維修第六課-全文預(yù)覽
【正文】 改名后的 ，但 system32目錄下出現(xiàn)了一個(gè)怪怪的 (見下圖 )。 （ Winpe不易得到，不是所有人都有，需要的可以搜索一下到網(wǎng)上找。據(jù)調(diào)查，這種情況是多種病毒混合入侵導(dǎo)致。（開機(jī) 152H） ? 主要癥狀 系統(tǒng)運(yùn)行緩慢、頻繁出現(xiàn)死機(jī)、藍(lán)屏、報(bào)錯(cuò)等現(xiàn)象； 進(jìn)程中出現(xiàn)兩個(gè) ,且病毒進(jìn)程的用戶名是當(dāng)前登陸用戶名；（如果只有 1個(gè) 1個(gè) ，且對(duì)應(yīng)用戶名為 system，則是系統(tǒng)正常文件，請(qǐng)不用擔(dān)心） 殺毒軟件被破壞，多種安全軟件無法打開，安全站點(diǎn)無法訪問； 系統(tǒng)時(shí)間被篡改，無法進(jìn)入安全模式，隱藏文件無法顯示； 病毒感染 .exe文件導(dǎo)致其圖標(biāo)發(fā)生變化； 會(huì)對(duì)局域網(wǎng)發(fā)起 ARP攻擊，并篡改下載鏈接為病毒鏈接； 彈出釣魚網(wǎng)站 ? ATTRIB——修改文件屬性命令 ? 1．功能：修改指定文件的屬性。 ? 2． HOOK EnumProcessModules、 OpenProcess和 CloseHandle這幾個(gè) API使得殺毒軟件無法查殺病毒進(jìn)程。 ? 3． WM_CAP_START： 當(dāng)收到該消息時(shí)，向其發(fā)送退出消息。 ? 8． 感染可執(zhí)行文件，當(dāng)找個(gè)可執(zhí)行文件時(shí)，把正常文件放在自己最后一個(gè)節(jié)中，通過病毒自身所帶的種子值對(duì)正常文件進(jìn)行加密。 ? 3． 程序會(huì)刪除注冊(cè)表 SOFTWARE\Microsoft\Windows\CurrentVersion\Run項(xiàng)下的所有鍵值。然后在 System32路徑下的 文件夾中釋放病毒文件 、 、 、 。而“磁碟機(jī)”的感染則十分低調(diào)隱蔽。 ? 五、病毒的破壞性 ? 在破壞性上，“熊貓燒香”和“磁碟機(jī)”都能夠感染電腦內(nèi)的可執(zhí)行文件和網(wǎng)頁文件，導(dǎo)致系統(tǒng)運(yùn)行緩慢，不同的是，“磁碟機(jī)”在感染文件過程中對(duì)感染文件進(jìn)行了加密存放，使得清除病毒難度更大。使用反 HIPS技術(shù)繞過部分主動(dòng)防御程序“ HIPS”的監(jiān)控。例如：利用進(jìn)程守護(hù)技術(shù)，發(fā)現(xiàn)病毒文件被刪除或被關(guān)閉，會(huì)馬上生成重新運(yùn)行。 ? 二、反攻殺毒軟件能力 ? 熊貓燒香”和“磁碟機(jī)”病毒都有反攻殺毒軟件的能力，但不同的是，“熊貓燒香”只是通過發(fā)送關(guān)閉消息的方式關(guān)閉殺毒軟件，而“磁碟機(jī)”則通過生成一個(gè)內(nèi)核權(quán)限的驅(qū)動(dòng)程序來破壞殺毒軟件的監(jiān)控，使殺毒軟件的監(jiān)控功能失效，然后再關(guān)閉殺毒軟件并阻止殺毒軟件升級(jí)，并屏蔽主流的殺毒軟件網(wǎng)頁。 ? 一、傳播途徑 ? “熊貓燒香”病毒有多種傳播方式。病毒會(huì)連接惡意網(wǎng)址下載大量木馬病毒。 每隔一段時(shí)間會(huì)檢測(cè)自己破壞過的顯示文件、安全模式、 Ifeo、病毒文件等項(xiàng)，如被修改則重新破壞。病毒造成的危害及損失 10倍于“熊貓燒香”。 ? IceSword的注冊(cè)表管理功能，展開注冊(cè)表項(xiàng)到： ? [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]，刪除里面的 IFEO劫持項(xiàng)。 ? IceSword的文件管理功能，展開到 C:\Program Files\Common Files\Microsoft Shared\MSINFO\下，刪除 2個(gè) 8位隨機(jī)數(shù)字的文件，其擴(kuò)展名分別為： dat 和 dll 。以清除木馬下載器下載的其它病毒。禁止方法參考方案附件： ? 把 AV終結(jié)者專殺工具從正常的電腦復(fù)制到 U盤或移動(dòng)硬盤上，然后再復(fù)制到中毒的電腦上。 ? ，避免軟件安裝包被捆綁進(jìn)木馬病毒。鼠標(biāo)右擊菜單以及下拉菜單選項(xiàng)，會(huì)在 1到兩秒鐘時(shí)間后，自動(dòng)選擇最后一個(gè)選項(xiàng)，不過可以使用快捷方式組合。 ? 假如你想通過瀏覽器搜索有關(guān)病毒的關(guān)鍵字，瀏覽器窗口會(huì)自動(dòng)關(guān)閉。 ? 3. 不能正常顯示隱藏文件，其目的是更好的隱藏自身不被發(fā)現(xiàn)。 ? 用戶近期一定要注意 U盤使用安全，不要在可疑電腦上使用U盤，以免自 己的電腦受到傳染。最后，要限制 SAFEBOOT的讀寫權(quán)，達(dá)到限制“ AV終極者”修改或刪除 Drives， 保護(hù)安全模式正常運(yùn)行的目的。刪除其他分區(qū)中的病毒，注意不要雙擊進(jìn)入盤符，而要用右鍵點(diǎn)擊進(jìn)入。 ? 二、徹底清楚“ AV終結(jié)者” ? 運(yùn)行“任務(wù)管理器”，結(jié)束“ ”進(jìn)程，單擊“任務(wù)管理器的”文件菜單，選擇“新建任務(wù)”，輸入“ regedit”， 找到 HEKEYLOCALMACHINE\software\microsoft\windows\currentversion\explorer\advanced \folder\hidden\showall,將 Checkedvalue的的鍵值改為“ 1”。 病毒進(jìn)程的主要作用是監(jiān)視系統(tǒng)中的用戶操作， 例如你想手動(dòng)清楚病毒，修改注冊(cè)表，病毒沒隔一段時(shí)間就會(huì)把注冊(cè)表改回去，讓你百費(fèi)勁。 ? “映象劫持”會(huì)在注冊(cè)表的“ HKEYLOCALMACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Exeution Options”位置新建一個(gè)以殺毒軟件和安全工具程序名稱命名的項(xiàng)。 ? 針對(duì)殺毒軟件的攻擊，是“ AV終結(jié)者”的特點(diǎn)。 ? 一、什么是“ AV終結(jié)者” ? “ AV終結(jié)者”病毒運(yùn)行后會(huì)在系統(tǒng)中生成如下幾個(gè)文件：C:\program files\mon files\microsoft shared\msinfo\隨機(jī)生成病毒名 .dat、 C:\program files\mon files\microsoft shared\msinfo\隨機(jī)生成病毒名 .dll
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1