1、计算机病毒,目 录： 计算机病毒的起源与发展 计算机病毒的定义与特征 计算机病毒的分类 计算机病毒的危害性 计算机病毒分析 其他恶意程序,根据国家计算机病毒应急处理中心的调查显示：2003-2008年我国计算机病毒感染率高达85.57%，造成的损失达到63.57%。 (来源:央视国际),您的计算机安全吗？,安装了安全软件，电脑里就一定没有病毒木马吗？金山毒霸安全实验室公布最新研究报告显示,国内95.6%的电脑上安装了安全软件,但每年仍然有约百万病毒木马被“漏杀”。而这些被“漏杀”的病毒木马将直接影响到中国千万网民网络安全问题，同时给中国互联网带来的经济损失也将超过十亿元。,“2009-2010
2、年中国新增病毒木马约2000万种,其中漏杀期1-7天的病毒木马超过100万个,占到新增病毒的5%,30%以上的中国网民电脑存在漏杀病毒。”,以你的经历，谈谈你知道到的病毒。,一个每天都要遇到的操作,可移动存储设备的使用,一个每天都要遇到的操作,如果您的电脑配有摄像头，在您使用完摄像头后， 您会（ ） 拔掉摄像头，或者将摄像头扭转方向 （546人，44.1%） 无所谓 （693人，55.9%）,女鬼病毒,女鬼病毒在感染用户系统后，会不定时的在电脑上出现恐怖的女鬼，并伴有阴森恐怖的鬼哭狼嚎的声音。女鬼每次出现大约停留30秒钟，低垂着脑袋，披头散发，两眼还射出红光，加上阴森的恐怖之声，使人在夜间开电
3、脑时，不禁毛骨悚然，吓到腿软。该女鬼病毒是用VB语言写的程序，需要一个VB的动态链接库，有些用户系统上可能没有这个文件，病毒因此就无法被激活。,木马病毒,木马，全称为：特洛伊木马（Trojan Horse）。 “特洛伊木马”这一词最早出先在希腊神话传说中。相传在3000年前，在一次希腊战争中。麦尼劳斯（人名）派兵讨伐特洛伊（王国），但久攻不下。他们想出了一个主意：首先他们假装被打败，然后留下一个木马。而木马里面却藏着最强悍的勇士！最后等时间一到，木马里的勇士全部冲出来把敌人打败了！,特洛伊木马,“木马”的含义就是把预谋的功能隐藏在公开的功能里，掩饰真正的企图。 木马其实就是那些盗号者所制造的一
4、些恶意程序。当木马植入了你的电脑后，电脑就会被监控起来。轻者，偷取用户资，会把你的QQ密码.游戏帐号和密码.等发给编写病毒的人。 至于严重的，木马制作者可以像操作自己的机器一样控制您的机器，甚至可以远程监控您的所有操作。一举一动，都在别人的眼皮底下进行。,计算机病毒的发展史,自第一个真正意义上的计算机病毒于1983年走出实验室以来，人们对它的认识经历了“不以为然谈毒色变口诛笔伐，人人喊打理性对待，泰然处之”四个阶段 。,计算机病毒产生的历史,1977年:出现在科幻小说中 1983年： Fred Cohen：在计算机安全研讨会上发布 1986年：巴基斯坦两兄弟为追踪非法拷贝其软件的人制造了“巴基
5、斯坦”病毒，成了世界上公认的第一个传染PC兼容机的病毒，并且很快在全球流行。 1987年10月：美国发现世界上第一例病毒(Brain)。 1988年：小球病毒传入我国，在几个月之内迅速传染了20 多个省、市，成为我国第一个病毒案例。 此后，如同打开的潘多拉的盒子，各种计算机病毒层出不穷！,计算机病毒的发展阶段萌芽阶段,1 萌芽阶段 1986年到1989年：计算机病毒的萌芽时期 病毒清除相对比较容易特点： 攻击目标单一 主要采取截取系统中断向量的方式监控系统的运行状态，并在一定的触发条件下进行传播 传染后特征明显 不具自我保护措施,计算机病毒的发展阶段综合发展阶段,2 综合发展阶段 1989年到
6、1992年：由简单到复杂，由原始走向成熟特点： 攻击目标趋于混合型 采用更为隐蔽的方法驻留内存 感染目标后没有明显的特征 开始采用自我保护措施 开始出现变种,计算机病毒的发展阶段成熟发展阶段,3 成熟发展阶段 1992到1995年：病毒开始具有多态性质。病毒每次传染目标时，嵌入宿主程序中的病毒程序大部分可变种，正由于这个特点，传统的特征码检测病毒法开始了新的探索研究。在这个阶段，病毒的发展主要集中在病毒技术的提高上，病毒开始向多维化方向发展，对反病毒厂商也提出了新的挑战。,计算机病毒的发展阶段网络病毒阶段,4 网络病毒阶段 1995年到2000年：随着网络的普及，大量的病毒开始利用网络传播，蠕
7、虫开始大规模的传播。由于网络的便利和信息的共享，很快又出现了通过E-mail传播的病毒。由于宏病毒编写简单、破坏性强、清除复杂，加上微软未对WORD文档结构公开，给清除宏病毒带来了不便 这一阶段的病毒，主要是利用网络来进行传播和破坏,计算机病毒的发展阶段迅速壮大的阶段,5.迅速壮大的阶段 2000年以后：成熟繁荣阶段，计算机病毒的更新和传播手段更加多样性，网络病毒的目的性也更强 出现了木马，恶意软件等特定目的的恶意程序特点： 技术综合利用，病毒变种速度大大加快 恶意软件和病毒程序直接把矛头对向了杀毒软件 计算机病毒技术和反病毒技术的竞争进一步激化，反病毒技术也面临着新的洗牌,计算机病毒的起源与
8、发展 计算机病毒的定义与特征 计算机病毒的分类 计算机病毒的危害性 计算机病毒分析 其他恶意程序,计算机病毒的定义,狭义定义 计算机病毒是一种靠修改其它程序来插入或进行自身拷贝，从而感染其它程序的一种程序。 Fred Cohen博士对计算机病毒的定义。 广义定义 能够引起计算机故障，破坏计算机数据，影响计算机系统的正常使用的程序代码。 我国定义 中华人民共和国计算机信息系统安全保护条例第二十八条：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。”,计算机病毒的特征,基本特征 传染性 自我复制，通过多种渠道传播
9、潜伏性 感染后不一定立刻发作 依附于其他文件、程序、介质，不被发现 可触发性 触发条件：日期、时间、文件类型 破坏性 破坏数据的完整性和可用性 破坏数据的保密性 系统和资源的可用性 非授权可执行性,计算机病毒的特征,其它特征 寄生性 寄生于其它文件、程序 隐蔽性 程序隐蔽、传染隐蔽； 不易被发现 针对性* 针对特定的计算机、特定的操作系统 多态性* 每一次感染后改变形态，检测更困难 持久性* 难于清除,计算机病毒的起源与发展 计算机病毒的定义与特征 计算机病毒的分类 计算机病毒的危害性 计算机病毒分析 其他恶意程序,计算机病毒的分类,按宿主分类 按危害分类 按传播媒介分类 按攻击平台分类,计算
10、机病毒的分类,按宿主分类 1)引导型病毒 主引导区 操作系统引导区 2)文件型病毒 操作系统 应用程序 宏病毒3)复合型病毒 复合型病毒具有引导区型病毒和文件型病毒两者的特征,计算机病毒的分类,按危害分类 良性病毒 如：小球病毒 恶性病毒 如：CIH病毒,计算机病毒的分类,按传播媒介分类 单机病毒 DOS、Windows、Unix/Linux病毒等 网络病毒 通过网络或电子邮件传播,计算机病毒的分类,按攻击平台分类 DOS病毒：MS-DOS及兼容操作系统上编写的病毒 Windows病毒：Win32上编写的纯32位病毒程序 MAC病毒 Unix/Linux病毒,计算机病毒的起源与发展 计算机病毒
11、的定义与特征 计算机病毒的分类 计算机病毒的危害性 计算机病毒分析 其他恶意程序,计算机病毒的危害性,攻击系统数据区 攻击部位包括硬盘主引导扇区、Boot扇区、FAT表、文件目录 攻击文件 删除、改名、替换内容、丢失簇和对文件加密等 攻击内存 内存是计算机的重要资源，也是病毒攻击的重要目标,计算机病毒的危害性,干扰系统运行，使运行速度下降 如不执行命令、打不开文件 干扰内部命令的执行、扰乱串并接口、虚假报警、强制游戏 内部栈溢出、重启动、死机 病毒激活时，系统时间延迟程序启动，在时钟中纳入循环计数，迫使计算机空转，运行速度明显下降 干扰键盘、喇叭或屏幕，适用户无法正常操作 响铃、封锁键盘、换字
12、、抹掉缓存区字符、输入紊乱等。 许多病毒运行时，会使计算机的喇叭发出响声 病毒扰乱显示的方式很多，如字符跌落、倒置、显示前一屏、打开对话框、光标下跌、滚屏、抖动、乱写等,计算机病毒的危害性,攻击CMOS，破坏系统硬件 有的病毒激活时，能够对CMOS进行写入动作，破坏CMOS中的数据。例如CIH病毒破坏计算机硬件，乱写某些主板BIOS芯片，损坏硬盘 干扰打印机 如假报警、间断性打印或更换字符 干扰网络正常运行 网络病毒破坏网络系统，非法使用网络资源，破坏电子邮件，发送垃圾信息，占用网络带宽、阻塞网络、造成拒绝服务等,历年重大病毒影响情况,计算机病毒的起源与发展 计算机病毒的定义和特征 计算机病毒
13、的分类 计算机病毒的危害性 计算机病毒分析 其他恶意程序,计算机病毒分析,计算机病毒的结构及工作机理 引导型病毒分析 文件型病毒分析 宏病毒分析 蠕虫病毒分析 特洛伊木马分析,实录超牛病毒破坏电脑 世界最强电脑病毒 模拟实验黑客入侵路由器 不到五秒获取银行卡号,计算机病毒的结构及工作机理,计算机病毒的结构,计算机病毒的结构及工作机理,引导过程 也就是病毒的初始化部分，它随着宿主程序的执行而进入内存，为传染部分做准备 传染过程 作用是将病毒代码复制到目标上去。一般病毒在对目标进行传染前，要首先判断传染条件是否满足，判断病毒是否已经感染过该目标等，如CIH病毒只针对Windows 95/98操作系
14、统 表现过程 是病毒间差异最大的部分，前两部分是为这部分服务的。它破坏被传染系统或者在被传染系统的设备上表现出特定的现象。大部分病毒都是在一定条件下才会触发其表现部分的,引导型病毒实例分析,引导型病毒 传染机理 利用系统启动的缺陷 传染目标 硬盘的主引导区和引导区 软盘的引导区 传染途径 通过软盘启动计算机 防治办法 从C盘启动 打开主板的方病毒功能 典型病毒 小球病毒、大麻病毒、火炬病毒、Anti-CMOS病毒,引导型病毒分析,引导型病毒感染与执行过程,系统引导区,引导 正常执行,病毒,引导系统,病毒体,文件型病毒分析,文件型病毒 传染机理：利用系统加载执行文件的缺陷 传染目标：各种能够获得
15、系统控制权执行的文件 传染途径：各种存储介质、网络、电子邮件 防治办法 使用具有实时监控功能的杀毒软件 不要轻易打开邮件附件 典型病毒 1575病毒、CIH病毒,文件型病毒分析,文件型病毒文件型病毒与引导扇区病毒区别是：它攻击磁盘上的文件,文件型病毒分析,文件型病毒传染机理,正常 程序,程序头,程序头,程序头,程序头,程序头,程序头,程序头,程序头,程序头,程序头,程序头,程序头,程序头,程序头,程序头,程序头,病毒程序头,程序头,病毒程序,病毒程序,病毒程序,程序头,宏病毒分析,宏病毒 定义：宏病毒是指利用软件所支持的宏命令或语言书写的一段寄生在支持宏的文档上的，具有复制、传染能力的宏代码
16、跨平台式计算机病毒：可以在Windows 9X、Windows NT、OS/2和Unix、Mac等操作系统上执行病毒行为 影响系统的性能以及对文档的各种操作，如打开、存储、关闭或清除等 宏病毒对病毒而言是一次革命。现在通过E-mail、3W的互联能力及宏语言的进一步强化，极大地增强了它的传播能力,宏病毒分析,宏病毒工作机理,有毒文件.doc,Normal.dot,无毒文件.doc,Normal.dot,蠕虫病毒分析,蠕虫病毒 一个独立的计算机程序，不需要宿主 自我复制，自主传播（Mobile） 占用系统或网络资源、破坏其他程序 不伪装成其他程序，靠自主传播 利用系统漏洞； 利用电子邮件（无需用
17、户参与）,蠕虫病毒分析,蠕虫病毒 传染机理：利用系统或服务的漏洞 传染目标：操作系统或应用服务 传染途径：网络、电子邮件 防治办法 使用具有实时监控功能的杀毒软件 不要轻易打开邮件附件 打最新补丁，更新系统 典型病毒 RedCode，尼姆达、冲击波等,特洛伊木马分析,特洛伊木马程序 名字来源：古希腊故事 通过伪装成其他程序、有意隐藏自己恶意行为的程序，通常留下一个远程控制的后门 没有自我复制的功能 非自主传播 用户主动发送给其他人 放到网站上由用户下载,特洛伊木马分析,特洛伊木马程序 传播途径 通过网络下载、电子邮件 防治办法 使用具有实时监控功能的杀毒软件 不要轻易打开邮件附件 不要轻易运行
18、来路不明的文件 典型例子 BO、BO2k、Subseven、冰河、广外女生等,病毒、蠕虫与木马的比较,计算机病毒的起源与发展 计算机病毒的定义和特征 计算机病毒的分类 计算机病毒的危害性 计算机病毒分析 其他恶意程序,其他恶意程序,后门(Backdoor) 一种能让黑客未经授权进入和使用本系统的恶意程序 僵尸(Bot) 一种集后门与蠕虫一体的恶意程序. 通常使用IRC (Internet Relay Chat) 接受和执行黑客命令 广告软件/间谍软件,后门,具有反侦测能力 隐藏文件, 进程, 网络端口和连接, 系统设置, 系统服务 可以在恶意程序之中, 例如 Berbew；也有独立软件, 例如
19、 Hackder Defender 为控制者提供远程操作能力,僵尸,僵尸生态系统 僵尸 僵尸网 管理通道 看守者 从 MyDoom.A开始进入鼎盛期 打开后门 TCP port 3127 - 3198 下载和执行程序 利用被感染的计算机散发电子邮件 数以百万计的感染计算机被出卖给了垃圾邮件的制造者,僵尸僵尸网发展趋势,1）源代码可在网上免费下载 2）管理方式的变化: 过去: 集中管理 一个 IRC 服务器管理所有僵尸 关闭服务器就破坏了僵尸网 现在: 提升 注册多个IRC 服务器 通讯加密 (AES-128 或更强) 今后: 分布式 (P2P)管理 对照分析: Napster: 集中管理, 容
20、易被关闭 eDonkey: 分布式管理, 不容易被关闭,广告软件/间谍软件,广告软件 弹出窗口及横幅形式向用户提供广告服务 通常经过用户授权 间谍软件 未经授权收集用户信息 未经授权上传用户信息 未经授权改变系统外表及行为,广告软件/间谍软件传播方式,社会工程（欺骗）方法 非软件或硬件漏洞 电子邮件：附属可执行文件 电子邮件：隐蔽真实联接 弹出窗口 伪装网站 附属于其它免费或商业软件 利用浏览器瑕疵 自动下载及安装,手段一: 虚假安全警告,手段二: “取消”实际为“是”,手段三: 重复,手段四: 附加安装软件,手段五：利用浏览器缺陷,一些浏览器缺陷可被利用绕过安全检测和用户提示，直接启动恶意程
21、序 例如，利用MS03-014缺陷自动下载及运行文件u=http:/www.not-real- Spyware,病 毒 Viruses,木马程序 Trojans,后门程序 BACKDOORS,广告程序 Adware,蠕 虫 WORMS E-mail Network IRC,恶意程序 Malware,“All Worms are Viruses” but “Not all Viruses are Worms”,恶意软件发展趋势,专业化 集病毒，蠕虫，木马，后门，广告，间谍，恶意核心程序于一体。 只感染一小部分计算机, 以避免被发现。 有自动更新功能。 商业化 以前: 为制造轰动效应（上电台报纸） 现在: 钱 (有组织犯罪) 散发出垃圾邮件 发动中断服务袭击,
