病毒知识.doc

病毒名是由以下6字段组成的：主行为类型.子行为类型.宿主文件类型.主名称.版本信息.主名称变种号#附属名称.附属名称变种号.病毒长度。其中字段之间使用“.”分隔，#号以后属于内部信息，为推举结构。 主行为类型与病毒子行为类型 　　病毒可能包含多个主行为类型，这种情况可以通过每种主行为类型的危害级别确定危害级别最高的作为病毒的主行为类型。同样的，病毒也可能包含多个子行为类型，这种情况可以通过每种主行为类型的危害级别确定危害级别最高的作为病毒的子行为类型。其中危害级别是指对病毒所在计算机的危害。 　　病毒主行为类型有是否显示的属性，用于生成病毒名时隐藏主行为名称。它与病毒子行为类型存在对应关系，见下表： 主行为类型 子行为类型 Backdoor危害级别：1说明： 中文名称—“后门”， 是指在用户不知道也不允许的情况下，在被感染的系统上以隐蔽的方式运行可以对被感染的系统进行远程控制，而且用户无法通过正常的方法禁止其运行。“后门”其实是木马的一种特例，它们之间的区别在于“后门”可以对被感染的系统进行远程控制（如：文件管理、进程控制等）。 ? Worm危害级别：2说明： 中文名称—“蠕虫”，是指利用系统的漏洞、外发邮件、共享目录、可传输文件的软件（如：MSN、OICQ、IRC等）、可移动存储介质（如：U盘、软盘），这些方式传播自己的病毒。这种类型的病毒其子型行为类型用于表示病毒所使用的传播方式。 Mail危害级别：1说明：通过邮件传播 IM危害级别：2说明：通过某个不明确的载体或多个明确的载体传播自己 MSN危害级别：3说明：通过MSN传播 QQ危害级别：4说明：通过OICQ传播 ICQ危害级别：5说明：通过ICQ传播 P2P危害级别：6说明：通过P2P软件传播 IRC危害级别：7说明：通过ICR传播 说明：不依赖其他软件进行传播的传播方式，如：利用系统漏洞、共享目录、可移动存储介质。 Trojan危害级别：3说明： 中文名称—“木马”，是指在用户不知道也不允许的情况下，在被感染的系统上以隐蔽的方式运行，而且用户无法通过正常的方法禁止其运行。这种病毒通常都有利益目的，它的利益目的也就是这种病毒的子行为。 Spy危害级别：1说明：窃取用户信息（如：文件等） PSW危害级别：2说明：具有窃取密码的行为 DL危害级别：3说明：下载病毒并运行 一、判定条款:没有可调出的任何界面,逻辑功能为:从某网站上下载文件加载或运行. 二、逻辑条件引发的事件:事件1、.不能正常下载或下载的文件不能判定为病毒。 操作准则:该文件不能符合正常软件功能组件标识条款的,确定为:Trojan.DL事件2.下载的文件是病毒 操作准则: 下载的文件是病毒,确定为: Trojan.DL IMMSG危害级别：4说明：通过某个不明确的载体或多个明确的载体传播即时消息（这一行为与蠕虫的传播行为不同，蠕虫是传播病毒自己，木马仅仅是传播消息） MSNMSG危害级别：5说明：通过MSN传播即时消息 QQMSG危害级别：6说明：通过OICQ传播即时消息 ICQMSG危害级别：7说明：通过ICQ传播即时消息 UCMSG危害级别：8说明：通过UC传播即时消息 Proxy危害级别：9说明：将被感染的计算机作为代理服务器 Clicker危害级别：10说明：点击指定的网页 判定条款:没有可调出的任何界面,逻辑功能为:点击某网页。 操作准则: 该文件不符合正常软件功能组件标识条款的,确定为:Trojan.Clicker。 (该文件符合正常软件功能组件标识条款,就参考流氓软件判定规则进行流氓软件判定) Dialer危害级别：12说明：通过拨号来骗取Money的程序 说明：无法描述其利益目的但又符合木马病毒的基本特征，则不用具体的子行为进行描述 AOL按照原来病毒名命名保留。 Notifier按照原来病毒名命名保留。 Virus危害级别：4说明：中文名称—“感染型病毒”，是指将病毒代码附加到被感染的宿主文件（如：PE文件、DOS下的COM文件、VBS文件、具有可运行宏的文件）中，使病毒代码在被感染宿主文件运行时取得运行权的病毒。 ? Harm危害级别：5说明：中文名称—“破坏性程序”，是指那些不会传播也不感染，运行后直接破坏本地计算机（如：格式化硬盘、大量删除文件等）导致本地计算机无法正常使用的程序。 ? Dropper危害级别：6说明：中文名称—“释放病毒的程序”，是指不属于正常的安装或自解压程序，并且运行后释放病毒并将它们运行。