恶性代码理解及趋势-1.pptVIP

SecurityE-ResponseCenter 2005-02-21 恶性代码的理解 与趋势 目录 恶性代码的定义及种类 恶性代码现况 恶性代码预防与对应 可疑样本收集方法 恶性代码的定义及种类 计算机恶性代码的定义 定义 给他人心理上和实际上受危害的计算机程序或可以运行的部分. 趋势 偷偷地在其它位置上复制(COPY)自身的程序,统称为恶性代码趋势 是计算机病毒 ? 还是恶性代码 ? 恶性代码的比较 恶性代码的种类 计算机病毒(Computer Virus) 文件病毒 : 大部分是Window上用的文件病毒 Boot/文件病毒 : 几乎灭绝 Macro/脚本病毒 容易制作和变形 比文件病毒传播速度快 恶性代码的种类 特洛伊木马(Trojan horse) 程序 没有自我复制能力的恶性代码 泄漏特定信息(键盘输入信息), 不经过允许的PC远程控制 恶性代码的种类 蠕虫(Worm) 程序 通过电子邮件/网络复制自己的恶性代码 通过电子邮件的附件文件形式扩散 利用安全漏洞的蠕虫增多 恶性代码的感染途径 感染恶性代码的途径 安全漏洞 MS Explorer, MS Office, Outlook等.. 感染文件自动运行，自动持续扩散 陆续发现的新安全漏洞 共享文件夹 电子邮件的附件 可能有害程序 Spyware: 获取用户的个人信息 如 IP 地址，用户名，密码 Key logger : 保存用户Key输入(存在个人信息泄漏的可能性) Adware : 广告软件 统计并适时打开特定窗口 固定特定网页 安博士研究所的政策 可能有害的程序不是恶性代码 诊断可能有害的程序 Adware Keylogger Hacking tool 远程控制工具 恶性代码现况 恶性代码现况 – 按阶段的特点 恶性代码现况 恶性代码现况 恶性代码现况 繁多的安全漏洞 vs. (相对) 较晚的对应速度 对于多样的安全漏洞的对应及收集信息很困难 管理安全补丁困难 对于对应相应漏洞而打补丁的意识晚 + 没有关心 恶性代码出现变种时间短于用户提高相应认识时间 多样的扩散路径 电子邮件, 安全漏洞, 内网共享文件夹, 应用软件, P2P, Messenger.. 事先100%截断很困难 - 需要使损失降到最小的对应方案 恶性代码的种类增多 Phishing, Keylogger, Adware, Spyware, 各种可能有害程序.. 杀毒软件(安全)厂商的基本对应时间 客户端信息安全事故模式 恶性代码现况 – 2003年 vs. 2004年 恶性代码现况– 2004年特点 恶性代码现况 – 变种急增 恶性代码现况 – 变种急增 特点 攻击管理目的的共享文件夹IPC$ 攻击RPC DCOM / DCOM2 / WebDAV 漏洞 连接特定 IRC 服务器后执行BOT管理者的命令(Trojan Horse + Backdoor + DDoS 攻击 + SyncFlooding Attack..) 强制结束特定程序 (regedit.exe, taskmgr.exe 等) 防止特定安全产品的运行 / 丧失预防功能 / 删除 妨碍安全产品的升级 (截断升级IP) 泄漏特定 S/W (FIFA, Warcraft, …) CD Key 引发网络过多流量 / 网络瘫痪 (被降低/停止正常业务) 因内部代码的Bug引发不可预料的症状 (CPU 100%, 60秒后系统重启Lsass.exe) 到完全防御需要很长时间 恶性代码现况 – 变种急增 主要传播对象 存在脆弱密码的系统 没有设置MS安全补丁 存在应用程序漏洞的系统 (远程控制 / 管理工具, ftp 工具 ..) 恶性代码现况 – 变种急增 恶性 IRCBot 变种急增的原因 制作者间的组织活动 相互竞争,共享源代码 / 技术 利用自行解压方法，制作变种更加简单 一般用户对使用管理系统的知识不足 设置脆弱的密码及未打补丁 恶性代码现况 – 隐蔽型 增加难于诊断 / 治疗的恶性代码 LoveGate.worm, Korgo.worm, AgoBot.worm (Soundman.exe) 只存在内存中 以Remote Thread形态寄生 (Explorer.exe / Korgo.worm) Kernel Mode Backdoor利用Kernel Driver 挂接 Native API Hooking 附加在网页浏览器 (BHO 形态 : Browser Helper Object) 使用Stealth方法挂接多样的Win32 API来隐藏自己Agobot.worm (Soundman.exe) 恶性代码现况 - 趋势 恶性代码现况 – 广告软件