常见病毒类型和反病毒软件分析

讲师: 曾启杰

（广东工业大学管理学院，广州510520）

摘要: 本文主要介绍常见的病毒类型并分析防病毒软件

关键字: 病毒杀毒软件

经过几周的网络安全技术，尽管我还没有掌握杀毒和保护计算机的技术，但我参与了教师第一和第二堂课的计算机病毒的产生，开发和危害. 大致了解. 本文从计算机病毒的产生，定义，特征，生命周期，类型和防病毒软件等方面对计算机病毒进行分析.

首先，常见的病毒类型

1代病毒

该病毒并非来自突然或意外原因. 该病毒来自意外事件. 当时，为了计算当时Internet上的人数，它“繁殖”了自己，并导致整个服务器崩溃和阻塞. 有时会突然断电和意外错误，将在计算机的磁盘和内存中生成一些乱码和随机指令，但是这些代码是混乱无序的，该病毒是一种更加完善，精致和严格的代码，并按严格的顺序组织，并且系统网络环境适应与协作. 该病毒不会偶然形成，并且需要具有一定的长度. 基本长度不可能由随机代码生成.

2病毒的定义

计算机病毒是程序，一段可执行代码. 它破坏了计算机的正常使用，使计算机无法使用，甚至损坏了整个操作系统或硬盘. 像生物病毒一样，计算机病毒具有独特的复制功能. 计算机病毒可以迅速传播，并且通常难以根除. 它们可以将自己附加到各种类型的文件上，并且当文件从一个用户复制或转移到另一个用户（例如通过邮件或文件下载）时，它们会随文件一起传播. 这种程序不是独立存在的，而是隐藏在其他具有破坏性，传染性和潜伏性的可执行程序中. 如果影响机器的运行速度，则机器将无法正常运行. 如果机器瘫痪，将给用户造成不可估量的损失. 这种破坏性程序通常称为计算机病毒.

计算机病毒在《中华人民共和国计算机信息系统安全和保护条例》中有明确定义. 病毒是指一组“插入破坏计算机功能或破坏数据，影响计算机使用并可以自我复制的计算机指令或程序代码的计算机程序的仪器”. 在一般的教科书和一般材料中，其定义为: 使用计算机软件和硬件缺陷或操作系统漏洞来破坏计算机数据并影响计算机正常运行的指令集或程序代码.

该病毒的3个基本特征和生命周期

1. 它必须能够自动执行. 计算机病毒通常将自己的代码放在另一个程序的执行路径中. 当用户启动该程序时，该病毒程序将自动获得控制权.

2. 它必须能够复制自己. 例如，它可以将其他可执行文件替换为被病毒感染的文件的副本. 病毒可以感染台式计算机和网络服务器.

除具有自动执行和复制功能外，某些计算机病毒还具有其他一些共同特征: 受感染的程序可以传递病毒载体. 当您看到病毒载体仅出现在文本和图像上时，它们可能破坏了文件，格式化了硬盘驱动器或导致了其他类型的灾难. 如果该病毒不是受感染程序的寄生虫，它仍然会占用存储空间并降低计算机的整体功能，从而给用户带来麻烦.

4个病毒的生命周期

计算机病毒的完整工作过程应包括以下4个链接.

1）潜伏期: 此阶段的病毒处于休眠状态. 这些病毒最终将通过事件被激活. 例如，日期，另一个程序或文件的存在或磁盘的容量超过某个限制. 并非所有病毒都有这个时期.

2）传播阶段: 病毒将自身的相同副本放入磁盘上的其他程序或特定系统区域. 每个受感染的程序都将包含该病毒的副本，并且该病毒本身已进入繁殖阶段.

3）触发阶段: 病毒被激活以执行其想要实现的功能. 像等待时间一样，触发阶段可能是由不同的系统事件引起的，包括病毒自我复制的次数.

4）执行阶段: 实现功能. 此功能可能是无害的，例如，在屏幕上显示消息. 或破坏性的数据文件.

5种病毒

1. 按病毒划分的介质: 根据病毒的介质，病毒可以分为网络病毒，文件病毒和启动病毒. 网络病毒会通过计算机网络在网络中传播可执行文件，文件病毒会感染计算机中的文件（例如: COM，EXE，DOC等），引导病毒会感染计算机的引导扇区（Boot）和系统引导扇区硬盘（MBR），这三种情况存在混合类型，例如: 多种类型的病毒（文件和引导类型）感染文件和引导扇区这两个目标，此类病毒通常具有复杂的算法，它们使用非常规方法侵入该系统，使用加密和变形算法.

2. 根据病毒感染的方法: 根据病毒感染的方法，可分为驻留病毒和非驻留病毒. 驻留病毒感染计算机后，其内存的驻留部分将放置在内存（RAM）中. 该程序的这一部分挂接系统调用，并将其合并到操作系统中. 它处于活动状态，直到关闭或重新启动. 非居民病毒有机会激活时不会感染计算机内存. 它只有一小部分，但不会通过这部分传输. 这种病毒也被归类为非居民病毒.

3. 根据病毒破坏的能力:

无害类型: 除了减少感染期间的可用磁盘空间外，它对系统没有其他影响.

无害: 这种病毒只会减少内存，显示图像，发出声音和发出类似声音.

危险: 这些病毒在计算机系统的操作中引起严重错误.

非常危险: 这种病毒会删除程序，破坏数据并清除系统内存区域和操作系统中的重要信息. 这些病毒对系统造成的危害不是它们自己的算法中存在危险的调用，而是当它们被感染时，它们将导致不可预知的灾难性破坏. 由其他程序引起的病毒引起的错误也可能损坏文件和扇区，并且这些病毒还根据引起破坏的能力进行了划分. 当前一些无害的病毒也可能会损坏DOS，Windows和其他操作系统的新版本. 例如: 在早期的病毒中，有一种“ Denzuk”病毒可以在360K磁盘上很好地运行而不会造成任何损坏，但可能会在以后的高密度软盘上造成很多数据丢失.

4. 根据病毒算法:

伴侣病毒计算机病毒的分类有几种，这种类型的病毒不会更改文件本身，它们会根据算法生成具有相同名称和不同扩展名（COM）的EXE文件的附带主体，例如: XCOPY的附带主体.EXE是XCOPY -COM. 该病毒会将自身写入COM文件，并且不会更改EXE文件. 在DOS加载文件时，首先执行协同程序，然后协同程序加载并执行原始EXE文件.

“蠕虫”病毒通过计算机网络传播，不会更改文件和数据信息，而是使用网络从一台计算机的内存传播到另一台计算机的内存，计算网络地址并发送自己的通过网络病毒. 有时它们存在于系统中，并且通常不占用内存以外的其他资源.

除了伴随和“蠕虫”类型，其他病毒也可以称为寄生病毒. 它们连接到系统的引导扇区或文件，并通过系统的功能传播. 它们可以根据其算法进行划分. : 练习病毒. 病毒本身包含错误，无法很好地传播. 例如，某些病毒正处于调试阶段.

复杂的病毒通常不会直接修改DOS中断和扇区数据，而是通过设备技术和文件缓冲区在内部对其进行修改. 看到资源并使用更先进的技术并不容易. 使用DOS的空闲数据区域即可工作.

变种病毒（也称为重影病毒）使用复杂的算法来使每个副本具有不同的内容和长度. 他们的一般方法是将解码算法与无关指令和经过修改的病毒体混合在一起.

此外，对于重要的病毒类型，有以下分类方法.

1. 寄生病毒: 传统的且仍是最常见的病毒形式. 寄生病毒将自身附加到可执行文件上，并且在执行被感染程序时，会通过感染其他可执行文件来重复进行这种感染.

2. 驻留内存的病毒: 作为驻留程序的一部分托管在主内存中. 从那以后，病毒感染了每个执行的程序.

3. 引导扇区病毒: 感染主引导记录或引导记录，并在系统从包含病毒的磁盘引导时传播.

4. 隐形病毒: 一种专门设计用于在被防病毒软件检测到时隐藏自身的病毒.

5. 多态病毒: 一种每次感染都会改变的病毒，因此无法通过其“签名”检测到该病毒.

第二，防病毒软件分析

1定义和分类

防病毒软件，也称为防病毒软件或防病毒软件，是一种用于消除计算机病毒，木马和恶意软件的软件. 防病毒软件通常集成了监视和识别，病毒扫描和清除以及自动升级等功能. 一些防病毒软件还具有数据恢复等功能. 它是一种计算机防御系统（包括防病毒软件，防火墙，木马和其他恶意软件，入侵防御系统等）.

病毒和防病毒技术的进展大致同步. 早期病毒是相对简单的代码片段，可以使用相对简单的防病毒软件包对其进行识别和清除. 随着病毒的发展，病毒和防病毒技术都变得越来越复杂.

防病毒软件可以分为四代，如下:

1. 第一代: 简单的扫描分析.

第一代扫描仪需要病毒签名才能识别病毒. 病毒可能包含“通配符”计算机病毒的分类有几种，但是基本上所有副本都具有相同的结构和位模式. 这样，与签名相关的扫描程序就受到限制，只能检测已知病毒. 另一种第一代扫描仪可以记录程序长度并寻找长度变化.

2. 启发式扫描仪.

第二代扫描仪不依赖专门的签名. 相反，扫描程序使用启发式规则搜索可能的病毒感染，并查找通常与病毒相关的代码段. 第二种方法是完整性检查，它可以将校验和添加到每个程序. 如果该病毒感染了该程序，但未修改校验和，则完整性检查将找到更改.

3. 行为陷阱.

第三代程序是驻留在内存中的程序，它们通过其行为而不是通过被感染程序中的结构来识别病毒.

4. 全面保护.

第四代产品是由不同的防病毒技术组成的软件包. 这些技术包括扫描和行为陷阱组件. 此外，此类软件包还包括访问控制功能，这限制了病毒渗透到系统的能力以及病毒更新文件以进行传播的能力.

2种主流防病毒软件

当前主流的杀毒软件主要包括卡巴斯基，瑞星，微信，小红伞，NOD32、360，金山毒霸，瑞星和江民等.

大多数防病毒软件都使用以下技术:

解压缩技术: 一种非常常用的技术，可以分析压缩文件，打包文件，添加的花文件和打包文件.

自我保护技术: 每个防病毒软件中都基本包含自我保护技术，以防止病毒终止防病毒软件进程或篡改防病毒软件文件. 进程自我保护有两种类型: 单进程自我保护和多进程自我保护.

修复技术: 一种修复被病毒损坏的文件的技术. 例如，如果病毒破坏了系统文件，则防病毒软件可以修复或下载相应的文件进行修复. 没有此技术的防病毒软件通常会删除受感染的系统文件，并且计算机崩溃且无法启动.

主动实时升级技术: 它是由金山毒霸首次提出. 每次您连接到Internet时，防病毒软件都会自动连接到升级服务器以查询升级信息，并在必要时进行升级. 但是，目前有一种更先进的云查杀技术，可以实时访问云数据中心进行判断，用户无需经常更新病毒即可防御最新病毒. 目前，不应以制造商所说的每天实时更新病毒的炒作来选择用户.

主动防御技术: 通过动态仿真防病毒专家系统，自动监视各种程序动作，自动分析程序动作之间的逻辑关系，全面应用病毒识别规则知识，自动确定病毒，以达到主动防御的目的.

灵感技术: 常规的防病毒方法是使用防病毒软件公司的防病毒专家在新病毒出现后从病毒样本中提取病毒特征，并将其通过定期升级到每个用户的计算机来提供. 达到杀戮的效果. 但是这种方法需要时间和精力. 因此，利用反启发技术，在原始特征值识别技术的基础上，根据反病毒样本分析专家总结的可疑程序样本经验（移植到防病毒程序中）的分析，在没有匹配特征值比较的情况下，根据反编译程序代码调用的win32API函数状态（功能组合，出现频率等）确定程序的特定目的是病毒还是恶意软件，并满足判断条件，即警报提示用户查找. 达到防御未知病毒和恶意软件目的的可疑程序. 解决了单遍特征值比较的缺陷.

虚拟机技术: 使用人工智能（AI）算法，具有“自我学习，自我进化”的能力，无需频繁升级签名，就可以抵抗大多数脱壳和变种病毒，不仅导致具有强大的杀伤能力，而且从根本上克服了前两代反病毒引擎的技术难题: “不升级病毒库就无法杀死新病毒. ”大量的病毒样本数据中总结了一组智能算法，以自行发现和学习病毒变化规律. 无需经常更新特征库，无需分析病毒的静态特征，也无需分析病毒的行为.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-167883-1.html