第三章 2016.5.20磁碟机病毒.pptxVIP

磁碟机病毒;社会背景，经济损失 变种最快，破坏力最强的病毒。据360安全中心统计每日感染磁碟机病毒人数已逾100,1000用户！“磁碟机”现已经出现100余个变种，目前病毒感染和传播范围正在呈现蔓延之势。病毒造成的危害及损失10倍于“熊猫烧香”。; 现象： 1.系统运行缓慢、频繁出现死机、蓝屏、报错等现象； 2.进程中出现两个lsass.exe和两个smss.exe，且病毒进程的用户名是当前登陆用户名； 3.杀毒软件被破坏，无法正常开启，多种安全辅助工具无法正常开启； 4.系统时间被篡改； 5.病毒感染.exe文件导致其图标发生变化； 6.无法进入安全模式； 7.隐藏文件无法显示； 8.组策略被破坏； 9.会对局域网发起ARP攻击，并篡改下载链接为病毒链接； 10.弹出钓鱼网站。 ; 原理： 磁碟机Virus.Win32.Xorer.aex程序是使用VC编写的病毒程序，由微点主动防御软件自动捕获，采用UPX加壳方式试图躲避特征码扫描，加壳后长度为94,208字节，图标为Windows默认可执行文件图标，病毒扩展名为exe，主要通过网页木马、文件感染、移动存储介质方式传播;传播途径 ： 1.U盘/移动硬盘/数码存储卡 2.局域网ARP攻击 3.感染文件 4.恶意网站下载 5.其它木马下载器下载;破坏机制 ： 1.注册全局HOOK，扫描含有常用安全软件关键字的程序窗口，发送大量消息，致使安全软件崩溃 ????2.破坏文件夹选项，使用户不能查看隐藏文件 ????3.删除注册表中关于安全模式的值，防止启动到安全模式 ????4.创建驱动，保护自身。该驱动可实现开机删除自身，关机创建延迟重启的项目实现自动加载。 ????5.修改注册表，令组策略中的软件限制策略不可用。 ????6.不停扫描并删除安全软件的注册键值，防止安全软件开机启动。 ????7.在各磁盘创建autorun.inf和pagefile.pif，利用双击磁盘或插入移动设备时自动运行功能传播。 ????8.将注册表的整个 RUN 项及其子键全部删除，阻止安全软件自动加载 ????9.释放多个病毒执行程序，完成更多任务 ????10.病毒通过重启重命名方式加载，位于注册表HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\BackupRestore\KeysNotToRestore下的Pending RenameOperations字串。 ????11.感染除system32目录外的其它EXE文件（病毒感染行为不断进化，从感染其它分区到感染系统分区），最特别的是病毒还会解包RAR文件，感染其中的EXE之后，再打包成RAR。 ????12.下载大量木马到本地运行，用户最终受损情况，决定于这些木马的行为。;防御措施： ;如何判定是否种了磁碟机： 1.某些常用安全软件打不开，或打开后立即被关闭； 2.无法进入Windows安全模式； 3.无法正常显示系统隐藏文件； 4.任务管理器中有两个lsass.exe和smss.exe进程； 5.使用Winrar浏览\system32\com\目录有以下病毒文件：?o?systemroot%\system32\com\lsass.exe??o?%systemroot%\system32\com\smss.exe??o?%systemroot%\system32\com\netcfg.dll??o?%systemroot%\system32\com\netcfg.000? 6.硬盘根目录下有pagefile.pif和autorun.inf文件； 7.系统目录下存在dnsq.dll文件。 ;无法正常显示系统隐藏文件 ;任务管理器中有两个lsass.exe和smss.exe进程；;硬盘根目录下有pagefile.pif和autorun.inf文件;系统目录下存在dnsq.dll文件。