卡巴斯基实验室(中国)反病毒培训病毒防护与分析

2020/9/18
什么是恶意程序?
未知的或恶意的程序或代码
2020/9/18
病毒的历史与发展
• 1959年，贝尔实验室道格拉斯.麦耀莱、维特 .维索斯基和罗伯.莫里斯——“磁芯大战” 。
• 1983年11月3日，第一个病毒实验成功。 • 1988年11月2号，康乃尔 大学研究生罗伯特·
莫里斯的蠕虫病毒造成互联网瘫痪。 • 1988 年底，在我国的国家统计部门发现小球
❖ 病毒(Virus) ❖ 木马(Trojan) ❖ 蠕虫(Worm) ❖ 玩笑程序(Joke) ❖病毒生成器(droppers)
2020/9/18
恶意程序能做什么?
➢ 攻击硬盘主引导区、FAT表、文件目录等 ➢ 删除或者破坏文件 ➢ 抢占系统和CPU资源使运行效率降低 ➢ 传染给其他计算机或文件 ➢ 危害计算机及网络的安全 ➢ 破坏屏幕正常显示，干扰用户操作 ➢ 攻击喇叭、打印机等 ➢ 破坏主板上的BIOS内容，计算机无法工作 ➢ 。。。。。。
3 通过电子邮件大量传播
—造成的损害程度呈指数级迅速增加
2020/9/18
成为全球第一大病毒需要多 少时间？
成为全球第一大病毒需要多少时间？
1990
Form
3年
1995
Word.Concept 4个月
1999
Mellisa 梅利莎 4 天
2000
Loveletter 爱虫 4 小时
2001
CodeRed 红色代 1小时
• 传染性 • 隐蔽性 • 潜伏性 • 破坏性 • 非授权性 • 不可预见性
2020/9/18
病毒和恶意程序的传播途径?
磁盘到磁盘 程序到程序 文档到文档 INTERNET和EMAIL
局域网
2020/9/18
Email—病毒传播的主要途径
100%
80% 60% 40% 20%
Email Diskette Download Other
打开染毒的Excel 电子表
格表时，会在\Microsoft Office\Office\XLStart
XLStart
目录
目录中产生一个 excel 启动文件
文件
每次打开有宏病 毒的电子表格时 ，就能感染每个 打开的电子表格
EXCEL电子表格
Excel宏病毒
EXCEL电子表格
Excel宏病毒
2020/9/18
▪ 对邮件服务器进行监控，防止带毒邮件进行传播！ ▪ 对局域网用户进行安全培训。 ▪ 建立局域网内部的升级系统，包括各种操作系统的补丁
升级，各种常用的应用软件升级，各种杀毒软件病毒库 的升级 ▪ 及时给系统打补丁 ▪ 去掉服务器中不必要的共享和服务 ▪ 安装优秀的网络版杀毒软件 ▪ 按每个局域网的防病毒要求，建立局域网防病毒控制系 统，分别设置有针对性的防病毒策略
2020/9/18
病毒产生的原因
• 1、一些计算机爱好者的好奇或兴趣。 • 2、产生于个别人的报复心理。 • 3、来源于软件加密。 • 4、产生于游戏。 • 5、用于研究或实验而设计的“有用”程序
，由于某种原因失去控制而扩散出来。 • 6、由于政治、经济和军事等特殊目的。
2020/9/18
病毒的特性
病毒。
2020/9/18
病毒的发展阶段
• DOS引导阶段 （1987年，小球、石头）。 • DOS可执行阶段 （1989年, 耶路撒冷、星期天
） • 伴随型阶段（1992年, “金蝉”病毒） • 幽灵,多形阶段（1994年,ONE_half） • 生成器,变体机阶段（1995年，VCL） • 网络,蠕虫阶段 （1995年,nimda） • 视窗阶段 （1996年,Funlove） • 宏病毒阶段 (1996年，mellisa) • 互联网、JAVA、邮件炸弹阶段 (1997年）
2020/9/18
预防宏病毒
5、在Normal.dot模板文件中创建一个自己的 宏(AutoExce)，具体代码为：
Macro viruses in other file types
2020/9/18
宏病毒的识别
➢ OFFICE文档文件变大
➢ 在Normal.dot模板中有AutoOpen，AutoNew， AutoClose等以Auto开头的自动宏以及FileSave， FileSaveAs，FileExit等文件操作宏及一些怪名字的宏， 如AAAzao,payload等，可能感染了。
2020/9/18
宏病毒
2020/9/18
WORD宏病毒
ห้องสมุดไป่ตู้
若在Word中打开染 毒文件，病毒会将 其宏代码复制到通 用模板normal.dot
通用模板 通用模板
通用模板中的宏 病毒，将病毒复 制到其他打开的 文件中
WORD 正文 WORD 宏病毒
WORD 正文 WORD 宏病毒
2020/9/18
EXCEL宏病毒
2020/9/18
文件型病毒清除的注意事项
➢1．文件型病毒都驻留内存，所以清除文件型病毒 最好在DOS下操作，如果是NTFS的硬盘分区结构， 则也最好在安全模式下杀毒。或者使用能支持NTFS 分区的急救盘。或者把带毒盘作为从盘。 ➢2、杀毒的时候一定要断掉网络连接（拔掉网线）， 特别是在局域网中，一定要把所有计算机上的病毒 全都查杀干净以后才可以联网。如果是局域网用户， 可以考虑购买企业版（网络版）的杀毒软件进行管 理。
2020/9/18
DOS 病毒
➢文件体积增大
➢ 常规内存减少
Free
Free
Used UUsseedd
➢ 计算机系统变慢
2020/9/18
Windows 病毒
2020/9/18
Windows 病毒
通常感染以下文件类型: ➢ 应用程序和可执行文件 [NE, PE] (*.EXE)
➢ 设备驱动程序 [LE, PE] (*.DLL, *.DRV, *.VXD) ➢ 其他可执行代码 (*.SCR, *.HLP, *.OCX)
无需选择杀毒软件 • 已经在内部网和外网连接处安装了网关型杀毒软
件，因此，在内部网中就不需要再安装杀毒软件 了 • 忽视对Unix和Linux系统的病毒防范 • 重“杀”不重“防”
2020/9/18
局域网如何有效地防止网络病毒
▪ 在因特网接入口处安装防火墙及网关防杀计算机病毒产 品，将病毒隔离在局域网之外。
病毒防护与分析
2020/9/18
索引
1. 病毒有关术语和简单描述 2. 网络型病毒的特点及预防 3. 引导区病毒的预防与清除 4. 文件型病毒的预防与清除 5. 宏病毒的预防与清除 6. 木马及脚本型病毒的预防与清除 7. 计算机安全防护技巧
2020/9/18
什么是计算机病毒?
计算机病毒，是指编制或者在计算机 程序中插入的破坏计算机功能或者毁坏 数据，影响计算机使用，并能自我复制 的一组计算机指令或者程序代码。
Select BIOS Features Setup
2020/9/18
Enable boot virus warning
引导区病毒的清除
➢ 使用干净的引导盘启动系统，然后用能 清除引导区病毒的杀毒软件清除。 ➢使用命令FDISK /MBR
2020/9/18
DOS 病毒
2020/9/18
2020/9/18
宏病毒防护
2、在OFFICE2000中启用宏病毒防护 工具—》宏—》安全性 ，选择“中”以 上
2020/9/18
预防宏病毒
3、当出现提示的时候禁用宏
For MS Office 95 and 97
For MS Office 2000
2020/9/18
预防宏病毒
4、提示保存NORMAL模板 工具—》选项—》保存
2020/9/18
病毒的分类
❖ Boot 引导区病毒（BOOT） ❖ DOS 病毒（BAT） ❖ Windows 病毒（W32,PE） ❖ macro 宏病毒（W97M，X97M） ❖ Script 脚本病毒（VBS，JS） ❖ Java 病毒（JAVA）
2020/9/18
恶意程序(Malware)的分类
0.15
0.2 0.11 0.13 0.04
计算机病毒发展趋势
在现今的网络时代，病毒的发展呈现出以下趋势：
1 感染行为象病毒
— 长驻在计算机系统内存中，伺机感染宿主程序 — 感染方式越来越复杂，使侦测更加困难
2 攻击行为象黑客
— 拒绝服务攻击（Denial of Service (Dos)） — 利用OS、IIS、IE等漏洞远程攻击或控制用户系统
2020/9/18
文件型病毒清除的注意事项
➢3、由于文件型病毒都是要对宿主文件（也就是要 被感染的文件）进行修改，造成一些文件无法运行 或系统的不稳定，出现的这些症状即使使用杀毒软 件把病毒清除干净了也没法修复。这时你只能用以 前的备份文件替换掉损坏的文件。 ➢4、不要使用网页在线杀毒。这种方法充其量只能 查出计算机上是否感染流行的病毒，而不能实际的 进行清除病毒。
2020/9/18
文件型病毒的预防
➢1． 安装最新版本的，有实时监控功能的防毒软件， 并及时升级病毒库。 ➢2． 对来历不明的软件（特别是从网上下载的软件） 要先查毒确保没有病毒后再运行。 ➢3． 由于文件型病毒会对一些文件造成破坏，所以 平时要注意对数据的备份，重要的数据要备份到移 动存储器或刻录到光盘上。
码
2001
Nimda 尼姆达 15 分钟
2020/9/18
网络病毒的传播方式
2020/9/18
网络病毒的特点
▪ 传播速度快 ▪ 扩散面广 ▪ 难于彻底清除 ▪ 传播的形式复杂多样 ▪ 破坏性大
2020/9/18