计算机病毒知识与防范科普讲座

计算机病毒的检测和防范 二 计算机病毒的检测和防范
用防病毒软件来防范病毒需要定期自动更新或者下 载最新的病毒定义、病毒特征。但是防病毒软件的问题 载最新的病毒定义、病毒特征。 在于它只能为防止已知的病毒提供保护。因此， 在于它只能为防止已知的病毒提供保护。因此，防病毒 软件只是在检测已知的特定模式的病毒和蠕虫方面发挥 作用。 作用。
现代病毒利用人性的弱点
隐蔽性更强 – 伪装成开玩笑的邮件 – 伪装求职 – 甚至伪装防病毒厂家的技术支持 – 附在图片上 – 很多时候用户被感染不知道
用一些很有吸引力的标 用一些很有吸引力的标 题 如点击XX XX站点可以 — 如点击XX站点可以 赚钱 — 打开邮件就会得到 免费的礼物
三 计算机木马及其防护
三 计算机木马及其防护
计算机木马的发展趋势 –隐蔽性增加 隐蔽性增加 采用非TCP/UDP封装的IP数据包携带盗取的 采用非TCP/UDP封装的IP TCP/UDP封装的IP数据包携带盗取的 信息 寄生在TCP端口，与正常通信流混合传送 寄生在TCP端口， TCP端口 –传输方式多样化（如网页挂马） 传输方式多样化（ 传输方式多样化 如网页挂马） –编程机制多样化（针对网卡或Modem的底层通 编程机制多样化（ Modem的底层通 编程机制多样化 针对网卡或Modem 信编程，跳过防火墙） 信编程，跳过防火墙） –跨平台性（一个木马程序可兼容不同公司不同 跨平台性（ 跨平台性 版本的操作系统） 版本的操作系统）
计算机木马概述 –全称“特洛伊木马（Trojan Horse）”，古希 全称“ Horse） 全称 特洛伊木马（ 腊士兵藏在木马内进入敌城， 腊士兵藏在木马内进入敌城，占领敌城的故事 –计算机木马指：黑客在可供网络上传下载的应 计算机木马指： 计算机木马指 用程序或游戏中， 用程序或游戏中，添加可以控制用户计算机系 统的程序， 统的程序，可能造成用户的系统被破坏甚至瘫 痪。
三 计算机木马及其防护
计算机木马的特点 –自动运行能力：附着在诸如win.ini、 自动运行能力：附着在诸如win.ini、 自动运行能力 win.ini system.ini、 system.ini、winstart.ini 或启动组等文件 中随系统启动而启动。 中随系统启动而启动。 –自动恢复能力：多文件组合、多重备份，只要 自动恢复能力： 自动恢复能力 多文件组合、多重备份， 触发文件组合中的一个程序，就会启动该木马。 触发文件组合中的一个程序，就会启动该木马。 –自动打开特别端口，提供给黑客，作为入侵的 自动打开特别端口， 自动打开特别端口 提供给黑客， 端口。 端口。 –特殊功能：除普通的文件操作外，还有诸如搜 特殊功能： 特殊功能 除普通的文件操作外， cache口令 扫描目标主机的IP地址、 口令、 IP地址 索cache口令、扫描目标主机的IP地址、键盘 记录等功能
三 计算机木马及其防护
被木马感染后的紧急措施 –更改所有的账号和密码 更改所有的账号和密码 –删除硬盘上所有原来没有的东西（系统还原） 删除硬盘上所有原来没有的东西（系统还原） 删除硬盘上所有原来没有的东西 –杀毒软件清理 杀毒软件清理
三 计算机木马及其防护
计算机木马的特点 –非授权性：一旦控制端与服务器端连接后，便 非授权性：一旦控制端与服务器端连接后， 非授权性 大开系统之门， 大开系统之门，毫无秘密而言在不常用或难以 发现的系统文件目录中。 发现的系统文件目录中。 –包含在正常程序中（例如，与图片文件绑定或 包含在正常程序中（ 包含在正常程序中 例如， 生成exe binder程序 exe程序） 生成exe-binder程序） 不产生图标，以免用户注意到任务栏里来历 不产生图标， 不明的图标 自动隐藏在任务管理器中，以“系统服务” 自动隐藏在任务管理器中， 系统服务” 的方式欺骗操作系统
三 计算机木马及其防护
计算机木马的特点 –隐蔽性 隐蔽性 命名上采用和系统文件的文件名相似的文件 名 属性通常是系统文件、隐藏、只读属性 属性通常是系统文件、隐藏、 存放在不常用或难以发现的系统文件目录中 –在任务栏里隐藏 在任务栏里隐藏 –在任务管理器里隐藏（Ctrl+Alt+Del） 在任务管理器里隐藏（ 在任务管理器里隐藏 Ctrl+Alt+Del）
三 计算机木马及其防护
计算机木马的发展趋势 –模块化设计（易于组装） 模块化设计（易于组装） 模块化设计 –更新更强的感染模式 更新更强的感染模式 –即时通知（E-mail即时通知控制端木马的安装 即时通知（ mail即时通知控制端木马的安装 即时通知 情况，以应对服务端IP动态变化的局面） 情况，以应对服务端IP动态变化的局面） IP动态变化的局面 –商业病毒木马的泛滥（如木马点击器Clicker 商业病毒木马的泛滥（ 商业病毒木马的泛滥 如木马点击器Clicker 病毒，侵入用户电脑后， 病毒，侵入用户电脑后，会根据病毒编写者预 先设定的网址，去点击网上的广Google AdSense等，让广告主支付更 多的广告费， 多的广告费，而病毒犯罪团伙及其合作伙伴则 会分享这些额外的“利润” 会分享这些额外的“利润”。
三 计算机木马及其防护
计算机木马的分类 –分布式攻击（DoS）型 分布式攻击（DoS） 分布式攻击 在一台又一台的计算机（“肉机”）上植入 在一台又一台的计算机（ 肉机” DoS攻击木马 形成DoS攻击机群， 攻击木马， DoS攻击机群 DoS攻击木马，形成DoS攻击机群，攻击第三 方的计算机 邮件炸弹：机器一旦被挂马，木马就会随机 邮件炸弹：机器一旦被挂马， 生成各种各样的主题信件， 生成各种各样的主题信件，对特定的邮箱不 停发送信件， 停发送信件，直到对方邮件服务器瘫痪 –代理（Proxy）型：黑客隐藏自己的足迹，让 代理（ 黑客隐藏自己的足迹， 代理 Proxy） 肉机沦为“替罪羊” 肉机沦为“替罪羊” –FTP型：打开端口21，等待用户连接 FTP型 打开端口21 21， FTP
三 计算机木马及其防护
计算机木马和病毒的区别 –木马不具有自我复制性和传染性，不会像病毒 木马不具有自我复制性和传染性， 木马不具有自我复制性和传染性 那样自我复制、刻意感染其他文件。 那样自我复制、刻意感染其他文件。 –木马的主要意图不是为了破坏用户的系统，而 木马的主要意图不是为了破坏用户的系统， 木马的主要意图不是为了破坏用户的系统 是为了监视并窃取系统中的有用信息，如密码、 是为了监视并窃取系统中的有用信息，如密码、 账号。 账号。
计算机病毒发作后所造成的后果： 计算机病毒发作后所造成的后果：
硬盘无法启动，数据丢失 计算机病毒破坏了硬盘的引 硬盘无法启动， 导扇区后，就无法从硬盘启动计算机系统了。 导扇区后，就无法从硬盘启动计算机系统了。 对计算机数据信息的直接破坏作用。 对计算机数据信息的直接破坏作用。 占用磁盘空间和对信息的破坏 抢占系统资源 影响计算机运行速度 计算机病毒错误与不可预见的危害 网络瘫痪，无法提供正常的服务。 网络瘫痪，无法提供正常的服务。 计算机病毒给用户造成严重的心理压力
运行Word 打开Word文档后， Word， Word文档后 9、 运行Word，打开Word文档后，该文件另存时只能 以模板方式保存。 以模板方式保存。 10、 磁盘空间迅速减少。 10、 磁盘空间迅速减少。 11、 网络驱动器卷或共享目录无法调用。 11、 网络驱动器卷或共享目录无法调用。 12、 基本内存发生变化。 12、 基本内存发生变化。 13、 陌生人发来的电子函件。 13、 陌生人发来的正常的计算机突然经常性无缘无故地死 机。 操作系统无法正常启动。 2、 操作系统无法正常启动。 运行速度明显变慢。 3、 运行速度明显变慢。 以前能正常运行的软件经常发生内存不足的错误。 4、 以前能正常运行的软件经常发生内存不足的错误。 打印和通讯发生异常。 5、 打印和通讯发生异常。 无意中要求对软盘进行写操作。 6、 无意中要求对软盘进行写操作。 7、 以前能正常运行的应用程序经常发生死机或者非 法错误。 法错误。 系统文件的时间、日期、大小发生变化。 8、 系统文件的时间、日期、大小发生变化。
最常见的两种病毒
蠕虫（Worm）
通过网络连接， 通过网络连接，将自身复制到其它计算机 但不感染其它文件。 中，但不感染其它文件。
特洛伊木马（Trojan horse）
表面上看起来是无害的程序或数据， 表面上看起来是无害的程序或数据，实际 上内含恶意或有害的代码。 上内含恶意或有害的代码。窃取用户数据和 系统控制权
计算机病毒的传播途径
不可移动的计算机硬件设备 这种传播途径是指利用专用集成电路芯片 ASIC）进行传播。 这种计算机病毒虽然极少， （ASIC）进行传播。 这种计算机病毒虽然极少， 但破坏力却极强， 但破坏力却极强， 目前尚没有较好的检测手段对 付它。 付它。 移动存储设备：光盘、移动硬盘等。 移动存储设备：光盘、移动硬盘等。 网络：电子邮件、BBS、WWW浏览、FTP文件下 载、 网络：电子邮件、BBS、WWW浏览 FTP文件下 浏览、 新闻组。 新闻组。 通过点对点通信系统和无线通信系统传播
计算机病毒的主要来源
1．购买的软件光盘、优盘、软盘等带有病毒。 购买的软件光盘、优盘、软盘等带有病毒。 从别人机器通过磁盘拷贝文件到自己机器。 2．从别人机器通过磁盘拷贝文件到自己机器。 网上下载游戏、歌曲、电影、软件等等。 3．网上下载游戏、歌曲、电影、软件等等。 4．在局域网中相互拷贝文件，共享文件夹。 在局域网中相互拷贝文件，共享文件夹。 上网阅览网页时被病毒入侵。 5．上网阅览网页时被病毒入侵。 电子邮件也传播病毒。 6、电子邮件也传播病毒。
三 计算机木马及其防护
两大国产杀毒软件公司的网络安全报告 瑞星反病毒监测网
三 计算机木马及其防护
两大国产杀毒软件公司的网络安全报告 金山反病毒监测网
三 计算机木马及其防护
计算机木马的分类 –破坏型：破坏删除文件（*.ini、*.dll、 破坏型：破坏删除文件（ ini、 dll、 破坏型 .exe） *.exe） –发送密码型：找到隐藏的密码，发送到指定的 发送密码型： 发送密码型 找到隐藏的密码， 邮箱 –远程访问型：只要运行了服务端程序，如果客 远程访问型： 远程访问型 只要运行了服务端程序， 户知道服务端的IP地址， IP地址 户知道服务端的IP地址，就可以实现远程控制 –键盘记录型：记录用户在线或离线时按键情况， 键盘记录型： 键盘记录型 记录用户在线或离线时按键情况， 统计用户按键的频度， 统计用户按键的频度，进行密码分析