惡意代碼防范病毒木馬和后門原理

啟 21960：生命游戲（約翰·康維 1981年-1982年:在APPLE-II的計算機游戲中發(fā)現(xiàn)Elk31988年—MorrisInternetworm—6000 1994年—GoodTimes(1996年—netcat的UNIX版發(fā)布 41998年—netcat的Windows版發(fā)布1998backorifice(BO1999年—melissa/ )1999backorifice(BO)for1999年—DOSDDOS-DenialofService1999年—knark內(nèi)核級2000love2001年—CodeRedworm(overflowfor2001Nimda-worm(IIS/outlookfile52002年—setiri2003年—hydan的 工2003MSBlaster/2004MyDoom/2010年 Stuxnet(工業(yè)蠕蟲6 78文件克隆賬號克隆賬號”禁用”的導出HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 Netuserguest路徑：C:\Windows\System32\利用方法 桌面下多按幾次HKEY_LOCAL_MACHINE\SOFTWARE\crosoft\NT\CurrentVersion\ImageFileExecutionOptions typecalc.exe>c:\ startc:\FlashThief.exe-FlashThief.exeFlashThief.exe-pathD:\FlashThief.exe-size FlashThief.exeinterval5000檢測移無視重啟、普通格式化、重裝、)WindowsXP、 系統(tǒng))進行hook- )%ProgramFiles%\MSDN\%ProgramFiles%\MSDN\入引導區(qū)%ProgramFiles%\%ProgramFiles%\MSDN\%ProgramFiles%\MSDN\工作驅(qū)動(木馬器) f953EA60-8D5F-4529- 程( 2.殺毒查殺以后提示找不到相應的dll碼等 6.桌面出現(xiàn)一個名為“ 19881999億!100億以億大量的郵件，SCO和微的的 ；（PDF、DOC成 1中找到的對象，取得該主機的權(quán)限(：： BHO 文 HKEY_LOCAL_MACHINE\ \ HKEY_LOCAL_MACHINE\\vires.exe要劫持qq程序，它會在上 表debuggerC:\WINDOWS\SYSTEM32\)當？ 該HKEY_LOCAL_MACHINE\SOFTWARE\\ ExecutionOptions WindowsRegistryEditorVersion5.00[HKEY_LOCAL_MACHINE\SOFTWARE\dowsNT\CurrentVersion\ImageFileExecutionOptions\taskmgr.exe]“Debugger”=“cmd”\表 利用或修改系修改系統(tǒng)喚醒工作植入植入 +

后非常小的后門 (NTRootkit,

SoftICE、 HKEY_LOCAL_MACHINE\\ 表1、 HKEY_LOCAL_MACHINE\ \“svchost”=“%SystemDir%\ 術(shù)技 態(tài)(NTRootkit, C:\WINNT\system32\ C:\WINNT\system32\msvcrt.dll C:\WINNT\system32\KERNEL32.dllC:\WINNT\system32\C:\WINNT\system32\schannel.dllC:\WINNT\system32\dssenh.dll))) 性反反軟即把一種協(xié)議作為XTCP 的上術(shù)W32Dasm及冰刃或Windows C:\Windows\ HKEY_LOCAL_MACHINE\SOFTWARE\crosoft\NT\CurrentVersion\ImageFileExecutionOptions HKEY_LOCAL_MACHINE\SAM\SAM\ 手工清理rootkit首選Ro