计算机病毒防治TCSP认证第九讲计算机病毒概述.ppt

第九第九讲 计算机病毒概述算机病毒概述.本章概要本章内容主要是本章内容主要是计算机病毒的基算机病毒的基础知知识，包括：，包括：q计算机病毒概念算机病毒概念q计算机病毒的生命周期算机病毒的生命周期q计算机病毒算机病毒发展展简史史q计算机病毒不良特征及危害算机病毒不良特征及危害q计算机病毒分算机病毒分类q计算机病毒的命名原算机病毒的命名原则q研究研究计算机病毒的基本准算机病毒的基本准则2.本章目标通通过本章学本章学习，学，学员应该了解了解计算机病毒的基本算机病毒的基本概念、分概念、分类方法、病毒的特征、方法、病毒的特征、传播途径及研究病毒播途径及研究病毒的基本准的基本准则等，等，为深入了解深入了解计算机病毒做好准算机病毒做好准备。3.计算机病毒概念算机病毒概念.什么是病毒什么是病毒?广广义的病毒：的病毒：泛指所有泛指所有恶意意软件，即件，即Malware。Malware是由两个英文单词融合而成，分别是Malicious（怀恶意的,恶毒的）和Software（软件）。狭狭义的病毒：的病毒：狭义的病毒特指恶意软件中的一类文件感染型病毒。这类恶意软件与其他恶意软件的不同之处在于它会感染其他可执行文件。关于这类恶意软件的详情可参考第十七章文件感染型病毒5.什么是病毒什么是病毒?狭狭义的病毒：的病毒：特指特指恶意意软件中的一件中的一类文件感染型病毒。文件感染型病毒。这类恶意意软件与其他件与其他恶意意软件的不同之件的不同之处在于它会感染在于它会感染其他可其他可执行文件。行文件。6.什么是什么是计计算机病毒算机病毒?计算机病毒通常是指可以自我复制，以及向其他文件算机病毒通常是指可以自我复制，以及向其他文件传播的程序。播的程序。7.计计算机病毒的生命周期算机病毒的生命周期8.计算机病毒算机病毒简史史.计计算机病毒起源算机病毒起源计算机病毒的来源多种多样，有的是计算机工作人员或业余爱好者为了纯粹寻开心而制造出来的有的则是软件公司为保护自己的产品被非法拷贝而制造的报复性惩罚10.计计算机病毒算机病毒历历史史1961年，美国的三个程序员通过编写小程序破坏对方、复制自身等来获取游戏胜利；这是计算机病毒“雏形”1971年，世界上第一个病毒CREEPER（爬行者）出现；不久一个名为Reaper（收割机）的程序出现，这是病毒史上的第一个专杀工具“计算机病毒”这一概念是1977年由美国著名科普作家“雷恩”在一部科幻小说P1的青春中提出1983年 美国计算机安全专家“考因”首次通过实验证明了病毒的可实现性1989年 全世界的计算机病毒攻击十分猖獗，其中米开朗基罗病毒给许多计算机用户造成极大损失。11.计计算机病毒算机病毒历历史史1989年 全世界的计算机病毒攻击十分猖獗，其中米开朗基罗病毒给许多计算机用户造成极大损失。1991年 在“海湾战争”中，美军第一次将计算机病毒用于实战1992年 出现针对杀毒软件的幽灵病毒，如One-half。1996年 首次出现针对微软公司Office的宏病毒。1997年 被公认为计算机反病毒界的“宏病毒”年。1998年 出现针对Windows95/98系统的病毒，如CIH（1998年被公认为计算机反病毒界的CIH病毒年）。1999年 Happy99等完全通过Internet传播的病毒的出现标志着Internet病毒将成为病毒新的增长点。12.计计算机病毒算机病毒发发展展1、DOS引导阶段 1987年，计算机病毒主要是引导型病毒，具有代表性的是“小球”和“石头”病毒。当时的计算机硬件较少,功能简单,一般需要通过软盘启动后使用。引导型病毒利用软盘得启动原理工作,它们修改系统启动扇区,在计算机启动时首先取得控制权,减少系统内存,修改磁盘读写中断,影响系统工作效率,在系统存取磁盘时进行传播。1989年,引导型病毒发展为可以感染硬盘,典型的代表有石头2。13.计计算机病毒算机病毒发发展展2、DOS可执行阶段 1989年,可执行文件型病毒出现,它们利用DOS系统加载执行文件的机制工作,代表为耶路撒冷,星期天病毒,病毒代码在系统执行文件时取得控制权,修改DOS中断,在系统调用时进行传染,并将自己附加在可执行文件中,使文件长度增加。1990年,发展为复合型病毒,可感染COM和EXE文件。14.计计算机病毒算机病毒发发展展3、批处理型阶段 1992年,伴随型病毒出现,它们利用DOS加载文件的优先顺序进行工作。它感染EXE文件时生成一个和EXE同名的扩展名为COM伴随体;它感染COM文件时,改为原来的COM文件为同名的EXE文件,在产生一个原名的伴随体,文件扩展名为COM。这样,在DOS加载文件时,病毒就取得控制权。15.计计算机病毒算机病毒发发展展4、幽灵、多形阶段 1994年,随着汇编语言的发展,实现同一功能可以用不同的方式进行完成,这些方式的组合使一段看似随机的代码产生相同的运算结果。幽灵病毒就是利用这个特点,每感染一次就产生不同的代码。16.计计算机病毒算机病毒发发展展5、生成器阶段 1995年,在汇编语言中,一些数据的运算放在不同的通用寄存器中,可运算出同样的结果,随机的插入一些空操作和无关指令,也不影响运算的结果,这样,一段解码算法就可以由生成器生成。当生成的是病毒时,这种复杂的称之为病毒生成器和变体机就产生了。具有典型代表的是病毒制造机VCL17.计计算机病毒算机病毒发发展展6、网络、蠕虫阶段 1995年,随着网络的普及,病毒开始利用网络进行传播,它们只是以上几代病毒的改进。在非DOS操作系统中,蠕虫是典型的代表,它不占用除内存以外的任何资源,不修改磁盘文件,利用网络功能搜索网络地址,将自身向下一地址进行传播,有时也在网络服务器和启动文件中存在。18.计计算机病毒算机病毒发发展展7、Windows病毒阶段 1996年,随着Windows和Windows95的日益普及,利用Windows进行工作的病毒开始发展,它们修改(NE,PE)文件,典型的代表是DS.3873,这类病毒的机制更为复杂,它们利用保护模式和API调用接口工作,清除方法也比较复杂。19.计计算机病毒算机病毒发发展展8、宏病毒阶段 1996年,随着Windows Word功能的增强,使用Word宏语言也可以编制病毒,这种病毒使用类Basic语言,编写容易,感染Word文档文件。在Excel和AmiPro出现的相同工作机制的病毒也归为此类。20.计计算机病毒算机病毒发发展展9、互、互连网网阶段段 1997年,随着因特网的发展,各种病毒也开始利用因特网进行传播,一些携带病毒的数据包和邮件越来越多,如果不小心打开了这些邮件,机器就有可能中毒。21.重大重大计计算机病毒事件算机病毒事件1988年11月2日，Internet前身Arpanet网络遭到蠕虫的攻击，导致瘫痪，其始作俑者为康奈尔大学计算机科学系研究生罗伯特莫里斯 1998年 出现的CIH病毒是一个全新的新型病毒。这种病毒与DOS下的传统病毒有很大不同，它使用面向Windows的VXD技术编制。该病毒是第一个直接攻击，导致硬件不能正常工作的计算机病毒。它主要感染Windows95/98的可执行程序，发作时破坏计算机Flash BIOS芯片中的系统程序，导致主板损坏，同时破坏硬盘中的数据。22.重大重大计计算机病毒事件算机病毒事件1999年4月 出现的梅丽莎病毒，是第一个通过电子邮件传播的病毒，短短24小时之内就使美国数万台服务器、数十万台工作站瘫痪，造成损失高达10亿美元。23.重大重大计计算机病毒事件算机病毒事件2003年，冲击波病毒利用Windows操作系统的RPC漏洞大量传播，导致上百万台计算机被迫重启，损失不计其数。在其之后的震荡波病毒，同样应用了类似的漏洞，这使中国广大的计算机使用者，第一次面对“漏洞”这个名词的时候，不得不同时面对巨大的损失。24.重大重大计计算机病毒事件算机病毒事件 2007年所有人几乎“谈熊猫色变”，熊猫烧香在短短几个月时间里感染了几百万台电脑，。该病毒不仅感染可执行文件，还会感染网页文件，并通过局域网、U盘等渠道传播，而且该病毒还对主流杀毒软件进行攻击，并删除gho后缀名的文件，使中毒的计算机无法恢复。2007年2月12日抓获病毒作者李俊（男，25岁，武汉新洲区人），他编写的“熊猫烧香”病毒并在网上广泛传播，并且还以自己出售和由他人代卖的方式，在网络上将该病毒销售给120余人，非法获利10万余元25.计计算机病毒不良特征算机病毒不良特征26.计计算机病毒的危害算机病毒的危害 窃取敏感信息，造成用户经济或精神损失；破坏文件或数据，造成用户数据丢失或毁损；占用系统资源，造成计算机运行缓慢；占用系统网络资源，造成网络阻塞或系统瘫痪；破坏操作系统等软件或计算机主板等硬件，造成计算机无法启动；其他错误及不可预知的危害。27.根据感染平台分根据感染平台分根据感染平台分根据感染平台分类类v 感染感染Windows系系统病毒病毒v 感染感染Unix/Linux系系统的病毒的病毒v 感染其他操作系感染其他操作系统v 跨平台病毒跨平台病毒v 感染感染DOS系系统病毒病毒28.根据宿主或感染根据宿主或感染根据宿主或感染根据宿主或感染对对象分象分象分象分类类v 文件型病毒文件型病毒v 复合型病毒复合型病毒v 宏病毒宏病毒v 引引导型病毒型病毒29.根据文件根据文件根据文件根据文件类类型分型分型分型分类类v文本文件文本文件v 其它其它v可可执行文件行文件30.根据根据根据根据恶恶意行意行意行意行为为分分分分类类ThreatsSpamMalwareGraywareVirusesTrojansWormsSpywarePhishingPharmingBotsAdwareTrojan SpywareDownloadersDroppersPassword StealersBackdoors防防间谍软件件产品覆盖范品覆盖范围防病毒防病毒产品覆盖范品覆盖范围31.现现代代代代计计算机病毒算机病毒算机病毒算机病毒类类型型型型现代代计算机病毒算机病毒类型型v 特洛伊木特洛伊木马程序程序v 蠕虫蠕虫v 玩笑程序玩笑程序v 恶意程序意程序dropperdropperv 后后门程序程序v DDos DDos 攻攻击程序程序32.病毒的命名原病毒的命名原则.病毒命名病毒命名病毒命名病毒命名规则规则文件类型如Win32、W32、Win16、BAT、JS等病毒类型如WORM、TROJAN、BACKDOOR等病毒（家族）名如NETSKY、VIKING、CIH等病毒变种名一般以顺序排列的字母后缀或数字组成一般来一般来说病毒名称至少包含以下内容中的一至多病毒名称至少包含以下内容中的一至多项：34.趋势趋势科技科技科技科技对对于病毒的命名于病毒的命名于病毒的命名于病毒的命名病毒名称前病毒名称前缀病毒病毒类型型TROJ木马WORM蠕虫PE文件感染型ADW广告组件TSPY间谍木马JS脚本VBSVB脚本PACKER加壳文件BKDR后门程序JOKE玩笑程序EXPL利用漏洞攻击35.趋势趋势科技科技科技科技对对于病毒命名的于病毒命名的于病毒命名的于病毒命名的规则规则形式：病毒病毒类型型病毒（家族）名病毒（家族）名病毒病毒变种名种名+例：TSPY_ONLINEG.QIDBKDR_HUPIGON.WKZ36.研究研究计算机病毒的基本原算机病毒的基本原则.原原原原则则一：遵一：遵一：遵一：遵纪纪守法守法守法守法！严严格自律，遵守相关法律法格自律，遵守相关法律法规规！对对于于为为研究之用收集、研究之用收集、编编写的病毒，写的病毒，进进行行严严格的控制，不格的控制，不传传播病毒亦不播病毒亦不协协助他人助他人传传播病播病毒毒中中华人民共和国人民共和国计算机信息系算机信息系统安全保安全保护条例条例计算机病毒防治管理算机病毒防治管理办法法38.案例案例中华吸血鬼熊猫烧香僵尸(肉鸡)网络39.原原原原则则二：必要的二：必要的二：必要的二：必要的设备设备（A）一台个人计算机或工作平台，与网络地址并提供电子邮箱及网络接入功能（网络系统）；（B）一台独立的不连接、并且不会因疏忽而能连接网络系统的计算机系统（隔离的独立系统）；（C）一个已经建立的隔离的并且不会因疏忽而能连接外部网络系统的网络环境（病毒实验室系统）。40.谢谢！41.