案例研究：如何捕获计算机病毒样本_IT /计算机_信息(2)

如果仅删除了主引导区中的病毒，但不删除可执行文件中的病毒，则一旦执行了病毒感染的文件，硬盘的主引导区就会被感染。 Flip / Omicron（颠倒）和XqR（新世纪新世纪）病毒均旨在对抗反病毒技术。翻转（上下颠倒）病毒随机地加密自己的代码并不断变化，从而使大多数病毒代码几乎与之前被感染目标中的病毒代码相同，没有连续三​​个字节。该病毒仅在主引导区域中隐藏少量代码，而该病毒将其所有代码隐藏在硬盘的最后6个扇区中。在硬盘分区表中，DOS引导区中的实际磁盘扇区数减少了6个扇区，因此，在重新启动系统后，硬盘的实际空间将减少6个扇区。这样，原始的主引导记录和病毒主程序就存储在硬盘的实际扇区之外，避免了其他程序被覆盖，并且无法调出DEBUG的L命令进行查看。即使使用FORMAT格式化也无法消除病毒。它是可见的。病毒编译者的意图很深！与此相似的是Denzuko病毒。 XqR（新世纪新世纪）病毒也有其更狡猾的一面。它监视INT13、INT21中断相关的参数。当您要查看或搜索受其感染的主引导记录时，该病毒会替换掉普通的主记录。引导记录供您查看或搜索，以便您认为一切正常，但是病毒可以通过它。

这种防病毒方法在这里被称为：当病毒在内存中时，它具有“反向字符串”（reverse string）的功能。这样的病毒包括Mask（），2709 / ROSE（玫瑰），One_Half / 3544（phantom），Natas / 4744，Monkey，PC_LOCK，DIE_HARD / HD2，GranmaGrave / Burglar / 1150、3783病毒等。新病毒使用此功能来对抗硬盘上安装的防病毒软件，但是使用无病毒的系统软盘引导计算机后，该病毒将失去“反向字符串”（反向）功能。 1345、1820、PCTCOPY-2000病毒直接隐藏在COMMAND.COM文件的免费（0代码）部分中。从外部看，文件没有增加一个字节。 INT60（0002)）病毒隐藏得更加神秘。它不会修改主引导记录，而只会将硬盘分区表修改两个字节，从而使那些仅检查主引导记录的程序认为它是完全正常的，但是病毒的主体隐藏在这里，两个字节所指向的区域，当启动硬盘时，ROM-BIOS程序被这两个字节的方向所迷惑，从而激活了病毒。狡猾，只能保留两个字节机器的鼻子不见了！猴子（猴子）和PC_LOCK（加密锁）病毒会加密硬盘分区表，然后将其隐藏起来，如果可以轻松地替换硬盘主引导记录或使用FDISK / MBR格式，然后，您将无法再访问硬盘，并且无法检索数据。因此，请不要轻易使用FDISK / MBR格式。

自1992年以来，DIR2-3、DIR2-6、NEW DIR2病毒以崭新的面貌出现，极具感染力，没有任何性能，不会修改中断向量表，而是直接修改系统的严重中断。可执行文件的核心已修改为将文件名与文件代码的主体分开。对于系统中的这种病毒，一切似乎都什么也没有发生。而且，当系统没有病毒时，您将使用没有病毒的文件来覆盖病毒文件，否则将会发生灾难。整个磁盘上所有受感染的可执行文件都是刚刚被覆盖的文件的内容。这是病毒“如果我死了就无法生存”的技巧。该病毒的出现增加了一种新型病毒。在20世纪，大多数病毒都基于DOS系统，并且80％的病毒可以在WINDOWS中传播。 TPVO / 3783病毒是“双重性”（感染引导区，文件）“双重性”（DOS，WINDOWS）病毒。该病毒随着操作系统的发展而发展。当然，随着Internet的广泛使用，Java恶意代码病毒也已出现。脚本病毒“ HAPPYTIME”是具有非常强的传染能力的病毒。该病毒使用体内的VBScript代码本地可执行文件（通过Windows Script Host）感染并销毁当前计算机。

也就是说，一旦将鼠标指针移动到带有“ HAPPYTIME”病毒的电子邮件名称，就无需打开要被高度传染性的“ HAPPYTIME”“ Happy Time”病毒感染的字母。近年来，已经出现了近万个WORD（MACRO宏）病毒，并且它们发展迅速，形成了另一种主要病毒。由于无论使用哪种操作系统，宏病毒都易于编写，并且Internet使用WORD格式的文件进行大量通信，因此宏病毒将隐藏在这些WORD文件中，并由Internet上的人上传。早在1995年，一个更危险的信号出现了。在对许多病毒的分析中，我们发现某些病毒似乎来自一个家族，它们的“遗传基因”是相同的。简而言之，它们是“相同家族”病毒。 。但这绝不是由其他好奇的人仅仅修改部分代码引起的“重塑”病毒。应该简单地说“修饰”病毒的定义，并且“原型”病毒的代码长度没有太大差异。大多数病毒代码与“原型”代码相同，并且相同的代码具有相同的位置，否则，它是一种新病毒。带有相同“遗传基因”的大量“相同家族”病毒的出现使人们怀疑“病毒生产机器”软件的出现。 1996年下半年，终于在1996年下半年在中国发现了三种类型的“病毒生产机器软件”“ G2、 IVP，VCL”。分子可以使用它们来编译数千种新病毒。

当前，世界上有数百种“病毒生产机”软件。这种“病毒产生机器”软件可以轻松，自动地产生相同家族的大量新病毒，而无需费心去编写程序。这些病毒具有不同的代码长度，不同的自加密和解密密钥，原始文件头中重要参数的不同存储地址以及不同的爆发条件和现象。但是，这些病毒的主要结构和原理基本相同。 “病毒产生机器”软件，其“规格”专门用于产生变形病毒，有些则专门用于产生普通病毒。目前，在中国发现了十几种具有部分变形能力的病毒生产机器，例如“ G2、 IVP，VCL病毒生产机器等”。具有变形能力的病毒生产机器包括CLME，它们是DAME-SP / MTE病毒产生机等，所产生的病毒都具有“遗传基因”的相同特征，没有广谱性能的病毒检查软件，您只能知道一个就可以检查一个。应对由“病毒生产机器”产生的大量新病毒是困难的，据报道，香港有些人也模仿了欧美的“突变病毒”软件并已经编译了一种新的类型，称为CLME（疯狂主突变神经元）或“疯狂主突变神经病”，其中一些已经变质病毒，其中一种称为CLME.1528。一种名为CLME.1996、的病毒DAME-SP / MTE在中国也有发现。

更令人讨厌的是，程序员公开鼓励其他人在BBS网站和Internet上下载。随着“病毒生产机”的存在，随时可能存在“病毒激增”的危机！一个又一个危机是网络蠕虫病毒I-WORM.Anna Kournikova是由VBS / I-WORM病毒生产机生产的。一旦问世，它就会在很短的时间内传播到世界各地。这种病毒生产机也传播到我国。 Windows9x和win2000操作系统的发展也改变了病毒的类型和类型。这是点型WINDOWS病毒的一些示例。 WIN32.CAW.1XXX病毒是驻留在内存中的Win32病毒，可感染本地和网络中的PE格式文件。该病毒是由32位Windows“ CAW病毒生产机”生成的，该计算机是由国际知名病毒编写组织开发的。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-337817-2.html