計(jì)算機(jī)病毒常用分析方法

2016-05-13 13:50:19 大云網(wǎng)　點(diǎn)擊量：評論 (0)

隨著企業(yè)信息化程度的不斷提高，信息安全越來越受到重視，防病毒更是其中的重點(diǎn)。從以往的經(jīng)驗(yàn)來看，一旦感染病毒，其損失往往是無法用金錢來衡量的。作為信息從業(yè)人員，我們雖然可以依靠殺毒軟件來完成主要的

隨著企業(yè)信息化程度的不斷提高，信息安全越來越受到重視，防病毒更是其中的重點(diǎn)。從以往的經(jīng)驗(yàn)來看，一旦感染病毒，其損失往往是無法用金錢來衡量的。作為信息從業(yè)人員，我們雖然可以依靠殺毒軟件來完成主要的防病毒任務(wù)，但在一些特定的情況下，仍然非常有必要掌握手動分析查殺病毒的知識。這里以在我公司局域網(wǎng) 中發(fā)現(xiàn)的svchost.exe病毒為例，介紹一下病毒的常用分析方法。

日前，信息中心工作人員陸續(xù)接到一些用戶報(bào)告，稱其電腦運(yùn)行緩慢，IE時常彈出異常界面，殺毒軟件卻無任何提示。在查看了感染電腦后，我們手動殺掉了這個病毒，并找到了一個樣本，放到純凈Windows XP系統(tǒng)的虛擬機(jī)（建立一個初始快照）中進(jìn)行分析。

進(jìn)程分析

在虛擬機(jī)中運(yùn)行病毒后，可以使用XueTr來查看進(jìn)程，如圖1所示。

圖1

XueTr是一款優(yōu)秀的ARK（Anti RootKit）工具，功能非常強(qiáng)大，除查看進(jìn)程之外，其他功能讀者可以自己去嘗試。我們看到，微軟官方的進(jìn)程都呈現(xiàn)黑色，其他廠商的進(jìn)程都呈現(xiàn)藍(lán)色。注意“文件廠商”一欄，“MS User”的兩個進(jìn)程非常的可疑，使用“數(shù)字簽名”校驗(yàn)功能，發(fā)現(xiàn)文件未通過簽名，由此可以確定這兩個進(jìn)程為病毒嫌疑進(jìn)程。值得一提的是，該病毒使用了進(jìn) 程守護(hù)技術(shù)，在windows系統(tǒng)任務(wù)管理器中結(jié)束一個進(jìn)程，另一個進(jìn)程檢測到之后，還會立即將被結(jié)束的進(jìn)程“復(fù)活”，利用XueTr工具可以同時殺掉兩個進(jìn)程。

文件分析

還原windows xp系統(tǒng)初始快照，打開Filemon工具，指定過濾字符為“svchost”，再次運(yùn)行病毒，我們注意到兩個病毒進(jìn)程文件的屬性為HS（隱藏、系統(tǒng)），并分別觀察到了它們創(chuàng)建的路徑，如圖2所示。

免責(zé)聲明：本文僅代表作者個人觀點(diǎn)，與本站無關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時性本站不作任何保證或承諾，請讀者僅作參考，并請自行核實(shí)相關(guān)內(nèi)容。

我要收藏

個贊