近期病毒案例分析及华校园网病.PDFVIP

近期病毒案例分析及清华校园网病 毒防范介绍 郑先伟 CCERT 电子邮件： zxw@tsinghua.edu.cn 电 话： 010 1 近期病毒案例分析 要以磁碟机变种病毒为例 1.导致近期校园网ARP欺骗肆虐的元凶 2.多种传播手段 3.更完善的自我保护功能 4. 高可重复感染性 2 磁碟机变种病毒 2月27日第一次发现在清华校内某系内部网络发作, 现象: 网络时段时续,访问外网速度慢 打开任何网页都可能弹出各类假冒的QQ广告信息 局域网内发现有大量ARP欺骗存在 检查 发现,一个局域网内有8台主机在同时进行 ARP欺骗.到某台主机上采集样本进行分析发现,杀 毒软件仅能查杀样本中的部分病毒,还有大部分病 毒杀毒软件无法正常查杀. 3 磁碟机变种病毒 经过分析病毒样本发现该病毒采用了多种新的技 术.基本上包含了目前木马病毒发展的主要特征: 传播途径多 生存能力强 重复感染率高,变种更新迅速 功能齐全 4 磁碟机变种病毒 传播途径多样化: 通过网页浏览进行传播主要的传播手段之一,利用 大量可通过IE浏览器利用的漏洞进行传播,除windows 自身的漏洞外,越来越多的第三方插件的漏洞被利用, 如flash、realplay、pdf浏览器等。 通过移动存储介质传播windows的自动播放功能进 行传播，病毒感染系统后会自动恢复系统的自动播放 功能，便于它有效的传播。 5 磁碟机变种病毒 传播途径多样化: 通过感染系统的EXE文件进行传播病毒感染系统上 除windows系统目录外的所有EXE文件，并对执行文件 进行加壳（加密 以避免被杀毒软件查杀。病毒还会 感染压缩文件，它会自动解压压缩文件感染里面的可 执行文件 再重新压缩成压缩包。 6 磁碟机变种病毒 传播途径多样化: 通过ARP欺骗网页劫持传播病毒劫持局域网内所有 的网页访问，并在网页中插入带有木马链接的网页， 这就使得用户访问网页的危险系数增高。 通过木马下载器下载病毒感染系统后会通过木马 下载器下载很多其他的木马到系统上运行，而同样其 他木马感染系统 也会自动下载该木马病毒到系统上 运行。 7 磁碟机变种病毒 生存能力强，通过多种手段反查杀： 1. 注册全局HOOK，扫描包含有常用安全软件关键字 （关键字设置的很短 的程序窗口，发送大量消 息，致使安全软件崩溃。通过监测系统进程中的敏 感程序名来自动关闭相关的安全软件。 2. 通过系统延迟重启的方式在C盘生成高优先级的底 层驱动程序并在系统启动时加载，这个驱动会检测 系统上的病毒程