有許多惡意軟件，如一搜工具條、完美網(wǎng)譯通、博采網(wǎng)摘、百度搜霸、3721上網(wǎng)助手、很棒小秘書(shū)、網(wǎng)絡(luò)豬、劃詞搜索等。版權(quán)所有，盜版必糾6.3惡意軟件概述6.3.1惡意軟件的概述在中國(guó)對(duì)于惡意軟件定義最權(quán)威的要屬于中國(guó)互聯(lián)網(wǎng)協(xié)會(huì)反惡意軟件協(xié)調(diào)工作組對(duì)惡意軟件的定義。2006年，中國(guó)互聯(lián)網(wǎng)協(xié)會(huì)反惡意軟件協(xié)調(diào)工作組在充分聽(tīng)取成員單位意見(jiàn)的基礎(chǔ)上，最終確定了“惡意軟件”定義并向社會(huì)公布：惡意軟件俗稱“流氓軟件”，是指在未明確提示用戶或未經(jīng)用戶許可的情況下，在用戶計(jì)算機(jī)或其他終端上安裝運(yùn)行，侵害用戶合法權(quán)益的軟件，但不包含我國(guó)法律法規(guī)規(guī)定的計(jì)算機(jī)病毒。版權(quán)所有，盜版必糾6.3惡意軟件概述具有下列特征之一的軟件可以被認(rèn)為是惡意軟件：1.強(qiáng)制安裝：指未明確提示用戶或未經(jīng)用戶許可，在用戶計(jì)算機(jī)或其他終端上安裝軟件的行為。2.難以卸載：指未提供通用的卸載方式，或在不受其他軟件影響、人為破壞的情況下，卸載后仍然有活動(dòng)程序的行為。3.瀏覽器劫持：指未經(jīng)用戶許可，修改用戶瀏覽器或其他相關(guān)設(shè)置，迫使用戶訪問(wèn)特定網(wǎng)站或?qū)е掠脩魺o(wú)法正常上網(wǎng)的行為。4.廣告彈出：指未明確提示用戶或未經(jīng)用戶許可，利用安裝在用戶計(jì)算機(jī)或其他終端上的軟件彈出廣告的行為。版權(quán)所有，盜版必糾6.3惡意軟件概述5.惡意收集用戶信息：指未明確提示用戶或未經(jīng)用戶許可，惡意收集用戶信息的行為。6.惡意卸載：指未明確提示用戶、未經(jīng)用戶許可，或誤導(dǎo)、欺騙用戶卸載其他軟件的行為。7.惡意捆綁：指在軟件中捆綁已被認(rèn)定為惡意軟件的行為。8.其他侵害用戶軟件安裝、使用和卸載知情權(quán)、選擇權(quán)的惡意行為。版權(quán)所有，盜版必糾6.3惡意軟件概述6.3.2惡意軟件的類型根據(jù)惡意軟件的表現(xiàn)，可以分為以下9類。1.廣告軟件廣告軟件（Adware）是指未經(jīng)用戶允許，下載并安裝或與其他軟件捆綁并通過(guò)彈出式廣告或以其他形式進(jìn)行商業(yè)廣告宣傳的程序。2.間諜軟件間諜軟件(Spyware)是能夠在使用者不知情的情況下，在用戶電腦上安裝后門(mén)程序的軟件。用戶的隱私數(shù)據(jù)和重要信息會(huì)被那些后門(mén)程序捕獲，甚至這些“后門(mén)程序”還能使黑客遠(yuǎn)程操縱用戶的電腦。3.瀏覽器劫持瀏覽器劫持是一種惡意程序，通過(guò)DLL插