恶性代码理解及趋势-1课件.ppt

,*,ASEC Unit.,S,ecurityE-ResponseCenter,200,5,-,0,2-21,恶性代码的理解,与趋势,目录,恶性代码的定义及种类,恶性代码现况,恶性代码预防与对应,可疑样本收集方法,1,恶性代码的定义及种类,2,计算机恶性代码的定义,定义,给他人心理上和实际上受危害的计算机程序或可以运行的部分.,趋势,偷偷地在其它位置上复制,(COPY),自身的程序,统称为恶性代码趋势,3,是计算机病毒,?,还是恶性代码,?,恶性代码的比较,自我复制,感染对象,存在形式,复原方法,计算机病毒,O,O,需要宿住对象,治疗,特洛伊木马,X,X,独立,删除,蠕虫,O,X,独立,删除蠕虫和病毒是根据有没有住宿环境区分,4,恶性代码的种类,计算机病毒,(Computer Virus),文件病毒,:,大部分是,Window,上用的文件病毒,Boot/,文件病毒,:,几乎灭绝,Macro/,脚本病毒,容易制作和变形,比文件病毒传播速度快,5,恶性代码的感染途径,过去,软驱,通过计算机通信系统下载已经感染的文件,通过网络,(,ftp,http,新闻集团等,),下载已经感染的文件,主要文件名,:,成人资料,Crack,外挂,密码,正版.,现在,安全漏洞,(OS,Program,人,),通过电子邮件的附件文件，急速扩散,盲目共享文件夹,通过,Intranet,文件服务器共享文件,CD-ROM,在线聊天,P2P,8,感染恶性代码的途径,安全漏洞,MS Explorer,MS Office,Outlook,等,.,感染文件自动运行，自动持续扩散,陆续发现的新安全漏洞,共享文件夹,电子邮件的附件,9,可能有害程序,Spyware,:,获取用户的个人信息,如,IP,地址，用户名，密码,Key logger:,保存用户,Key,输入,(,存在个人信息泄漏的可能性,),Adware:,广告软件,统计并适时打开特定窗口,固定特定网页,10,安博士研究所的政策,可能有害的程序不是恶性代码,诊断可能有害的程序,Adware,Keylogger,Hacking tool,远程控制工具,11恶性代码现况,12,恶性代码现况,按阶段的特点,*,一般恶性代码的,life cycle,出现,急速,扩散,初期,扩散,急速,减少,残存,消灭,特点,急速扩散后急速减少,不能形成自行减少趋势,(,有的恶性代码消灭其他恶性代码,-,竞争,),急速扩散后急速减少的现象是杀毒软件升级或采取了安全措施的结果,13,时间,扩散规模,出现,早期扩散,扩散,=,出现感染,急速减少,残存,消灭,安全产品,/,杀毒软件,升级 发布最新引擎,早期截断,?,从这里开始处于,相对安全状态,07:00,上午,07:10,10:00,上午,07:05,恶性代码现况,14,生成,病毒制作者制作完新病毒的起始点,扩散初期,病毒制作者初期发布的地区为中心扩散的阶段,只有杀毒软件厂商等部分群组可探测到的阶段,期待具有最大截断效果的阶段,急速扩散,通过邮件急速扩散的阶段,一般用户直接受到损害的阶段,引发最大损害的阶段,急速减少,扩散程度急速下降的阶段,杀毒软件厂商发布的紧急制作的最新引擎是其主要原因,残存,再次被感染或部分没有安装杀毒软件的系统中残留着病毒的阶段,没有在所有的系统中升级到最新引擎而发生的问题,消灭,基本不能发现病毒活动的阶段,像是被消灭，但是在,特定的日期发作的病毒,的情况，也有,潜伏,的情况,恶性代码现况,-,LifeCycle,阶段特点,15,攻击者只需知道一个漏洞,.,防御者必须做好一切防御,.攻击者随时可以攻击,.,1.,攻击者,vs.,防御者,3.,安全,vs.,使用便利性,安全解决方案,/,系统的使用并非简单,.,很难记住复杂而强力的密码,.,用户喜欢简单,/,单纯的密码,.,我也需要,安全措施吗,?,2.,相对较晚的安全措施,认为商业上讲安全措施是非重要的事情,.,对于防御者来讲在时间和费用上受到限制,.,恶性代码现况,16,恶性代码现况,*,对应恶性代码困难的理由,1),具有多样的扩散路径,17,恶性代码现况,繁多的安全漏洞,vs.(,相对,),较晚的对应速度,对于多样的安全漏洞的对应及收集信息很困难,管理安全补丁困难,对于对应相应漏洞而打补丁的意识晚,+,没有关心,恶性代码出现变种时间短于用户提高相应认识时间,多样的扩散路径,电子邮件,安全漏洞,内网共享文件夹,应用软件,P2P,Messenger,.,事先,100%,截断很困难,-,需要使损失降到最小的对应方案,恶性代码的种类增多,Phishing,Keylogger,Adware,Spyware,各种可能有害程序,.,杀毒软件,(,安全,),厂商的基本对应时间,*,对应恶性代码困难的理由,1),18,客户端信息安全事故模式,损坏软,盘,印刷品,CDRW,盗窃及丢失重要计算机和硬盘信息,由于恶性代码损失数据,恶用个人信息,对外泄漏密码,-,威胁电子商务,-,降低信誉，敲诈电子货币(,Cyber money)业务效率降低,发送多量电子邮件,19,恶性代码现况,2003,年,vs.2004,年,2003,2004,20,恶性代码现况,2004,年特点,病毒名称,举报数,1,Win32/Netsky.worm.29568,19,708,2,Win32/Dumaru.Worm.9234,11,074,3,Win32/Netsky.Worm.17424,6,571,4,Win32/Netsky.Worm.28008,2,805,5,Win32/Netsky.Worm.22016,2,723,变种急增,基于,IRCBot,的变种登场,蠕虫急增,/,病毒急速减少,恶用共享文件夹,P2P,软件的安全弱点,使安全产品丧失功能,大量发送电子邮件,/,诱发网络负荷,恶用,OS,及应用程序的漏洞,增加难以诊断,/,治疗的种类,对于,MS,的持续攻击,增加因广告软件,/,间谍软件,/,Spam,的,直接,/,间接的损害,21,恶性代码现况,变种急增,Agobot,感染,PC,Internet,IRC Server,Bot Command Send,(DDoS,SyncFlooding,.),攻击对象,PC,(,存在,RPC,漏洞,),(,存在脆弱的,Password),TCP/135,445,Port Attack,IRC Connection,(TCP/66676670,7000,8000),TCP/135,445 port Attack,TCP/135,445,Port Attack,Destination IP Address Rules:,Local_IP or Random C-class.1255,22,恶性代码现况,变种急增,特点,攻击管理目的的共享文件夹,IPC$,攻击,RPC DCOM/DCOM2/WebDAV,漏洞,连接特定,IRC,服务器后执行,BOT,管理者的命令,(Trojan Horse+Backdoor+DDoS,攻击,+SyncFlooding Attack.),强制结束特定程序,(regedit.exe,taskmgr.exe,等,),防止特定安全产品的运行,/丧失预防功能,/,删除,妨碍安全产品的升级,(,截断升级,IP,),泄漏特定,S/W(FIFA,Warcraft,)CD Key,引发网络过多流量,/,网络瘫痪,(,被降低,/,停止正常业务,),因内部代码的,Bug,引发不可预料的症状,(CPU 100%,60,秒后系统重启,Lsass.exe),到完全防御需要很长时间,23,恶性代码现况,变种急增,主要传播对象,存在脆弱密码的系统,没有设置,MS,安全补丁,存在应用程序漏洞的系统,(,远程控制,/,管理工具,ftp,工具,.),24,恶性代码现况,变种急增,恶性,IRCBot,变种急增的原因,制作者间的组织活动,相互竞争,共享源代码,/,技术,利用自行解压方法，制作变种更加简单,一般用户对使用管理系统的知识不足,设置脆弱的密码及未打补丁,25,恶性代码现况,隐蔽型,增加难于诊断,/,治疗的恶性代码,LoveGate.worm,Korgo.worm,AgoBot.worm(Soundman.exe),只存在内存中,以,Remote Thread,形态寄生,(Explorer.exe/Korgo.worm),Kernel Mode Backdoor,利用,Kernel Driver,挂接,Native API Hooking,附加在网页浏览器,(BHO,形态,:Browser Helper Object),使用,Stealth,方法,挂接多样的,Win32 API,来隐藏自己,Agobot.worm(Soundman.exe),26,对恶性代码的举报数仍持续增加,脚本病毒逐渐消失,(15%,1%,以下,),文件病毒逐渐减少,(30%,5%),蠕虫的迅速增加,(55%,95%),利用,MS,漏洞传播的蠕虫开发形成竞争,2004,年,Windows,文件,5%,蠕虫,(,漏洞,),25%,蠕虫,(Mail),70%,蠕虫,55%,Windows,文件,30%,脚本,15%,2003,年,28,220,71,661,100,539,-,20,000,40,000,60,000,80,000,100,000,120,000,2002,年,2003,年,2004,年,2.5,倍,1.4,倍,按年度,Top 20,恶性代码 类别状况,按年度总举报数,(,资料出处,:,安博士公司,ASEC Annual Report 2004),恶性代码现况,-,趋势,27,恶性代码现况,广告软件,/,间谍软件,特点,2004,年以后被侵害事例增多,出现预想不到的现象,固定初始地址,自动在桌面生成,ICON,根据搜索单词连接到特定网站,频繁出现浏览器错误,连接到黄色网站，谈出广告窗口,系统速度变缓慢,28,恶性代码现况,广告软件,/,间谍软件,问题,难以区分计算机病毒和可能有害程序,出现广告软件,键盘记录,间谍软件,杀毒软件厂商所定义的恶性代码有趣别,难定诊断标准及危险度,治疗,删除文件，删除注册表值难以根除,治疗后再次发生被感染及造成系统不稳定,29,恶性代码现况,对,MS,公司的持续攻击,共享,/,攻击,MS,的漏洞,windows,95,出来后 对系统漏洞攻击成强化趋势,Word/Excel Macro Virus,利用,outlook,的邮件病毒,各种应用软件和网页浏览器的漏洞,丧失,windows,XP SP2,的安全功能,Win32/Bag.worm Family:,关闭,SP2,防火墙,Win32/Zafi.worm 15993:,修改注册表值,使得关闭,SP2,的防火墙和安全中心功能,30,恶性代码预防及对应31,迅速对应,恶性代码预防及对应,1.,确认,症状,规模,扩散与否,2.,确保证据,电子邮件,文件,系统,4.,紧急措施,内部警告,截断端口,过滤邮件,隔离系统,3.,依赖分析,support,.,cn,32,恶性代码预防及对应,紧急对应,杀毒软件对应前的对应,确认实际被害,/,扩散与否,确认是否出现同样现象,确认是否通过特定端口传输的网络流量,139,445,数据包增加,确认是否接受大量电子邮件,(,带有附件,),被感染文件及依赖分析,确认可疑,PC/,文件,确认是否运行非正常进程,/,服务,首先利用,windows,自带工具,利用个别工具,确认跟注册表有关的部分,(,利用各种工具及,Ahnreport,),33,恶性代码预防及对应,紧急对应,利用杀毒软件客服,=,紧急对应,SMS,电子邮件,电话,.,新型,变种,可疑文件的分析,Support,停止,/,截断,停止使用被认为可疑程序,截断,/,过滤特定端口,(IDS,IPS),截断被认为可疑端口,(in,out),过滤题目，附件来防止扩散,解决内部漏洞,安全补丁,安全通知,紧急升级及检查,34,恶性代码预防及对应,确认,windows,基本服务,管理,windows console,程序,生成,/,关闭线程,支持,16bit,虚拟,MS-DOS,模式,支持任,务栏,桌面等,user,shell,担任,Winlogon,服务必要的认证进程,打印机,Spooling,功能,担任从,DLL,运行的另外进程的,host,功能,开始,/,停止 系,统服务,Csrss.exe,Explorer.exe,Lsass.exe,Spoolsv.exe,Svchost.exe,Services.exe,参考,:Microsoft,技术资料,-Q263201(,确认非正常进程,),假装正常进程的恶性代码正在增加，所以必须弄清正常的系统进程,*,其他注意事项,V3,系统监视,MonSvcNT.exe,35,恶性代码预防及对应,Ahnreport,AhnReport,安博士公司发布的专用工具,V3,产品安装内容,/,引擎版本,Boot.ini,Win.ini,System.ini,等,确认运行中的进程,安装的软件信息,网络状态,开始程序,下载的,Active-X,下载地址,Ahnreport,37,恶性代码预防及对应,MS,网站,安全漏洞,主要,Microsoft,产品,(OS,IE,O/OE,MS-Office,MS-SQL,等,),按特定周期访问,windows update,网站,打最新,OS,Office,补丁,38,恶性代码预防及对应,MS,网站,确认安全漏洞,(MBSA-Microsoft Baseline Security Analyzer),Microsoft,产品漏洞扫描工具,Ports,RPC Locator Vulnerability(MS03-001),TCP/135,WebDAV Vulnerability(MS03-013),TCP/80,PRC DCOM Vulnerability(MS03-026),TCP/135,445,RPCSS(RPC DCOM2)Vulnerability(MS03-039),TCP/135,UPnP Vulnerability(MS01-059),TCP/5000,LSASS Vulnerability(MS04-011),TCP/445,Shared Folder and Week-Password Vulnerability,TCP/139,445,WorkStation Service Vulnerability(MS04-012),TCP/80,445,Messenger Service Vulnerability(MS03-043),SQL Server 2000/MSDE Vulnerability(MS02-061),UDP/1434,40,恶性代码预防及对应,Microsoft MBSA(Microsoft Baseline Security Analyzer),1.2,Weak Password Scanner,,www.xfocus.org,公开漏洞源文件的网站,,www.xfocus.org,,lsd-,,,www.hackersnews.org,41,恶性代码预防及对应,确认异常的进程和注册表值,/,恶性代码经常添加的注册表项,HKLMSoftwareMicrosoftWindowsCurrentVersionRunServicesOnce(9x,Me),HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices(9x,Me),HKLMSoftwareMicrosoftWindowsCurrentVersionRunOnce,HKLMSoftwareMicrosoftWindowsCurrentVersionRunOnceEx,存在相同进程路径,!,HKLMSoftwareMicrosoftWindowsCurrentVersionRun,HKCUSoftwareMicrosoftWindowsCurrentVersionRun,HKCUSoftwareMicrosoftWindowsCurrentVersionRunOnce,HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinlogon Userinit(NT,2000),HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinlogon Shell(NT,2000),42,恶性代码预防及对应,广告软件经常改变的注册表值,HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain Start Page=,HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMain Start Page=,HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain Search Page=,HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain Search Bar=,HKEY_CURRENT_USERSoftwareMicrosoftInternet Explorer SearchURL=,HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerSearch CustomizeSearch=,HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerSearch SearchAssistant=,HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMain Search Page=,HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMain Search Bar=,HKEY_LOCAL_MACHINESoftwareMicrosoftInternet Explorer SearchURL=,HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerSearch CustomizeSearch=,HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerSearch SearchAssistant=,HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerMain Default_Page_URL=,HKEY_CURRENT_USERSoftwareMicrosoftInternet ExploreMain Start Page=,43,恶性代码对应方法,处理向导,识别恶性代码的方法,使用,AhnReport,确认 运行中的,确认,System3,2,下的进程,没有,Version,信息的文件,确认开始程序,没有路经的文件,重复运行,2,次以上的进程,确认网络状态,Windows XP,以上,按,Port,确认,Process,44,恶性代码对应方法,处理向导,识别恶性代码的方法,Dos,模式下,Worm,文件的特点,位于,System32,下,属性为Hidden,一般文件大小小于,150KB,搜索方法,运行,DOS Prompt-,进到,System32,运行,dir*.exe/od/a,确认最近,10,日内生成或改变的文件,变更可疑文件的扩展名并重启,-,确认症状,是否恢复正常,45,识别恶性代码的方法,识别恶性代码的方法,利用其他,Tools,TCPViewer,9x/NT/2000/XP/2003,F-Port,(Command MODE),AutoRuns/ProcessExplorer/psTools,AutoRuns:,开始程序,Process Explorer:,运行中的进程,显示,DLL,强制结束,psTools:psexec,pskill,pslist,等远程工具,下载地址,(freeware),-Utilities,46,恶性代码预防及对应,TCP View,47,恶性代码预防及对应,Procexp,48,恶性代码预防及对应,Autoruns,49,恶性代码对应方法,手动处理向导,手动处理向导,手动处理原理,Worm/Trojan,删除等于治疗,!,Worm/Trojan,结束进程等与解决,利用不能生成相同文件的原理,手动处理对象,Windows 2000/XP/2003,只限于,Worm/Trojan(Virus,例外,),受限制事项,不支持,Windows 9X,Worm/Trojan,的碎文件,/,注册表值,50,恶性代码对应方法,手动处理向导,CMD,处理方法,顺序,强制结束,Worm/Trojan,结束,变更,W,orm/Trojan,文件名,(,变更扩展名,),在,Worm/Trojan,文件的同样文件夹里生成相同恶性代码文件名的文件夹,Option,处理例子,恶性代码,=windate.exe,PSKILL.EXE windate.exe,ATTRIB a s h r%WinDIR%system32windate.exe,REN%WinDIR%system32windate.exe windate.ahn,MKDIR%WinDIR%system32windate.exe,51,对应方法,杀毒软件,主要功能,预防恶性代码,确认是否存在,/,被感染在恶性代码,治疗,/,删除恶性代码,杀毒软件的局限性,不能防止新的恶性代码,必须跟,OS/,相关应用程序的补丁文件配合，才能发挥实际效果,52,可疑文件收集方法,手动查找,请参考,42,页，,48,页的手动处理方法,找出可疑文件,-,压缩,-,发到邮箱,support,压缩的时候，必须加密。密码统一为：,ahnlab,利用,Ahnreport,制作,Ahnreport,记录，请参考,Ahnreport,分析,.doc,并把制作的,xxx.zip-,发到邮箱,support,同时说明详细出现症状,如果是使用,APC,的用户，需要说明序列号，公司，购买渠道等信息,53,样本压缩,/,加密的方法,利用,winrar,压缩工具,可疑文件上点右键,-,添加到压缩文件,(A),键入压缩名,-1,以,zip,格式压缩,-2,1,2,54,样本压缩,/,加密的方法,压缩文件加密,点击：高级,-1,点击：设置密码,(P)-2,键入密码：输入密码,(E)-3,1,2,3,55,Q&A?,谢谢,.,56,