【精品】计算机病毒及其防范技术(第2版)课件-新型病毒

malwarebytesanti-malware是一个反恶意反软件，可以有效删除蠕虫、流氓、拨号程序、木马、rootkit、软件、漏洞、僵尸、和其他恶意软件。malwarebytes anti-malware 是一个反恶意反软件，可以有效删除蠕虫、流氓、拨号程序、木马、rootkit、软件、漏洞、僵尸、和其他恶意软件。传统的防病毒软件采用黑名单的方式封锁病毒及恶意软件，但即使每天更新病毒特征也赶不上每天层出不穷的恶意软件，亦无法防范由网络黑客链接至网络设备传送恶意软件或可携式的设备所带来的病毒因而造成设备安全的漏洞。

• 另外一种是针对个人用户的， 通过网络（主要是电子邮件、 恶意网页形式） 迅速传播的蠕虫病毒， 以爱虫病毒、 求职信病毒为代表。和普通病毒的区别：信息安全工程学院普通病毒蠕虫存在形式寄存文件独立程序传染机制宿主程序运行主动攻击传染目标本地文件网络计算机蠕虫病毒的特性第一， 利用漏洞主动进行攻击第二， 病毒制作技术新第三， 与黑客技术相结合， 潜在的威胁和损失更大第四， 传染方式多第五第五， 传播速度快传播速度快信息安全工程学院第六， 清除难度大第七， 破坏性强蠕虫病毒的机理蠕虫病毒由两部分组成： 一个主程序和另一个是引导程序。• 主程序收集与当前机器联网的其他机器的信息。 利用漏洞在远程机上建立引导程序。• 引导程序把“蠕虫” 病毒带入了它所感染的每一台机器中。器中。当前流行的病毒主要采用一些已公开漏洞、 脚本、电子邮件等机制进行传播。 例如， IRC, RPC 等漏洞。信息安全工程学院蠕虫病毒实例MSN蠕虫病毒1 . 基本特征：• 名称： IM-Worm.Win32.Webcam.a• 原始大小： 1 88,928字节缩形式信息安全工程学院• 压缩形式： PESpin• 编写语言： Microsoft Visual Basic 6.0• 文件名称： LMAO.pif， LOL.scr， naked_drunk.pif等。

2.行为分析：• （1 ） 蠕虫运行后， 将释放一个名为 CZ.EXE 文件到C盘根目录， 并将它拷贝到%system%目录下， 文件名为winhost.exe。 然后， 将文件属性设置为隐藏、 只读、 系统， 同时将该文件创建时间改成同系统文件日期一样， 进行欺骗迷惑。 同时蠕虫会在C盘跟目录随机生成一个文件， 扩展名为PIF或EXE等， 该文件用来向MSN好友传播。 此外， 病毒还会在%system%目录下生成msnus.exe， 该文件为蠕虫自身拷贝。信息安全工程学院（2） 将自身加入到注册表启动项目保证自身在系统重启动后被加载：• 位置： Software\Microsoft\Windows\CurrentVersion\Run• 键名： win32• 键值： winhost.exe位置• 位置：Software\Microsoft\Windows\CurrentVersion\RunServices• 键名： win32• 键值：winhost.exe信息安全工程学院（3） 蠕虫病毒会在C盘根目录生成一个图片文件， 名字为sexy.jpg， 并调用jpg关联程序打开该图片。

一般情况下， 会用IE打开该图片， 打开后效果如下图。（4） 开启本地 TCP1 0xx端口，频繁连接目标：1 0.0.1 .1 28:8080， 接受黑客控制制。（5） 查找MSN窗口， 如果存在，则向好友列表中发送消息传播自身。信息安全工程学院3. 防范方案：• （1 ） 手工清除。 按照上面的行为分析， 终止并删除相关进程文件， 修复注册表。• （2） 用户可以避免接收MSN上发来的陌生附件， 包括扩展名为EXE或SCR等的附件， 来预防该蠕虫。括扩展名为EXE或SCR等的附件， 来预防该蠕虫。信息安全工程学院如何防范蠕虫预防第一工具保护定期扫描你的系统更新你的防病毒软件信息安全工程学院不要轻易执行附件中的EXE和COM等可执行程序不要轻易打开附件中的文档文件不要直接运行附件邮件程序设置谨用预览功能卸载Scripting Host信息安全工程学院警惕发送出去的邮件基于U盘传播的蠕虫病毒实验（实验十二）【实验目的】理解U盘蠕虫病毒的传染原理。【实验环境】VMWare Workstation 5.5.3信息安全工程学院Windows XP sp2【病毒原理】U盘病毒通常都是通过给u盘创建autorun.inf文件， 利用Windows系统的自动播放功能来触发病毒程序， 从而达到传染和破坏的目的。

Autorun.inf文件可以通过以下命令来运行病毒程序Open=Virus.exe指定设备启用时运行Virus.exe。ShellExecute=Virus.exe设备启用时执行文件Virus.exe。Shell\XXX\command=Virus.exe当用户在右键菜单中点击XXX时， 运行Virus.exe信息安全工程学院实验步骤1 ． 实验素材： 在附书资源目录experments\wormu下。2． 检查干净的电脑各分区的是否存在autorun.inf和病毒文件virus.exe（需要设置毒文件virus.exe（需要设置显示隐藏文件和系统文件等选项） 。3． 插入含有病毒的U盘， U盘的右键菜单出现“auto”后，双击u盘， 观察现在各分区的情况（如图） 。信息安全工程学院4． 查看autorun.inf文件内容。 其内容如下：[AutoRun]open=uvirus.exeshellexecute=uvirus.exe信息安全工程学院shell\auto\command=uvirus.exe5． 观察病毒触发后的效果。 如图所示。信息安全工程学院6． 插入干净的U盘， 观察U盘是否被感染。

现如今，渣滓邮件的威逼曾经被人们所熟知，以是如今大多数人都曾经晓得电子邮件的附件里可以或者有一些居心不良的器械，不外漏洞破绽bug应用对象可以或者不像渣滓邮件那样被人们熟知。该钓鱼邮件的附件含有“invoice.rtf”字样，利用漏洞cve-2017-0199进行有害样本下载，最后落地的可执行文件再下载其他有害文件，进而修改host文件，修改浏览器主页，上传文件到服务器计算机病毒与防范技术，结束本机进程。病毒要向传播必须将自身复制借由其他邮件或本身发送出去，outlook传播的病毒基本上都是由vbscript编写的，其自我复制的原理基本上是利用程序将本身的脚本内容复制一份到一个临时文件，然后再在传播的环节将其作为附件发送出去。

病毒要向传播必须将自身复制借由其他邮件或本身发送出去，outlook传播的病毒基本上都是由vbscript编写的，其自我复制的原理基本上是利用程序将本身的脚本内容复制一份到一个临时文件，然后再在传播的环节将其作为附件发送出去。nimda蠕虫病毒介绍该病毒会通过email传播，当用户邮件的正文为空，似乎没有附件，实际上邮件中嵌入了病毒的执行代码，当用户用outlook、outlookexpress（没有安装微软的补丁包的情况下）收邮件，在预览邮件时，病毒就已经不知不觉中执行了。使用过u盘的朋友都知道u盘病毒是一种autu盘un自运行硬盘,当双击时触发病毒体,会复制自身到cde和系统盘system32下等盘符,(生成exe文件和一个autorun.inf文件),同时修改注册表,当点击c盘等盘符右键时,会有一个auto命令(黑色粗体)或者是两个开始命令,本人学习vbs才15天,我也来模拟下这个autorun病毒和部分熊猫烧香功能,本人能力有限,只能模拟这样的病毒了,声明,本人模拟这个病毒,全是为了学习和技术，切忌不要搞破坏，如果有人用本人代码破坏,后果自负onerrorresumenext。

dim wscr,rr set wscr=CreateObject("WScript.Shell") rr=wscr.RegRead("HKEY_CURRENT_USER\Software\Microsoft\Windows Scripting Host\Settings\Timeout") if (rr>=1 ) then wscr.RegWrite "HKEY CURRENT USER\Software\Microsoft\WindowsHKEY_CURRENT_USER\Software\Microsoft\WindowsScripting Host\Settings\Timeout",0,"REG_DWORD" end if 信息安全工程学院’ 修改注册表， 使得每次系统启动时自动执行脚本regcreate "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\MSKernel32",dirsystem&"\MSKernel32.vbs" regcreate "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\Win32DLL" dirwin&"\Wins\CurrentVersion\RunServices\Win32DLL",dirwin&"\Win32DLL.vbs" ‘MSKernel32.vbs和Win32DLL.vbs是病毒脚本的一个副本信息安全工程学院破坏性语句打开磁盘格式化窗口•Set obj = Wscript.CreateObject(“Wscript.Shell”)•Obj.Run “rundll32.exe shell32.dll, SHFormatDrive”打开Windows关闭窗口•Set obj = Wscript.CreateObject(“Wscript.Application” )•Obj.ShutdownWindows删除当前删除当前目录中所有的.exe文件•Set obj = Wscript.CreateObject(“Wscript.Shell”)录中所有的文件信息安全工程学院•Obj.Run(“Command.com /C DEL *.EXE, 0, False”)写注册表(写入字符串“TestValue”)•Set obj = Wscript.CreateObject(“Wscript.Shell”)•Obj.RegWrite “HKey_Local_Machine\Software\Microsoft”, “TestValue”电子邮件型病毒预防第一， 不要轻易打开陌生人来信中的附件文件。

注意手动清病毒时请取消系统文件的隐藏、已知扩展名的隐藏、显示隐藏文件。正常的qq是不包含lpk.dll这个文件的，可能你是中了usp10.dll犇牛病毒/lpk.dll木马清理办法：方法一、首先打开"我的电脑"选择菜单栏里的"工具"下的"文件夹选项"选择"隐藏受保护的操作系统文件"和"显示所有文件和文件夹",这样做是因为这个usp10.dll病毒把自身修改为系统文件和隐藏文件,这样做后就可以看到usp10.dll病毒文件了.usp10.dll病毒会感染系统里所有exe文件,并切把自身复制到被感染的exe文件的当前目录, 所以因该到安全模式去删除病毒,在安全模式下,病毒还是会驻留在某些系统进程里,这里不用害怕,我们来一步步消灭这可恶的病毒,"开始菜单"选择"搜索"再选择"文件或文件夹"在"全部或部分文件名"里写上"usp10.dll",然后直接点"搜索",系统会搜索出所有盘符下的usp10.dll病毒出来,注意路径,c:\windows\system32\usp10.dll和c:\windows\system32\dllcache\usp10.dll的不是病毒,其他的都是,等把所有usp10.dll搜索出来后,就删除,c:\windows\usp10.dll可能一时删不了,别怕,这个也是病毒,只是还有进程在使用他,我们可以先给他改个名字,重命名一下,只要不是usp10.dll就可以,然后重新启动,再回到c:\windows\把你刚改的名字的病毒删掉就可以了.方法二、进到安全模式下，记住不要点击任何目录下的可运行程序，然后按照下面的步骤：1 “工具”--“文件夹选项”--“查看”--把“隐藏受保护的操作系统文件的对勾去掉”关闭以及选择“显示所有文件和文件夹”，这时你会看见很多目录下都有usp10.dll大小为8k。病毒原因，如果u盘中了病毒，这种病毒它不断地把你的exe文件加个后缀，并把属性改为”隐藏“和“系统文件”，同时生成与被感染文件同名的病毒文件，所以染毒后，你真正的文件是看不到的，而你所点的确是病毒文件。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-103867-1.html