畢業(yè)設(shè)計(jì)計(jì)算機(jī)病毒的分析與防治doc(編輯修改稿)
2024-08-14 09:56 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 下載的安裝程序有問(wèn)題的話，極有可能是已經(jīng)中了磁碟機(jī)病毒。“磁碟機(jī)”（又名“千足蟲(chóng)”）病毒感染系統(tǒng)可執(zhí)行文件，能夠利用多種手段終止殺毒軟件運(yùn)行，并可導(dǎo)致被感染計(jì)算機(jī)系統(tǒng)出現(xiàn)藍(lán)屏、死機(jī)等現(xiàn)象，嚴(yán)重危害被感染計(jì)算機(jī)的系統(tǒng)和數(shù)據(jù)安全。與其它關(guān)閉殺毒軟件的病毒不同的是，該病毒利用了多達(dá)六種強(qiáng)制關(guān)閉殺毒軟件和干擾用戶查殺的反攻手段，許多自身保護(hù)能力不夠強(qiáng)壯的殺毒軟件在病毒面前紛紛被殺。，并每隔幾秒檢測(cè)文件是否存在，修改注冊(cè)表鍵值，破壞“顯示系統(tǒng)文件”功能。每隔一段時(shí)間會(huì)檢測(cè)自己破壞過(guò)的顯示文件、安全模式、Ifeo、病毒文件等項(xiàng)，如被修改則重新破壞。病毒執(zhí)行后，會(huì)刪除病毒主體文件。、如果假設(shè)不存在的話則重新生成。當(dāng)拷貝失敗后，病毒會(huì)刪除原來(lái)的文件，再重新寫入。病毒會(huì)連接惡意網(wǎng)址下載大量木馬病毒。該病毒運(yùn)行后會(huì)在系統(tǒng)目錄中COM目錄（默認(rèn)為c:\windows\system32\）。該病毒會(huì)感染除windows及program files以外目錄下所有的EXE格式可執(zhí)行文件，會(huì)造成用戶計(jì)算機(jī)運(yùn)算速度緩慢，甚至造成系統(tǒng)藍(lán)屏、死機(jī)。由于該病毒編寫存在一些問(wèn)題，可能會(huì)造成用戶安裝的軟件被損壞，無(wú)法使用。 特征磁碟機(jī)病毒是一個(gè)下載者病毒，會(huì)關(guān)閉一些安全工具和殺毒軟件并阻止其運(yùn)行，并會(huì)不斷檢測(cè)窗口來(lái)關(guān)閉一些殺毒軟件及安全輔助工具，破壞安全模式，刪除一些殺毒軟件和實(shí)時(shí)監(jiān)控的服務(wù)，遠(yuǎn)程注入到其它進(jìn)程來(lái)啟動(dòng)被結(jié)束進(jìn)程的病毒。 傳播性（1）在網(wǎng)站上掛馬：在用戶訪問(wèn)一些不安全的網(wǎng)站時(shí)，就會(huì)被植入病毒。這也是早期磁碟機(jī)最主要的傳播方式；（2）通過(guò)U盤等移動(dòng)存儲(chǔ)設(shè)備傳播：染毒的機(jī)器會(huì)在每個(gè)分區(qū)（包括可移動(dòng)存儲(chǔ)設(shè)備）。達(dá)到自動(dòng)運(yùn)行的目的；（3）局域網(wǎng)內(nèi)的ARP傳播方式：磁碟機(jī)病毒會(huì)下載其他的ARP病毒，并利用ARP病毒傳播的隱蔽性，在局域網(wǎng)內(nèi)傳播。值得注意的是：病毒之間相互利用，狼狽為奸已經(jīng)成為現(xiàn)在流行病的一個(gè)主要趨勢(shì)，利用其它病毒的特點(diǎn)彌補(bǔ)自身的不足。 隱蔽性（1）傳播的隱蔽性：從上面的描述可以看出，病毒在傳播過(guò)程中，所利用的技術(shù)手段都是用戶，甚至是殺毒軟件無(wú)法截獲的；（2）啟動(dòng)的隱蔽性：病毒不會(huì)主動(dòng)添加啟動(dòng)項(xiàng)（這是為了逃避系統(tǒng)診斷工具的檢測(cè)，也是其針對(duì)性的體現(xiàn)），而是通過(guò)重啟重命名方式把C:\下的****.log文件（.log是日志類型文件，****是一些不固定的數(shù)字）改名到“啟動(dòng)”文件夾。重啟重命名優(yōu)先于自啟動(dòng)，啟動(dòng)完成之后又將自己刪除或改名回去。已達(dá)到逃避安全工具檢測(cè)的目的，使得當(dāng)前大多數(shù)殺毒軟件無(wú)法有效避免病毒隨機(jī)啟動(dòng)。 針對(duì)性（1）關(guān)閉安全軟件：病毒設(shè)置全局鉤子，根據(jù)關(guān)鍵字關(guān)閉殺毒軟件和診斷工具。另外，病毒還能枚舉當(dāng)前進(jìn)程名，根據(jù)關(guān)鍵字Rav、avp、kv、kissvc、scan來(lái)結(jié)束進(jìn)程；（2）破壞文件的顯示方式：病毒修改注冊(cè)表，使得文件夾選項(xiàng)的隱藏屬性被修改，使得隱藏文件無(wú)法顯示，逃避被用戶手動(dòng)刪除的可能；（3）破壞安全模式：病毒會(huì)刪除注冊(cè)表中和安全模式相關(guān)的值，使得安全模式被破壞，無(wú)法進(jìn)入；為了避免安全模式被其他工具修復(fù)，病毒還會(huì)反復(fù)改寫注冊(cè)表；（4）破壞殺毒軟件的自保護(hù)：，并通過(guò)服務(wù)加載，使得很多殺毒軟件的監(jiān)控和主動(dòng)防御失效，目的達(dá)到后，病毒會(huì)將驅(qū)動(dòng)刪除，消除痕跡；（5）破壞安全組策略：病毒在計(jì)算機(jī)內(nèi)啟動(dòng)后就會(huì)馬上自動(dòng)刪除注冊(cè)表HKEY_LOCAL_MACHINE\SoftWare\Policies\ Microsoft\Windows\Safer鍵和子鍵，并會(huì)反復(fù)改寫；（6）自動(dòng)運(yùn)行：，是以獨(dú)占式打開(kāi)的，無(wú)法直接刪除；（7）阻止其他安全軟件隨機(jī)啟動(dòng)：病毒刪除注冊(cè)表整個(gè)RUN項(xiàng)和子鍵；（8）病毒自我保護(hù)： ，由于和系統(tǒng)進(jìn)程名相同（路徑不同），任務(wù)管理器無(wú)法將它們直接結(jié)束。病毒在檢測(cè)到這兩個(gè)進(jìn)程被關(guān)閉后，會(huì)立即再次啟動(dòng)；如果啟動(dòng)被阻止，病毒就會(huì)立即重啟系統(tǒng)。 危害（1）修改系統(tǒng)默認(rèn)加載的DLL 列表項(xiàng)來(lái)實(shí)現(xiàn)DLL 注入，通過(guò)遠(yuǎn)程進(jìn)程注入，并根據(jù)以下關(guān)鍵字關(guān)閉殺毒軟件和病毒診斷等工具；（2）修改注冊(cè)表破壞文件夾選項(xiàng)的隱藏屬性，使隱藏的文件無(wú)法被顯示；（3）自動(dòng)下載最新版本和其它的一些病毒木馬到本地運(yùn)行；（4）不斷刪除注冊(cè)表的關(guān)鍵鍵值來(lái)破壞安全模式和殺毒軟件和主動(dòng)防御的服務(wù)，使很多主動(dòng)防御軟件和實(shí)時(shí)監(jiān)控?zé)o法再被開(kāi)啟；（5）病毒并不主動(dòng)添加啟動(dòng)項(xiàng)，而是通過(guò)重啟重命名方式，這種方式自啟動(dòng)極為隱蔽，現(xiàn)有的安全工具很難檢測(cè)出來(lái)；（6）病毒會(huì)感染除SYSTEM32 目錄外其它目錄下的所有可執(zhí)行文件，并且會(huì)感染壓縮包內(nèi)的文件。 主要癥狀（1）系統(tǒng)運(yùn)行緩慢、頻繁出現(xiàn)死機(jī)、藍(lán)屏、報(bào)錯(cuò)等現(xiàn)象；（2） ，且病毒進(jìn)程的用戶名是當(dāng)前登陸用戶名（，且對(duì)應(yīng)用戶名為system，則是系統(tǒng)正常文件，請(qǐng)不用擔(dān)心）；（3）殺毒軟件被破壞，多種安全軟件無(wú)法打開(kāi)，安全站點(diǎn)無(wú)法訪問(wèn)；（4）系統(tǒng)時(shí)間被篡改，無(wú)法進(jìn)入安全模式，隱藏文件無(wú)法顯示；（5）；（6）會(huì)對(duì)局域網(wǎng)發(fā)起ARP攻擊，并篡改下載鏈接為病毒鏈接；（7）彈出釣魚(yú)網(wǎng)站。 傳播渠道（1）U盤/移動(dòng)硬盤/數(shù)碼存儲(chǔ)卡；（2）局域網(wǎng)ARP攻擊；（3）感染文件；（4）惡意網(wǎng)站下載；（5）其它木馬下載器下載。 解決方案磁碟機(jī)病毒和AV終結(jié)者、機(jī)器狗的表現(xiàn)很類似，技術(shù)上講磁碟機(jī)的抗殺能力更強(qiáng)。多種殺毒軟件無(wú)法攔截磁碟機(jī)的最新變種，在中毒之后，安裝殺毒軟件失敗的可能性很大。在某些沒(méi)有任何防御措施的電腦上，可能磁碟機(jī)專殺工具一運(yùn)行就會(huì)被刪除。據(jù)調(diào)查，這種情況是多種病毒混合入侵導(dǎo)致。在這種極端情況下，我們可以嘗試的殺毒方案有：（1）嘗試啟動(dòng)系統(tǒng)到安全模式或帶命令行的安全模式。具體辦法：重啟前，從其它正常電腦COPY已經(jīng)升級(jí)到最新的殺毒軟
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1