网络大赛开始之际,抛砖引玉。网络虽然是个大世界,病毒也层出不群,对于病毒杀法虽然不同,但防守的法则却是大同小异,本文通过对一个病毒的深入剖解,引出了计算机的攻防兼备之法,以期加强安全性。
病毒测试
名称: Backdoor.Win32.Hupigon.ani
类型: 木马
文件长度: 333,024 字节
该病毒属于远程控制木马,当病毒感染计算机后,首先会在目录%temp%下生存kendy.exe、baixue.exe两个文件。当kendy.exe运行后会将自身复制到%Program Files%_rejoice819.exe,%Program Files%Common FilesMicrosoft SharedMSInfo
ejoice819.exe下,然后通过注册表创建服务,并通过创建iexplore.exe进程通过连接域名转向IP地址,等待病毒作者发送控制指令。
注册表行为
该病毒一旦进行上述行为成功后,将会进军注册表,行为如下:
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWindows_rejoice2008_819]
注册表值: "Description"
类型: REG_SZ"
值:字串:"上兴远程控制服务端"
描述: 病毒服务描述
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWindows_rejoice2008_819]
注册表值: "DisplayName"
类型: REG_SZ
值:字符串: "Windows_rejoice2008_819"
描述: 病毒服务名
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWindows_rejoice2008_819]
注册表值: "ImagePath"
类型: REG_SZ
值:字符串: "C:Program FilesCommon FilesMicrosoft SharedMSINFO ejoice819.exe."
描述: 服务映像文件的启动路径
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWindows_rejoice2008_819]
注册表值: "Start"
类型: REG_SZ
值: "DWORD: 2 (0x2)"
描述: 服务的启动方式,手动
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWindows_rejoice2008_819]
注册表值: "Type"
类型: REG_SZ
值: "DWORD: 272 (0x110)"
描述: 服务类型注册表行为完成后,病毒将深入计算机系统中,而远程控制者将会通过域名指向发送需求指令控制电脑。