当前位置：文档之家 › 老冯头——蠕虫病毒恶意软件分析

老冯头——蠕虫病毒恶意软件分析

  • 格式：doc
  • 大小：341.50 KB
  • 文档页数：7

蠕虫病毒—恶意软件分析姓名：冯鑫苑班级：计算机应用专业1021 学号：2010284112一、蠕虫病毒1.蠕虫（Worm）病毒定义：蠕虫病毒是一种常见的计算机病毒。

它的传染机理是利用网络进行复制和传播，传染途径是通过网络、电子邮件以及U盘、移动硬盘等移动存储设备。

比如2006年以来危害极大的“熊猫烧香”病毒就是蠕虫病毒的一种。

蠕虫程序主要利用系统漏洞进行传播。

它通过网络、电子邮件和其它的传播方式，象生物蠕虫一样从一台计算机传染到另一台计算机。

因为蠕虫使用多种方式进行传播，所以蠕虫程序的传播速度是非常大的。

蠕虫侵入一台计算机后，首先获取其他计算机的IP地址，然后将自身副本发送给这些计算机.蠕虫病毒也使用存储在染毒计算机上的邮件客户端地址簿里的地址来传播程序。

虽然有的蠕虫程序也在被感染的计算机中生成文件，但一般情况下，蠕虫程序只占用内存资源而不占用其它资源。

蠕虫还会蚕食并破坏系统，最终使整个系统瘫痪。

2.蠕虫病毒入侵模式：蠕虫病毒由两部分组成：一个主程序和一个引导程序。

主程序一旦在机器上建立就会去收集与当前机器联网的其它机器的信息蠕虫病毒的入侵模式。

它能通过读取公共配置文件并运行显示当前网上联机状态信息的系统实用程序而做到这一点。

随后，它尝试利用前面所描述的那些缺陷去在这些远程机器上建立其引导程序。

蠕虫病毒程序常驻于一台或多台机器中，并有自动重新定位。

(autoRelocation)的能力。

如果它检测到网络中的某台机器未被占用，它就把自身的一个拷贝（一个程序段）发送给那台机器。

每个程序段都能把自身的拷贝重新定位于另一台机器中，并且能识别它占用的哪台机器。

二、对蠕虫病毒进行恶意软件分析1.ClamAV对蠕虫病毒进行分析Clam AntiVirus是一个类UNIX系统上使用的反病毒软件包。

主要应用于邮件服务器，采用多线程后台操作，可以自动升级病毒库。

分析过程：clam av 引擎流程图:clam av没有明确的引擎代码部分，这里以scanmanager函数为开始只画出clamav 整个检测流程。

Clam A V 引擎流程图by nEINEI从整体上看，clamav引擎工作流程是：1 先获取检测配置2 进行病毒库加载，因为库是压缩的，所以先创建一个临时目录用释放解压后的库文件，MD5和BM的库记录会在测试加载完毕，AC算法的库在此时仅是添加到结构当中，因为该算法还要涉及调整内部记录的病毒特征的指针，同时也初始化了一个动态配置结构。

3 构建引擎，至少从函数名字上看是这样，但实际上该步骤仅是调整AC算法的内部记录的特征的指针，保留该步骤应该是历史版本遗留下来的问题。

4 再次进行配置信息的获得，包括扫描文件的最大值，解压缩的比率，是否检测PE,是否开启算法扫描等等。

之所以分两次获取，可能是配置本身过于复杂耗时，如果步骤3失败，则直接退出，没必要开始时初始所以配置信息。

5 对扫描对象的按目录和文件进行分类处理，当处理的对象是目录时，遍历后仍然按单个文件方式处理。

6 对单独的文件，clamav会检测一些是否有和配置信息不符的情况，如解包的递归层数，在超出了给条件的情况下，会报告”Archive.ExceededRecursionLimit”病毒，而后进行格式识别，依据格式识别的返回结果调用不同的处理函数进行库匹配。

最为关键的是第6步，前几个步骤都是为最后一步扫描构建基础环境，在检测中最为关键的是cli_scanpe函数，该函数长达2000多行代码。

从v0.93版中看更加细致的验证PE文件的合法性的操作，在验证通过后才会进入算法扫描（主要用于检测多态病毒）、壳识别、脱壳、普通文件扫描的流程。

但该处理过程没有太清晰的处理逻辑，效率控制也不是太好，从v0.80到v0.93这些处理方式上看，作者并没有试图改变这样处理方案，可以预测以后的版本如果要加入新的病毒检测方案，仍然会强行加入到该函数中。

从可借鉴的角度看，该引擎的部分库格式，与有针对性的文件格式解析都是可以考虑利用的，配置信息的管理，丰富的引擎调试的信息等方式也都很有意义。

分析结果：No. 端口号服务攻击事件数说明1 135和445 windows rpc 分别为42次和457次表明可能感染了最新的windows病毒或蠕虫病毒2 57 email 56次黑客利用fx工具对这个端口进行扫描，寻找微软web服务器弱点3 1080，3128，6588，8080 代理服务分别为64、21、21、163次表示黑客正在进行扫描4 25 smtp服务56次黑客探测smtp服务器并发送LJ邮件信号5 10000＋未注册的服务376次攻击这些端口通常会返回流量，原因可能是计算机或防火墙配置不当，或者黑客模拟返回流量进行攻击2.沙盒、蜜罐及多重反病毒扫描网站进行分析入侵过程检测与分析搭建有蜜罐系统的虚拟主机IP 为221.10.91.117 。

连上互联网后，通过嗅探软件发现不时有主机对蜜罐进行基于135 端口的扫描，有时伴随着基于NetBIOS 的扫描（137、139 端口）。

这说明网络中存在大量随机扫描。

大约几小时后，一位不速之客对蜜罐进行了扫描和攻击，其IP 为221.10.90.75，它对蜜罐进行了扫描，主要是基于135 端口（epmap 端口）的扫描。

接下来攻击者对蜜罐的135 端口进行攻击，建立DCE RPC连接，并向蜜罐传送带有恶意代码的数据包。

对所捕获数据进行协议分析的结果如下所示。

Internet Protocol, Src Addr: 221.10.90.75 (221.10.90.75), Dst Addr: 221.10.91.117 (221.10.91.117)Transmission Control Protocol, Src Port: 4685 (4685), Dst Port: epmap (135), Seq: 73, Ack: 61,Len: 1360DCE RPCVersion: 5Version (minor): 0Packet type: Request (0)Packet Flags: 0x03Data Representation: 10000000Frag Length: 1464Auth Length: 0Call ID: 229Alloc hint: 1440Context ID: 1Opnum: 4Stub data (1336 bytes)通过分析其特点发现，这是针对Windows RPC DCOM接口进行缓冲区溢出漏洞的攻击，此漏洞可以通过135(TCP/UDP)、139 、445 、593 等端口发起攻击。

由于Windows 的DCOM实现在处理一个参数的时候没有检查长度。

通过提交一个超长（数百字节）的文件名参数可以导致堆溢出，从而使RpcSS 服务崩溃。

精心构造提交的数据就可以在系统上以本地系统权限运行代码。

攻击者可以在系统中采取任何行为，包括安装程序，窃取更改或删除数据，或以系统权限创建新帐号。

此漏洞可以通过135(TCP/UDP)、139 、445 、593 等端口发起攻击。

由于Windows 的DCOM实现在处理一个参数的时候没有检查长度。

通过提交一个超长（数百字节）的文件名参数可以导致堆溢出，从而使RpcSS 服务崩溃。

精心构造提交的数据就可以在系统上以本地系统权限运行代码。

攻击者可以在系统中采取任何行为，包括安装程序，窃取更改或删除数据，或以系统权限创建新帐号。

蠕虫病毒感染结果分析使用Regsnap 重新生成一份系统的完整快照，然后按F5打开Compare snapshots 窗口，打开第一次生成并保存了的snapshot 文件，点击“OK”，生成一份对比结果文件。

在对比结果的“文件列表于C:\WINNT\System32\*.* ”部分的统计信息发现有1 个新增文件，文件名为winregs32.exe 。

在注册表报告的统计信“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”等处新增了 3 个主键信息，如图 3 所示。

另外Regsnap 还报告了若干注册表键值被修改的信息等。

这样，通过修改注册表，该病毒程序便实现了系统启动时自动运行。

三、静态分析蠕虫病毒变种静态分析：结构化指纹分析与生成该模块的功能是对所输入的病毒A和变种B两个文件分别进行分析并生成其指纹特征。

该模块的输入是两个文件，输出是两个文件的调用图、控制流图以及结构化指纹。

具体步骤如下：a)构造每个可执行文件的调用图和控制流图。

b)在调用图一级，生成函数节点的结构化指纹。

c)在控制流图一级，生成基本块节点的结构化指纹。

在实现中，该模块是以IDAPRO 的插件形式实现的。

这是因为，IDAPRO提供了较为强大的反汇编和分析功能。

同构比较：依据结构化指纹分析与生成模块所产生的结构化指纹，在调用图和控制流图级采用2．2．2节中的算法进行比较。

具体步骤如下：a)在调用图一级进行同构比较，找出两个调用图之间匹配的最大同构子图，即找出两个文件中哪些函数发生了改变，哪些函数没有发生改变。

b)对于发生了改变的函数在控制流图一级进行同构比较，找出哪些基本块发生了改变。

结果显示1)调用图级比较结果显示调用图级的分析结果按照匹配的函数(即固定点)、病毒A中未匹配的函数、变种B中未匹配的函数列表来显示。

图2是对振荡波病毒(Sasser)分析的结果。

b)控制流图级比较结果显示对调用图中的固定点(即匹配函数对)进行控制流图级的比较，结果显示如图3所示。

其中：暗色的节点表示没有发生改变的基本块；白色节点对应发生了改变的基本块。

人工校正提供人工校正的原因是在自动化分析过程中，并不能保证所有函数都进行了正确的匹配，所以允许对结果进行人工校正。

人工校正后，固定点发生了变化，可能需要重掰进行固定点的传播。

因此在人工校正后，提供自动的重新进行固定点传播。

Funnywei 提出了可以增加启发式匹配的方法来发现在固定点初始化和传播过程中可能出现的错误匹配关系。

分析结果：依据该模型，本文实现了MVA(maliciousvariantsanalyser)原型系统，并对曾经影响较大的WelChia、尼姆达、振荡波等病毒进行了分析。

实验结果如表1所示。

依据该实验结果可以看出，WelChia．I与WelChia．h变化不大，仅有4个函数发生了变化；Nimda．b和Nimda．d变种的变化较多，有33个函数，而且Nimda．b比Nimda．d 的函数多5个；Sasser．C与Sasser．b一共有85个函数匹配，只有1个函数发生了改变，而且Sasser．C比Sasser．b多5个函数。

合集下载

恶意软件的特征与防范

恶意软件的特征与防范

恶意软件的特征与防范恶意软件（Malware）是指那些被设计用于窃取、破坏或者控制计算机系统的软件。

随着互联网的普及和技术的发展，恶意软件已经成为了一个严重的网络安全威胁。

本文将探讨恶意软件的特征以及如何有效地防范。

一、恶意软件的特征1.1 多样性恶意软件的种类繁多，包括病毒、蠕虫、木马、间谍软件等等。

每种恶意软件都有其独特的特征和攻击方式。

例如，病毒通过感染文件来传播，蠕虫则利用网络漏洞自我复制，木马则悄悄地在系统中植入后门，而间谍软件则用于窃取用户的个人信息。

1.2 隐蔽性恶意软件通常会伪装成合法的软件或者隐藏在其他程序中，以躲避用户的注意和安全防护。

有些恶意软件甚至会修改系统文件或者注册表来保持自己的存在，使其更难被发现和清除。

1.3 毁坏性恶意软件的目的通常是破坏、篡改或者窃取用户的数据。

它们可以删除文件、损坏系统、盗取密码等，给用户带来巨大的损失和麻烦。

二、恶意软件的防范2.1 安装可信的安全软件安装一款可信的安全软件是防范恶意软件的基本措施。

这些软件可以实时监测系统的安全状态，并及时发现和清除恶意软件。

常见的安全软件包括杀毒软件、防火墙和反间谍软件等。

2.2 及时更新系统和软件恶意软件通常会利用系统和软件的漏洞来入侵用户的计算机。

因此，及时更新操作系统和软件是防范恶意软件的关键。

厂商会不断发布安全补丁来修复漏洞，用户需要及时下载和安装这些补丁，以保持系统的安全性。

2.3 谨慎浏览和下载恶意软件往往通过网络传播，用户需要谨慎浏览和下载，避免点击可疑的链接或者下载未知来源的文件。

此外，不要随意安装来历不明的软件，以免被恶意软件潜藏其中。

2.4 定期备份数据恶意软件可能会破坏用户的数据，因此定期备份数据是防范恶意软件的重要手段。

用户可以将重要的文件和数据备份到外部存储设备或者云存储中，以防止数据丢失。

2.5 加强密码和账号安全恶意软件常常以窃取用户的密码和账号为目的，因此加强密码和账号的安全性非常重要。

网络安全威胁解析了解恶意软件的工作原理

网络安全威胁解析了解恶意软件的工作原理

网络安全威胁解析了解恶意软件的工作原理恶意软件（Malware）是指恶意目的而开发的一类软件程序，可以对计算机系统的安全性造成威胁。

恶意软件种类繁多，如病毒（Viruses）、蠕虫（Worms）、木马（Trojans）等都属于恶意软件的范畴。

了解恶意软件的工作原理对于网络安全的防护至关重要。

本文将对恶意软件的工作原理进行解析，以加深对网络安全威胁的认识。

恶意软件通常通过植入恶意代码或执行恶意操作来达到破坏或者非法获取信息的目的。

它的工作原理可以分为以下几个步骤：1. 感染目标：恶意软件常常通过潜在的漏洞和弱点感染计算机系统。

感染途径包括电子邮件附件、下载软件和访问感染的网站等。

一旦用户点击了感染源，恶意软件就会开始入侵。

2. 植入恶意代码：一旦感染目标系统，恶意软件会开始植入恶意代码。

这些代码通常被隐藏在正常的程序或文件中，很难被用户察觉。

植入的代码可以实现各种功能，比如远程控制、窃取机密信息或者破坏系统文件。

3. 执行恶意操作：恶意软件会在植入恶意代码后开始执行各种恶意操作。

这些操作可以包括窃取用户的个人信息，如账户密码、信用卡信息等，或者操控系统资源，如摄像头、麦克风等。

有些恶意软件还可以通过扩散、传播和感染其他系统来扩大其影响范围。

4. 隐蔽性和自我保护：恶意软件通常会采取一系列技术手段来保护自己的隐蔽性和稳定性。

例如，它们可能会修改操作系统或防火墙的设置来避免被检测和删除；还可能会使用加密、检测虚拟机等技术来防御分析和逆向工程。

5. 后果与破坏：一旦恶意软件完全控制了目标系统，它可以对系统和用户造成严重的后果和破坏。

例如，它可能会导致系统崩溃、数据丢失、网络中断甚至个人隐私泄漏等。

有时候，恶意软件的目的也包括勒索用户，要求支付赎金以恢复受控系统的正常运行。

要保护自己免受恶意软件的威胁，我们需要采取一系列防护措施：1. 安装可靠的安全软件：选择一款具有实时监测、恶意软件识别和阻止功能的安全软件。

蠕虫病毒“RoseKernel”迅速蔓延，政企单位网络易被攻击

蠕虫病毒“RoseKernel”迅速蔓延，政企单位网络易被攻击

蠕虫病毒“RoseKernel”迅速蔓延，政企单位网络一、概述近期，火绒安全团队截获蠕虫病毒”RoseKernel”。

该病毒可通过远程暴力破解密码等多种手段全网传播。

病毒入侵电脑后，会同时执行”挖矿”（门罗币）、破坏Windows签名校验机制、传播后门病毒等系列恶意行为。

由于病毒会对同一网段的终端同时暴力破解密码，对局域网等机构用户（政府、企业、学校、医院）危害极大，截至到发稿前，已有数万台电脑被感染。

该蠕虫病毒通过移动外设（U盘等）、劫持Office快捷方式传播、远程暴力破解密码三类方式进行传播：1、通过外设传播时，病毒会将外设内的原有文件隐藏，并创建一个与隐藏文件完全相同的快捷方式，诱导用户点击后，病毒会立即运行；2、通过劫持Office快捷方式传播后，病毒会劫持Word和Excel快捷方式，让用户新建的文档带有病毒代码。

当用户将这些文档发送给其他用户时，病毒也随之传播出去；3、通过远程暴力破解密码传播。

病毒入侵电脑后，还会对其同一个网段下的所有终端同时暴力破解密码，继续传播病毒。

由于病毒通过文档、外设等企业常用办公工具传播，加上病毒入侵电脑后会对其同一个网段下的所有终端同时暴力破解密码，因此政府、企业、学校、医院等局域网机构面临的威胁最大。

病毒入侵电脑后，会窃取数字货币钱包，还会利用本地计算资源进行”挖矿”（门罗币），并结束其它挖矿程序，以让自己独占计算机资源，使”挖矿”利益最大化。

此外，病毒会破坏Windows签名校验机制，致使无效的签名验证通过，迷惑用户，提高病毒自身的隐蔽性。

”RoseKernel”病毒还带有后门功能，病毒团伙可通过远程服务器随时修改恶意代码，不排除未来下发其它病毒模块到本地执行。

二、样本分析火绒近期截获到一组蠕虫病毒样本，该病毒通过暴力破解方式远程创建WMI脚本，病毒中含有远控功能，可以下发任意模块到本地执行，目前危害有：窃取数字货币钱包，利用本地计算资源进行挖矿（门罗币），不排除未来下发其他病毒模块到本地执行的可能性。

网络攻击事件的类型及特点有哪些

网络攻击事件的类型及特点有哪些

网络攻击事件的类型及特点有哪些在当今数字化的时代，网络已经成为我们生活和工作中不可或缺的一部分。

然而，伴随着网络的广泛应用，网络攻击事件也日益频繁，给个人、企业和国家带来了巨大的威胁。

网络攻击的类型多种多样，每种类型都有其独特的特点和危害方式。

一、网络攻击的类型（一）恶意软件攻击恶意软件是网络攻击中最常见的形式之一。

这包括病毒、蠕虫、特洛伊木马、间谍软件和广告软件等。

病毒通过自我复制来感染其他文件和系统，导致系统性能下降、数据损坏甚至系统崩溃。

蠕虫则能够在网络中自行传播，无需用户干预。

特洛伊木马看似正常的程序，但却隐藏着恶意功能，例如窃取用户的个人信息、控制用户的计算机等。

间谍软件通常在用户不知情的情况下收集用户的敏感信息，如浏览历史、密码等。

广告软件则会不断弹出广告，干扰用户的正常使用。

（二）网络钓鱼攻击网络钓鱼是一种通过欺诈性的电子邮件、短信或网站来诱骗用户提供个人敏感信息，如用户名、密码、信用卡号等的攻击方式。

攻击者常常伪装成合法的机构，如银行、电商平台等，以获取用户的信任。

一旦用户上当受骗，攻击者就可以利用这些信息进行欺诈活动，造成用户的财产损失。

（三）拒绝服务攻击（DoS 和 DDoS）拒绝服务攻击的目的是使目标系统或网络无法正常提供服务。

在DoS 攻击中，攻击者通常使用单个计算机向目标发送大量的请求，使其资源耗尽，无法处理合法用户的请求。

而 DDoS 攻击则更为强大，攻击者利用多个被控制的计算机（称为“僵尸网络”）同时向目标发起攻击，造成更严重的影响。

这种攻击会导致网站瘫痪、网络服务中断，给企业和用户带来极大的不便。

（四）SQL 注入攻击SQL 注入是针对数据库驱动的网站和应用程序的一种攻击方式。

攻击者通过在输入字段中插入恶意的 SQL 代码，从而获取、修改或删除数据库中的数据。

这可能导致用户数据泄露、网站功能异常甚至整个数据库系统崩溃。

（五）零日攻击零日攻击是指利用尚未被发现或未被修复的软件漏洞进行的攻击。