微点交流论坛
» 游客:  注册 | 登录 | 帮助

 

 13  1/2  1  2  > 
作者:
标题: 病毒即将三分天下,我们应该如何去面对
gudan
高级用户





积分 605
发帖 579
注册 2007-7-20
#1  病毒即将三分天下,我们应该如何去面对

转来的东东                     
                                                                                                                 
    记得N年前知道有计算机病毒这一名词的时候,就有大牛说计算机病毒是同时具备操作系统与编程技术的高手才能够写出来的程序,现在回想的确不为过,道高一尺魔高一丈,传统杀毒软件都是在跟着计算机病毒的后面跑,如果真的不存在计算机病毒杀软也就成了废物,而且还浪费计算机资源。但是如今黑客产业的壮大、相关法律的不完全,都意味着计算机病毒根本就不会消失,而是一步一步的向我们的计算机系统靠拢,如果你的周围已经被病毒蠕虫弥漫的时候,那么应该怎么办?难道要每天都给硬盘分区格式化,或者拼命加内存让硬盘只读不写?所谓上有政策下有对策,这种趋势只会使得计算机病毒硬件化,到那时候估计计算机硬件与维修是最赚钱的了,每天写固件都可以赚到相当可观的一笔财富,到那是杀软只不过起一个杀毒后提醒你去修机器的作用,安装了反而要担惊受怕的,想想看,安装了查到病毒又得花钱去修机器,不安装又怕自己中了病毒不知道,其实问题只出在我们太被动,被动就容易被欺负,不要吵我中了某某病毒杀不掉、重启后又删除不了,那都是活该的,只能够怪你伸着脖子被人宰,又怪得谁呢?
    主动一些才可以未卜先知,主动一些才可以反客为主。其实病毒每运行一步都会调用相关的API函数,无论是原生的还是封装的,当然不排除操作系统多如牛毛的年代,那时候病毒估计直接中断CPU了,软件防御也就失去了它的最大意义,要CPU内部做防火墙才可以。毕竟现在不是那个中断CPU的年代,所以防御还是很有用的,不会中毒的系统系统资源永远都是浪费最少的。
    最近一两月病毒技术可谓是更新换代,瞧瞧都有什么……
    一、映像劫持
    自从出了一个美女游戏后,IFEO就被人吵的沸沸扬扬的,其实那个算不起真正的映像劫持,只不过找到微软的一个小缺口作了一个思维的小小过渡,把运行A过渡到B形象化了一些,真正的映像劫持是在内存中进行的,NtCreateProcess或NtCreateProcessEx一个进程空壳后没有从原磁盘映像地址载入主线程映像,而是而是把另一个进程的代码从内存中写入这个进程空壳并激发,所以被写入代码的进程是看不到主线程映像的,因为它的映像不在本地硬盘上存放,而是存在于内存中,可以在%temp%\XXXXXXX.tmp中找到,当然要存在被劫持的进程。
    二、驱动化
    接触到带有驱动的病毒后,第一感觉就是它的顽固,无论是流氓程序还是后门间谍,一旦它的驱动驻留到系统内核后,除了重启延时删除,直接在内存中卸载几乎是不可能的,因为它门门操作系统的关系实在太密切了,所以只能够在没有加载的将这类顽固病毒清除,一旦清除机制没有病毒驱动加载的时间早,那么这个驱动就可以尽情发挥了,锁定文件、锁定进程、锁定注册表……以及各式各样的Rootkit技术被发挥淋漓尽致,这不过是病毒顽固化的一种,还称不上驱动化,因为这个驱动除了为病毒主体作辅助之外没有体现出其他的性质。真正的驱动化病毒是完全不依赖三环中的程序但能够体现出病毒性质的设备驱动程序文件,当然这种病毒还在过渡中,不久的将来可能会出现,但半驱动化病毒已经浮现,runtime2就是一个很好的例子,由驱动直接吐出exe文件,exe在去吐驱动、驱动在互守、开IE相辅相成配合完成病毒后门工作,这种病毒清除起来已经很不容易了,至少我所知IceSword、Rootkit Unhooker、Wsyscheak全部挂彩了,其他的估计也类似,不做评论。半驱动病毒威力如此可观,全驱动病毒该如何面对?
    三、感染
    感染文件是病毒寄生自身的一种很好的方式,有着隐蔽、攻击主动的多种“好处”,但如果被发现也就面临着死亡,所以这里不讨论捆绑式感染和节感染等感染方式,而把重点放在被感染的文件上。倘若被感染的是一个普通的PE文件,我们可以用杀软清除掉,感染强度高的大不了直接删了,那么被感染的是重要的系统文件呢?见过几例大致写一点:
    1、机器狗驱动写扇区,绕过了SFC,因为Winlogon没有追上去userinit被感染了,删除后重启系统瘫痪。
    2、通过某种方法绕过SFC替换修改过的services,SCM启动后将病毒dll作为自身模块加载,那时杀软服务还没有启动,如何清除?
    3、感染系统某驱动,给驱动追加病毒驱动路径以及初始化代码,系统驱动通过ZwSetSystemInformation加载病毒驱动,病毒驱动初始化病毒主程序,没有启动项如何手杀?
    4、直接感染系统执行体,硬方式修改系统服务中断地址到病毒驱动,病毒被杀,系统崩溃。
    以上的几个例子已经充分的体现出了病毒技术的内核过渡,重在防御,不在清除(删除更是弱智的行为),因为有了防御的把握才可以使得清除更容易一些。

[ Last edited by gudan on 2007-11-22 at 22:39 ]

※ ※ ※ 本文纯属【gudan】个人意见,与【 微点交流论坛 】立场无关※ ※ ※
2007-11-5 23:17
查看资料  发短消息   编辑帖子
lotei
版主

病毒区地方父母官


积分 776
发帖 775
注册 2006-10-14
来自 被人们遗忘了的村庄
#2  

楼主这贴含金量还是比较高的!利用NtCreateProcess或NtCreateProcessEx一个进程空壳后没有载入主线程映像,而写入了另一个进程的代码的技术目前已经有见过一些病毒利用了!驱动化虽然目前编程难度和调试难度比较考验编毒者的能力和耐心,半驱动化目前也有样本,而全驱动据说国外也正在做了,前阵子好像听说有人写出来了,样本没见过!难度很高!通过绕过了SFC,Winlogon没有追上去userinit被感染了,删除后重启系统瘫痪,替换原来的userinit,手动恢复原有的注册表项便可以正常,但又有几个杀软能智能到此呢!
重在防御或者说主动防御是未来的趋势,这些东西一起手!微点早哗哗的报,删个精光了!
虽是转来的东东,鉴于该贴写得确实不错!加精!

[ Last edited by lotei on 2007-11-5 at 23:35 ]

※ ※ ※ 本文纯属【lotei】个人意见,与【 微点交流论坛 】立场无关※ ※ ※
2007-11-5 23:34
查看资料  发送邮件  发短消息   编辑帖子
gudan
高级用户





积分 605
发帖 579
注册 2007-7-20
#3  

楼上的头像好熟悉

※ ※ ※ 本文纯属【gudan】个人意见,与【 微点交流论坛 】立场无关※ ※ ※
2007-11-6 00:11
查看资料  发短消息   编辑帖子
gudan
高级用户





积分 605
发帖 579
注册 2007-7-20
#4  

把帖子删了吧,反作用大于了实际价值,太可怕了

[ Last edited by gudan on 2007-11-19 at 22:52 ]

※ ※ ※ 本文纯属【gudan】个人意见,与【 微点交流论坛 】立场无关※ ※ ※
2007-11-19 22:50
查看资料  发短消息   编辑帖子
微点专家
版主

Weizi


积分 11554
发帖 11458
注册 2006-8-27
来自 贵阳
#5  

三分过后,终归微点。

※ ※ ※ 本文纯属【微点专家】个人意见,与【 微点交流论坛 】立场无关※ ※ ※

做个性的自己
2007-11-19 22:55
查看资料  发送邮件  访问主页  发短消息  QQ   编辑帖子
20090218
中级用户




积分 238
发帖 238
注册 2009-2-19
#6  

先防御,后攻击,学习了!

※ ※ ※ 本文纯属【20090218】个人意见,与【 微点交流论坛 】立场无关※ ※ ※

学习!交友!顶微点!
2009-2-19 15:55
查看资料  发送邮件  发短消息   编辑帖子
杀毒小强手
注册用户





积分 55
发帖 55
注册 2009-2-15
#7  

反客为主!O(∩_∩)O哈哈~把CPU中断。太可怕了。

※ ※ ※ 本文纯属【杀毒小强手】个人意见,与【 微点交流论坛 】立场无关※ ※ ※
2009-2-21 18:12
查看资料  发送邮件  发短消息   编辑帖子
专业路过
中级用户





积分 375
发帖 373
注册 2009-2-15
#8  

哇,看不懂的路过

※ ※ ※ 本文纯属【专业路过】个人意见,与【 微点交流论坛 】立场无关※ ※ ※
2009-2-21 20:59
查看资料  发送邮件  发短消息   编辑帖子
坐照
银牌会员

正式版用户


积分 1426
发帖 1422
注册 2009-3-24
来自 湖北宜都
#9  

已阅。

※ ※ ※ 本文纯属【坐照】个人意见,与【 微点交流论坛 】立场无关※ ※ ※
2009-11-13 10:48
查看资料  发短消息  QQ   编辑帖子
cun.pi
新手上路




积分 9
发帖 9
注册 2009-12-16
#10  

貌似使技术上的问题了。

※ ※ ※ 本文纯属【cun.pi】个人意见,与【 微点交流论坛 】立场无关※ ※ ※
2009-12-16 15:48
查看资料  发短消息  QQ   编辑帖子
 13  1/2  1  2  > 



论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏


[ 联系我们 - 东方微点 ]


北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司

闽ICP备05030815号