第4章 计算机病毒

2015-1-11
15
第4章 计算机病毒
蠕虫造成的损失对照表
病毒名称 持续时间 造成损失
莫里斯蠕虫 (MORRIS) 爱虫病毒 (ILOVEYOU)
红色代码(Code Red) 求职信 SQL蠕虫王 冲击波(Blaster)
1988年
2000年5月至今 2001年7月 2001年12月 2003年1月 2003年
第4章 计算机病毒
第四章 计算机病毒
• 4.1 概述 • 4.2 计算机病毒的特征及分类
• 4.3常见的病毒类型
• 4.4计算机病毒制作与反病毒技术
第4章 计算机病毒
4.1 概述
• 带有恶意目的的破坏程序,称为恶意代码。
• 计算机病毒属于恶意代码的一种;
• 在广义上，计算机病毒就是各种恶意代码的 统称。
a．显示为图片文件
b. 实际上为执行文件
2015-1-11
22
第4章 计算机病毒
• 木马程序举例 • 冰河木马
– 冰河木马包括两个可运行程序，服务器端程序G-server.exe和客 户端程序G-client.exe，默认连接端口为7626。一旦运行G-server， 那么该程序就会在C:\Windows\System目录下生成Kernel32.exe 和Sysexplr.exe，并删除自身。Kernel32.exe在系统启动时自动加 载运行，Sysexplr.exe和TXT文件关联。即使删除了Kernel32.exe， 但只要打开TXT文件，Sysexplr.exe就会被激活，它将再次生成 Kernel32.exe，因此手工删除很难删除干净，必须使用专用的查 杀工具对其进行查杀。
2015-1-11
17
第4章 计算机病毒
4.3.2 蠕虫与木马
网络蠕虫传播模型 • 分为3个阶段
– 慢速发展阶段，漏洞被蠕虫设计者发现，并利用漏洞设计蠕虫发 布于互联网，大部分用户还没有通过服务器下载补丁，网络蠕虫 只是感染了少量的网络中的主机。 – 快速发展阶段，如果每个感染蠕虫的可以扫描并感染的主机数为 W，n为感染的次数，那么感染主机数扩展速度为Wn，感染蠕虫 的机器成指数幂急剧增长。 – 缓慢消失阶段，随着网络蠕虫的爆发和流行，人们通过分析蠕虫 的传播机制，采取一定措施及时更新补丁包，并采取措删除本机 存在的蠕虫，感染蠕虫数量开始缓慢减少。
•按病毒破坏性分类
– 良性病毒 – 恶性病毒
第4章 计算机病毒
4.2 计算机病毒的特征及分类
•按计算机病毒的链接方式分类
– 源码型病毒 – 嵌入型病毒 – 外壳型病毒
– 译码型病毒（宏病毒、脚本病毒）
– 操作系统型病毒
•按病毒攻击的操作系统分类
– DOS病毒 – Windows病毒 – 其它系统病毒
第4章 计算机病毒
4.3.2 蠕虫与木马
• 蠕虫
– 通过网络传播的恶意代码，具有传染性、隐蔽性、 破坏性等病毒所拥有的特点。与文件型病毒和引 导性病毒不同，蠕虫不利用文件寄生，也不感染 引导区，蠕虫的感染目标是网络中的所有计算机。
第4章 计算机病毒
4.3.2 蠕虫与木马
蠕虫的主要特点：
• (1) 主动攻击。蠕虫在本质上已变为黑客入侵的工具，从漏洞扫描到 攻击系统，再到复制副本，整个过程全部由蠕虫自身主动完成。 • (2) 传播方式多样。包括文件、电子邮件、Web服务器、网页和网络共 享等。 • (3) 制作技术不同于传统的病毒。许多蠕虫病毒是利用当前最新的编 程语言和编程技术来实现的，容易修改以产生新的变种。
第4章 计算机病毒
4.1 概述
计算机病毒的发展
• 1988年，Morris发明蠕虫病毒 • 1991年，病毒用于海湾战争实战
• 1996年，针对微软Office的宏病毒
• 1997年，被称为“宏病毒年”
• 1998年，CIH病毒（针对windows95/98）
• 2001年，红色代码（专门攻击服务器） • 2003年，蠕虫王在亚洲、美洲、澳洲传播
•按病毒的攻击类型分类 （攻击微型机、小型机、工作站）
第4章 计算机病毒
4.3 常见病毒类型
• 引导型病毒
–专门感染磁盘引导扇区或硬盘主引导区。 –按其寄生对象可分为：
• MBR（主引导区）病毒
• BR（引导区）病毒。
–引导型病毒一般通过修改int 13h中断向量将病毒传染 给软盘，而新的int 13h中断向量地址指向内存高端的 病毒程序。 –引导型病毒的寄生对象相对固定。
6000多台计算机感染，占但是互联网的10%，直接经 济损失达一千多万美元
众多用户计算机被感染，损失超过100亿美元 100多万台计算机感染，直接经济损失超过26亿美元 大量病毒邮件堵塞服务器，损失达数百亿美元 网络大面积瘫痪，银行自动提款机运做中断，直接经 济损失超过26亿美元 20亿~100亿美元，受到感染的计算机不计其数
• （3）通过软件下载网站传播。有些网站可能会被攻击者利用，将木马 捆绑在软件上，用户下载软件后如果没有进行安全检查就进行安装，木 马就会驻留内存。
• （4）通过病毒和蠕虫传播。某些病毒和蠕虫本身就具备木马的功能， 或可能成为木马的宿主而传播木马。 • （5）通过带木马的磁盘/光盘传播。
第4章 计算机病毒
第4章 计算机病毒
4.3.2 蠕虫与木马
木马的传播方式：
• （1）以邮件附件的形式传播。控制端将木马程序伪装后，捆绑在小游 戏上，或者将木马程序的图标直接修改为html,txt,jpg等文件的图标， 然后将该木马程序添加到附件中，发送给收件人。 • （2）通过聊天软件的文件发送功能。利用聊天对话的过程中，利用文 件传送功能发送伪装后的木马程序给对方。
• (4) 行踪隐蔽。蠕虫在传播过程中不需要像传统病毒那样要用户的辅 助工作，所以在蠕虫传播的过程中，用户很难察觉。
• (5) 反复性。如果没有修复系统漏洞，重新接入到网络的计算机仍然 有被重新感染的危险。
第4章 计算机病毒
4.3.2 蠕虫与木马
蠕虫的主要危害：
– 造成网络拥塞。在传播的过程中，蠕虫需要判断其它计算机是否 存活；判断特定应用服务是否存在；判断漏洞是否存在等等，这 将产生大量的网络数据流量。同时出于攻击网络的需要，蠕虫也 可以产生大量恶意流量，当大量的机器感染蠕虫时，就会产生巨 大的网络流量，导致整个网络瘫痪。 – 消耗系统资源。蠕虫入侵到计算机系统之后，一方面由于要搜索 目标主机、漏洞、感染其它主机需要消耗一定的资源；另一方面， 许多蠕虫会恶意耗费系统的资源。 – 留下安全隐患。大部分蠕虫会搜集、扩散、暴露系统敏感信息 （如用户信息等），并在系统中留下后门。 – 破坏性：越来越多的蠕虫开始包含恶意代码，破坏被攻击的计算 机系统，而且造成的经济损失数目越来越大，见下表。
2．传染模块
– （1）传染控制部分。病毒一般都有一个控制条件，一旦满足这个条件就开 始感染。例如，病毒先判断某个文件是否是 .EXE 文件，如果是再进行传 染，否则再寻找下一个文件；
第4章 计算机病毒
4.4计算机病毒制作与反病毒技术
• 4.4.1计算机病毒的一般构成 • 4.4.2 计算机病毒制作技术 • 4.4.3 病毒的检测与查杀
第4章 计算机病毒
4.4.1计算机病毒的一般构成
1．安装模块
– 病毒程序通过自身的程序实现自启动并安装到系统中，不同类型病毒程序 用不同安装方法。
第4章 计算机病毒
4.3.1 引导型与文件型病毒
• 文件型病毒
– 通过文件系统进行感染的病毒统称文件型病毒。
• COM文件病毒。
– 将自身代码添加在com文件前面或附加在尾部。
• EXE文件病毒。
– 将自身代码添加在宿主程序中，通过修改指令指针的方式， 指向病毒起始位置来获取控制权。
• PE病毒
– 当前产生重大影响的病毒类型，如“CIH”、“尼姆达”、 “求职信”、“中国黑客”等。这类病毒主要感染 Windows系统中的PE文件格式文件(如EXE, SCR, DLL等) 。
计算机病毒的发展
• 1949年冯· 诺伊曼，在论文《复杂自动装置的理论及组织的进 行》里给出了计算机病毒的雏形。 • 1977年，美国著名的贝尔实验室设计磁芯大战（Core War） 的游戏，第一步将计算机病毒感染性的概念体现出来 • 1987年，第一个具备完整特征的计算机病毒出现。病毒CBRAIN,由一对巴基斯坦兄弟：Basit和Amjad所写。目的是防 止他们的软件被任意盗拷。只要有人盗拷他们的软件，CBRAIN就会发作，将盗拷者的硬盘剩余空间给吃掉。
第4章 计算机病毒
4.1 概述
• 在《中华人民共和国计算机信息系统安全保护条 例》中计算机病毒被定义为：
– “编制或在计算机程序中插入的破坏计算机功能或者破 坏数据，影响计算机使用并且能够自我复制的一组计算 机指令或者程序代码”。
• 计算机病毒是一个程序，一段可执行代码。
第4章 计算机病毒
4.1 概述
4.3.2 蠕虫与木马
• 木马实际上是一个C/S结构的程序： 服务端程序+客户端程序。 • 以冰河程序为例，被控制端可视为一台服务器运 行G_Server.exe服务程序，而控制端是一台客户 机安装了G_Client.exe控制程序。客户端向服务 端的端口提出连接请求，服务段的相应程序就会 自动运行，响应客户端的请求。
4.2 计算机病毒的特征及分类
计算机病毒特征
1. 传染性
2. 破坏性
3. 隐蔽性 4. 寄生性

计算机病毒 的基本特征
5. 可触发性
第4章 计算机病毒
4.2 计算机病毒的特征及分类
•按病毒寄生方式分类
– 网络病毒 – 文件病毒 – 引导型病毒 – 混合型病毒
•按传播媒介分类
– 单机病毒
– 网络病毒
2015-1-11