恶意代码与应急相应.pdfVIP

恶意代码技术与应急响应 段海新 清华大学信息网络工程研究中心 2006年11月，云南昆明 提纲 一． 恶意代码及其分类 二． 恶意代码技术的发展 三． 恶意代码分析与防范 四． CCERT与相关研究 五． 讨论 什么是恶意代码 代码 • 在一定的环境下可以执行的计算机程序 恶意的行为 • 在不为用户所知的情况下破坏侵入用户的计算 机系统，破坏计算机系统、网络或信息的保密 性、完整性、可用性 恶意移动代码 • 在计算机之间传播 常见的恶意代码 计算机病毒：寄生，非主动传播 网络蠕虫：独立存在，主动传播 木马/后门：独立存在，非主动传播 流氓软件：在用户不知情的情况下安装， 且难以卸载 恶意网页脚本： CARO （计算机反病毒研究组织）的命名方法： malware_type://platform/family_name.group_name.infective_length. variantdevolutionmodifiers virus://W32/Beast.41472.A , WinCE/Duts.1520 W32/Beast.41472.A , WM/Concept.B:Fr 恶意代码的破坏性 没有破坏性，恶作剧 破坏系统文件 破坏用户数据 消耗系统资源：CPU/ 内存/硬盘/外设 消耗网络资源：网络拥塞/DDoS攻击 窃取用户隐私信息 有组织的网络犯罪 恶意移动代码发展趋势 各种手段的融合，有时很难区分 • 电子邮件、 • 网络共享、 • 系统漏洞、 • P2P软件、 • 社会工程 （social engineering ) 变种的速度越来越快 利益驱动的越来越多 在与防病毒、防火墙等的对抗中发展 提纲 一． 恶意代码及其分类 二． 恶意代码技术的发展 三． 恶意代码分析与防范 四． CCERT与相关研究 五． 讨论 恶意代码技术发展 传播与感染技术 隐藏技术与隐蔽通信 代码的演化技术 恶意代码的传播技术 引导记录传播 移动介质 （如U盘传播） 可执行文件传播 数据文件传播 （宏） 利用电子邮件传播 通过文件共享传播 网页脚本 P2P文件共享 即时通信软件 （ICQ/MSN/QQ等） 系统漏洞传播 在内存中传播 引导型病毒—引导记录 主引导记录 （MBR ） 引导代码及 出错信息 主引导程序(446字节) 主分区表 A 分区1(16 字节) (64字节） 分区2(16 字节) 分区3(16 字节) 结束标记 分区4(16 字节) （2字节） 55AA 行 留行行 执驻执 导执 。 毒毒毒 程 引常带病病 过 正 行 执 与