根据使用情况,我们将蠕虫分为两类:一类是面向企业用户和局域网的病毒,这种病毒利用系统漏洞,主动进行攻击,可以造成网络瘫痪的后果。以“红色代码”“尼姆达”“sql蠕虫王”等为代表。另一种针对个人用户,通过网络(主要是电子邮件、恶意网页)进行传播,以“爱虫”“求职信”等为代表。
第一类有很大的攻击性,而且爆发比较突然,这种查杀不是很困难。第二类病毒的传播方式比较复杂多样,少数利用了微软的应用程序漏洞,更多的是利用社会工程学欺骗和诱导。
6.4.2 网络蠕虫病毒分析和防范
蠕虫病毒和普通病毒不同的一个特征是:蠕虫病毒能够利用漏洞,这里说的漏洞分为两种:软件上的缺陷和人为上的缺陷。
利用系统漏洞的恶性蠕虫病毒分析
这种病毒以
“红色代码”、“尼姆达”、“sql蠕虫”为代表,其共同特征是利用某个漏洞进行攻击。由于网络山普遍存在这种漏洞,而且攻击对象为服务器,所以造成了网络严重阻塞。
SQL蠕虫
以
2003年1月26日爆发的SQL蠕虫为例,爆发数小时内,SQL蠕虫就席卷了全球网络,造出呢光网络堵塞。亚种中,以韩国受影响最为严重,两大网络供应商系统全部瘫痪。更为严重的是,许多银行自动取款机无法正常工作。
微软在
2002年7月就公布了一个安全公告,但当sql蠕虫爆发时,仍有大量的主机没有安装最新补丁,从而被蠕虫利用。蠕虫通过376字节的恶意代码,远程获得对方主机权限。该蠕虫生成一个随机IP,,然后将自身代码发送到1434端口,该蠕虫传播速度极快,使用广播包发送自身代码,每次可以攻击一个子网。该过程为死循环,发包密度仅和网络带宽和机器性能有关。该蠕虫本身没有任何恶意行为,也不在磁盘写文件,仅驻留在内存中,重启即可清除,不过还能再次感染。由于发送大量数据包占用网络资源,形成UDP Flood,网络性能会下降。一个百兆网络只要有一两台计算机感染,就会造成网络瘫痪或阻塞。
红色代码(
Code Red)
该蠕虫感染运行
Microsoft Index Server 2.0的系统,或是在Windows 2k的IIS中启动了Indexing Service(索引服务)的系统。利用缓冲区溢出漏洞进行传播,只驻留内存,不在磁盘中写入文件。
该蠕虫通过
TCP 80端口传播,利用上述漏洞,一旦感染系统,就会检测磁盘中是否存在C:/notworm,如果存在,则停止感染其他主机。该蠕虫会在Web页中写入以下文字:
“求职信”病毒
/蠕虫行为分析
该程序具有罕见的双程序结构,分为蠕虫部分(网络传播)和病毒部分(感染文件、破坏文件)。二者在代码上是独立的两部分。
求职信执行的蠕虫部分代码,具体操作如下:
1.把自身拷贝到
/winnt/system32/krnl32.exe,设置隐藏、系统、只读属性。
2.把
/winnt/system32/krnl32.exe注册为“Krnl32”服务,并自动运行。
3.在
Internet临时文件夹中读取所有htm、html文件并从中提取email地址,邮件主题随机。内容为空,但是有一段注释。
4.搜索网上邻居,发现可写的共享目录就随机生成一个文件,并将病毒自身加密复制过去。文件名生成规则如下:
·第一部分随机名字,最后是一个“.”
·第二部分在htm、doc、jpg、bmp、xls、cpp、html、mpg、mpeg中任选一个
·第三部分是
exe作为扩展名
5.krnl32.exe每启动一次就会在目录
%temp%和/winnt/temp/中创建一个自身副本,文件名是k字开头的。设置病毒部分在下次开机时运行。
6.改变部分编码后拷贝至
/winnt/system32/wqk.dll,设置系统、只读、隐藏属性。
7.在注册表中写入以下键值:
[HKLM/software/Microsoft/windows nt/CurrentVersion/Windows]
“AppInit_DLLs”=“Wqk.dll”
把
wqk.dll注册为系统启动必须加载的模块,下次开机时,病毒以动态链接库的形式被加载。下次开机时,wqk.dll被加载,wantjob以病毒方式运行。
(
1)遍历硬盘,寻找pe格式文件,感染之。
(
2)检查本地时间,如果时间为1月13日,马上启动26个破坏线程,用内存中的数据覆盖硬盘上的所有文件;
(
3)wqk.dll每启动一次就会在system32中创建一个自身副本
Wantjob有自我保护措施
(
1)检查进程,结束杀毒软件进程;
(
2)不断向注册表中写入键值,即是手工去掉,也会被马上写入
[HKLM/software/Microsoft/windows nt/CurrentVersion/Windows]
“
AppInit_DLLs”=“Wqk.dll”
Wantjob在
9x系统下,表现有所不同。
(
1)9x没有“服务”,所以wantjob不注册“Krnl32”服务,而是在注册表[HKLM/Software/Microsoft/Windows/CurrentVersion/Run]写入“krnl32”=“c:/windows/system/krnl32.exe”;
(
2)没有wqk.dll,而是wqk.exe,也在注册表Run写入键值。
解决方案:
在
9x下,可以进入纯Dos杀毒。在2k下:
1.结束所有
krnl32.exe进程;
2.删除
/system32/krnl32.exe及其所有副本;
3.删除或禁用
drnl32服务;
4.在注册表
[HKLM/Software/Microsoft/Windows/CurrentVersion/Run]中添加以下键值:
@=”cmd /c “attrib –s –h –r /winnt/system32/wqk.dll”&”del /winnt/system32/wqk.dll””
5.正常启动系统,删除所有相关注册表信息。
Nimda病毒分析
该病毒通过
email传播,利用一个已知的漏洞(MIME类型),在存在漏洞的系统上,读取HTML格式的邮件,就会感染病毒,通过运行携带的二进制文件,也会感染。
Nimda发送的邮件,主题长度大多会多于
80 words。附带的二进制文件虽然CRC值不同,但是长度几乎都是57344B。
感染
Nimda的机器会不断向Windows地址簿中的所有地址发送带毒邮件。同样,会扫描有漏洞的IIS服务器。被感染的机器会发送一份Nimda病毒的副本到有漏洞的服务器,一旦在该服务器上运行,就会遍历目录(包括可写入的共享),留下一个名为“Readme.eml”的自身拷贝,并感染所有Web内容的文件,添加一段JS代码,功能是执行Readme.eml。
在没有打补丁的
IIS服务器上,入侵者可以在Local System权限下执行任何命令。被感染的机器具有极高的风险并会去攻击其他Internet站点。网络上感染的机器增多后,Nimda的高速扫描会造成带宽耗尽而拒绝服务。
企业防范蠕虫病毒措施
企业部署反病毒系统,需要考虑对病毒的查杀能力、监控能力、新病毒的反应能力等几个问题,而企业防毒的一个重要方面是管理和策略。
1.加强管理水平,提高安全意识。
2.建立病毒检测系统,能够在第一时间检测到网络异常和病毒攻击。
3.建立应急响应系统,将风险降低到最小。
4.建立灾难备份系统。
5.对局域网而言,可以采用以下一些主要手段:(
1)在因特网入口处安装防火墙或杀毒产品;(2)对邮件服务器进行监控,防止病毒邮件传播;(3)对局域网用户进行安全培训;(4)建立局域网内部的升级系统,包括度操作系统升级、常用软件升级、各种杀毒软件病毒库等。
对个人用户产生直接威胁的蠕虫病毒
对个人而言,产生威胁的一般是
email病毒或恶意网页等。
对于通过
email传播的病毒,一般都采用社会工程学(Social Engineering)即以各种欺骗手段诱惑用户,进行传播。
恶意网页是一段嵌入在网页中的代码,在用户不知情的情况下打开含有病毒的网页时,病毒就会发作。对于恶意网页,通常采取
VBS或者JS编程的形式,简单,使用较为广泛。
个人用户对蠕虫病毒的防范措施
网络蠕虫病毒对个人的攻击主要还是通过社会工程学,而不是系统漏洞,所以防范注意:
1.购买合适的杀毒软件。
2.经常升级病毒库。
3.提高防杀病毒意识。
4.不要随便查看陌生邮件。
6.4.3 Linux系统的病毒介绍
Lion病毒
Linux.Lion是一个危险的
Linux蠕虫,改变用户的电脑 ,偷取用户密码,降低用户电脑的安全防范,不会在Windows中运行。