计算机的病毒及处理.ppt

8.2 技能二 常见的计算机 病毒及处理
8.2.1 任务一 “冲击波”、“震荡波”和 “极速波”
病毒 8.2.2 任务二 “灰鸽子”病毒 8.2.3 任务三 QQ病毒和MSN病毒的检测与 清除
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”病毒
1. “冲击波”病毒 （1）病毒特征 病毒名称：I-Worm/Blaster。 病毒别名：冲击波。 病毒类型：网络蠕虫。 病毒长度：6 176字节。 危险级别：高。 影响平台：Windows 2000、Windows XP和Windows 2003。 相关文件：msblast.exe。 病毒描述：该蠕虫病毒利用TCP 135端口，通过 DCOM RPC 漏洞进行攻击。在此病
在注册表中创建自启动项
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
病毒
• 通过TCP端口8080连接IRC服务器，接受并执行黑客命 令。可导致被感染计算机被黑客完全控制。
• 在TCP端口33333开启FTP服务，提供病毒文件下载功 能。利用微软即插即用服务远程代码执行漏洞（MS05039）进行传播。如果漏洞利用代码成功运行，将导致 远程目标计算机从当前被感染计算机的FTP服务上下载 病毒程序。如果漏洞代码没有成功运行，未打补丁的远 程计算机可能会出现services.exe进程崩溃的现象。
• 开辟线程，在本地开辟后门，监听TCP 5554端口。被攻击的机器主动连接本地 5554端口，将IP地址和端口传过来。本线程负责将病毒文件传送到被攻击的机 器。
• 病毒开辟128个扫描线程。以本地IP地址为基础，取随机IP地址，疯狂的试探连 接445端口，如果试探成功，则运行一个新的病毒进程对该目标进行攻击，将该 目标的IP地址保存到“c:\win2.log”中。
病毒
（2）感染病毒后的症状 • 莫名其妙地死机或重新启动计算机。 • IE浏览器不能正常地打开链接。 • 不能复制、粘贴。 • 有时出现应用程序，比如Word异常。 • 网络变慢。 • 在任务管理器里有一个msblast.exe的进程在运行。
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”病毒
（3）病毒传播的方式
• 首先拷贝自身到Windows目录，名为%WINDOWS%\avserve.exe（16 384字 节），然后登记到自启动项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\R un Avserve.exe = %WINDOWS%\ avserve.exe。
病毒
• 当病毒运行后，将在系统目录下创建一个文 件botzor.exe。如图所示。
在系统目录下创建 botzor.exe文件
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
病毒
• 在注册表中添加下列启动项： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wi
• 在任务管理器里有一个“avserve.exe”的进程在运行。 • 在Windows系统的安装目录下会出现名为 avserve.exe
的病毒文件。 • 注册表中出现病毒的自启动键值：
KEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Wi ndows\\CurrentVersion\\Run项中建立病毒键值： “avserve.exe ”=“%WINDOWS%\\avserve.exe”。
病毒
（3）病毒传播的方式 当病毒感染计算机系统后，执行以下操作： • 首先创建一个线程BILLY。 • 修改注册表的键值：
KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run增加“windows auto update”=“msblast.exe”键值，使 得病毒可以在系统启动时自动运行。 • 然后按照一定的规则来攻击网络上的计算机。该随机IP段的计
使用瑞星“冲击波”专杀 工具查杀病毒
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
病毒
（1）病毒特征 病毒名称：Worm.Sasser。 病毒别名：震荡波。 病毒类型：网络蠕虫。 病毒长度：15 872字节。 危险级别：高。 影响平台：Windows 2000、Windows XP和Windows 2003。 相关文件：avserve.exe。 病毒描述：该蠕虫病毒会通过FTP的5554端口攻击计算机，一旦攻击失败，会使系统
毒代码内隐藏的一段文本信息：
I just want to say LOVE YOU SAN!! Billy gates why do you make this possible? Stop making money and fix your software!!
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
病毒
（4）预防与清除 • 使用“震荡波”病毒专杀工具清除，查杀“震荡波”
病毒。瑞星公司提供专杀工具下载地址：
/zsgj/ravsasser.exe. 该工具的使用如图所示。
• 安装微软系统的补丁程序，以免今后再被感染。“震 荡波”补丁程序的下载地址： /china/technet/security/bullet in/ms04-011.mspx。
• 《中华人民共和国计算机信息系统安全保护条例》第二十八条中对计 算机病毒是这样定义的：“计算机病毒，是指编制或者在计算机程序 中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我 复制的一组计算机指令或者程序代码。”因此，计算机病毒就是能够 通过某种途径潜伏在计算机存储介质（或程序）里, 当达到某种条件 时即被启动的具有对计算机资源进行破坏作用的一组程序或指令集合。
计算机的病毒及处理
8.1 技能一 认识计算机病毒 8.2 技能二 常见的计算机病毒及处理 8.3 技能三 使用杀毒软件查杀病毒
8.1 技能一 认识计算机病 毒
8.1.1 任务一 什么是计算机病毒
8.1.2 任务二 计算机病毒的分类及特点
8.1.1 任务一 什么是计算 机病毒
• 计算机病毒是程序，能够自我复制，会将自己的病毒码依附在其他程 序上，通过其他程序的执行，伺机传播病毒程序，有一定潜伏期，一 旦条件成熟，就进行各种破坏活动，影响计算机的使用。
• 修改%SystemDir%\drivers\etc\hosts文件，屏蔽大量国 外反病毒和安全厂商的网址。
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
病毒
（3）预防与清除 ① 使用“极速波”病毒专杀工具清除，查杀
“极速波”病毒。瑞星公司提供专杀工具下载 地址：
/zsgj/RavWormZot ob.exe。
8.1.2 任务二 计算机病毒 的分类及特点
1．计算机病毒的分类 2．计算机病毒的特征 3．计算机病毒的传播途径
1．计算机病毒的分类
按照计算机病毒寄生方式分类 • 引导型病毒 • 文件型病毒 • 混合型病毒
1．计算机病毒的分类
按照计算机病毒破坏的能力分类无害型 • 无危险型 • 危险型 • 非常危险型
算机所有135端口发布攻击代码，成功后，在TCP的端口4444创 建cmd.exe，该病毒还能接受外界的指令，在UDP的端口69上接 受指令，发送文件msblast.exe 网络蠕虫主体。
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
病毒
（4）预防与清除 • 使用“冲击波”病毒专杀工具清除，查杀“冲击波”
病毒。瑞星公司提供专杀工具下载地址： /zsgj/ravblaster.exe。 该工具的使用如图所示。 • 安装微软系统的补丁程序，以免今后再被感染。“冲 击波”补丁程序的下载地址： /china/technet/security/bullet in/MS03-026.asp。
文件崩溃，造成计算机反复重启；病毒如果攻击成功，会将自身传到对方机器并 执行病毒程序，然后在C:\WINDOWS目录下产生名为avserve.exe的病毒体，继续 攻击下一个目标，用户可以通过查找该病毒文件来判断是否中毒。
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
病毒
（2）感染病毒后的症状
ndows\CurrentVersion\Run] “WINDOWS SYSTEM”= botzor.exe [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wi
ndows\CurrentVersion\RunServices] “WINDOWS SYSTEM”= botzor.exe 这样，在Windows启动时，病毒就可以自动执行，如图 所示。
• 利用Windows的LSASS中存在一个缓冲区溢出漏洞进行攻击，一旦攻击成功会 导致对方机器感染此病毒并进行下一轮的传播，攻击失败也会造成对方机器的 缓冲区溢出,导致对方机器程序非法操作，以及系统异常等。由于该病毒在 lsass.exe中溢出，可以获取管理员的权限，执行任意指令。
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
• 出现LSA Shell 服务异常对话框，如图所示。 接着出现一分钟后重启计算机的“系统关机” 对话框，如图所示。
LSA Shell 服务异常对话框
“系统关机”对话框
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
病毒
• 病毒如果攻击成功，则会占用大量系统资源，使CPU 占用率达到100%，出现计算机运行异常缓慢的现象。
8.2.1 任务一 “冲击波”、 “震荡波”和“极速波”
病毒
4. “冲击波”、“震荡波”和“极速波”3种病毒 的比较
（1）利用漏洞速度比较 （2）传播能力比较 （3）病毒危害性比较 （4）嚣张程度比较