僵尸网络病毒之BotNet扫盲、预防及清除

最新推荐文章于 2024-08-18 21:17:24 发布

kevinhg

最新推荐文章于 2024-08-18 21:17:24 发布

阅读量9.7k

点赞数 3

分类专栏：实用技巧荟萃文章标签：网络服务器 system 互联网杀毒软件扩展

本文链接：https://blog.csdn.net/kevinhg/article/details/5941773

版权

实用技巧荟萃专栏收录该内容

24 篇文章 1 订阅

订阅专栏

自今年伊始，就看到了有关“僵尸网络”病毒不断泛滥的报道。今天下班回家看中央台新闻频道，发现我们国家感染该病毒的用户就有几百万台（没记得很清楚），再到网络上一查，发现电信、联通，还有很多政府机构和单位都曾经发出过有关“加强防范木马和僵尸网络控制入侵的通知”。看起来最近“僵尸”复活，开始泛滥了，有点网络版“生化危机”的味道。

僵尸网络(英文名称叫BotNet)，是互联网上受到黑客集中控制的一群计算机，往往被黑客用来发起大规模的网络攻击，如分布式拒绝服务攻击(DDoS)、海量垃圾邮件等，同时黑客控制的这些计算机所保存的信息也都可被黑客随意“取用”(如:信用卡,网络银行支付帐号,股票资金帐户.等等)。因此，不论是对网络安全运行还是用户数据安全的保护来说，僵尸网络都是极具威胁的隐患。僵尸网络的威胁也因此成为目前一个国际上十分关注的问题。然而，发现一个僵尸网络是非常困难的，因为黑客通常远程、隐蔽的控制分散在网络上的“僵尸主机”，这些主机的用户往往并不知情。因此，僵尸网络是目前互联网上黑客最青睐的作案工具。

查阅国家计算机网络应急技术处理协调中心的网站，有基本介绍：计算机“僵尸网络”病毒，通过连接IRC服务器进行通信从而控制被攻陷的计算机。此病毒有如下特征：

一、连接IRC服务器

1、连接IRC服务器的域名、IP、连接端口情况如下：

       0x80.online-software.org   194.109.11.65 TCP/6556， TCP/1023 荷兰
       0x80.martiansong.com        64.202.167.129 TCP/6556，TCP/1023 美国
       0x80.my1x1.com              194.109.11.65 TCP/6556， TCP/1023 荷兰
       0x80.goingformars.com       64.202.167.129 TCP/6556，TCP/1023 美国
       0x80.my-secure.name         194.109.11.65 TCP/6556， TCP/1023 荷兰
       0xff.memzero.info           无法解析                TCP/6556，TCP/1023
     2、连接频道：#26#，密码：g3t0u7；

二、扫描随机产生的IP地址，并试图感染这些主机；

三、运行后将自身复制到System/netddesrv.exe；

四、在系统中添加名为NetDDE Server的服务，并受系统进程services.exe保护。

★★被攻击计算机的基本表现特征

1、进程里有mcxsvcn.exe、mcxsvcm.exe、mcxsvci.exe、mcxsvc2.exe，位置在c:/windows/system32/iexplorer.exe。

2、文件夹选项里“隐藏受保护的系统文件（推荐）”前的钩无法去掉，成功修改注册表的值后，还是无法去掉前面的钩。

3、文件夹选项里“隐藏已知文件类型的扩展名”前的钩无法去掉，成功修改注册表的值后，可以去掉前面的钩，但是还是无法显示文件的扩展名。

4、进程里有多个explorer.exe、smss.exe进程，下挂calc.exe（和计数器的进程名一样）。

5、进程里有多个cmd.exe进程。

6、在目录windows/system32/driversstore、windows/system32/search、windows/system32/tracing下存在1st.exe、2008.exe、beep1.exe、conme.exe、hode.exe、mine.exe、mycc08~1.exe、s1vce2.exe等文件。