3-传统计算机病毒(续)以及USB病毒.pdfVIP

恶意软件的分析与防范 傅建明 武汉大学计算机学院 Jmfu_whu@ 课时安排 1. 恶意代码概述 2. 计算机病毒 3. AutoRun病毒 4. 后门、木马 5. 网络钓鱼和蠕虫 6. Rootkit 7. 解释型病毒（宏病毒、脚本、网页病毒） 8. 常用检测技术和工具 9. 课堂讨论与练习 10. 期末考试 第二讲传统的计算机病毒（续） 计算机病毒的自我防护 计算机病毒的检测 USB病毒（AutoRun病毒） 1、病毒的自我保护手段 反静态反汇编技术 数据的压缩与数据加密 2 、病毒的自我保护手段（续） 反静态逆向工程技术 干扰代码技术 向设备的偏移量为100H处进行写操作 1、病毒的自我保护手段（续） 多态变形技术 病毒程序的设计者为了使病毒代码躲避扫描程 序的监察，不断对自身的执行代码进行变换， 尽量隐藏扫描程序依据的病毒特征代码，从而 使得扫描程序无法正确侦测和清除该病毒。 正是不断动态的变化特性，使得病毒程序具有 更高的存活性，可发展性，危害性。 有效的突破基于特征码的查杀技术 1、病毒的自我保护手段（续） 垃圾指令（花指令） 1、病毒的自我保护手段（续） 置换寄存器 1、病毒的自我保护手段（续） 置换子程序 BdyBody病毒有8个子 程序，因此有8 ！ =4032个不同的病毒样 本 W32/Ghost有10个子程 序，因此有10 ！ =3628800个不同的病 毒样本 1、病毒的自我保护手段（续） 指令级置换 1、病毒的自我保护手段（续） 反跟踪调试技术 句柄检测技术 使用CreateFileA （）等获取调试器的驱动句柄 检查函数首地址 调试工具会在设置断点是，修改地址为某一特殊机器码，如 softice cc 利用IsDebuggerPresent函数 调用IsDebuggerPresent （）检查 检查父进程 检查父进程是否为Explorer.exe GetTickCout ： 多次调用GetTickCount，检查两次之间的时间差 …… 1、病毒的自我保护手段（续） 反制技术 匹配进程名称，Kill安全、检测、反病毒等进程 现象：如打开process.exe，进程自动结束 应对：修改process ee文件名启动• 应对：修改process.exe文件名启 动 使防病毒软件不能更新 C:\windows\system32\drivers\etc\hosts 调整时间卡巴斯基暂时失效 修改注表导致无法进入安全模式 HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\S afeBoot下修改Minimal和Network为任意名称即可 窗口检测法 检测带有某些关键字的软件，如360 、安全卫士…… windows映像劫持技术(IFEO) （在RootKit部分介绍） 恢复ssdt 许多安全软件失效（在RootKit部分介绍） ssdt对抗inline hook突破进程保护（在RootKit部分介绍） …… 1、多线程保护技术 监控进程的运行状态，保护进程 实验：T-Mouse 一个基于“三线程”的诱鼠器。 主线程需要完成的任务有三个，分别是准备工作， 创建辅助线程和程序主