对木马隐藏技术的研究
实验13 木马捆绑与隐藏
木马捆绑与隐藏12.2.1 背景描述木马并不是合法的网络服务程序，如果单纯以本来面目出现，很容易被网络用户识别。
为了不被别人发现，木马制造者必须想方设法改换面貌；为了诱使网络用户下载并执行它，黑客将木马程序混合在合法的程序里面，潜入用户主机。
在受害主机里，为了逃避杀毒软件的查杀，木马也会将自己“乔装打扮”；为了防止用户将其从系统里揪出来，木马则采取一切可能的手法进行隐藏自己。
总之，现在的木马制造者是越来越狡猾，他们常用文件捆绑的方法，将木马捆绑到图像、纯文本等常见的文件中，然后通过网页、QQ、Email 或MSN 等将这些文件传送给受害者，而用户一旦不慎打开这些文件，木马就自动执行了，主机就中木马了。
12.2.2 工作原理1．木马捆绑木马捆绑即是文件捆绑，黑客将木马或者病毒等恶意程序与其它正常文件组合成的一个整体。
这是一种最简单也是最可行和最常用的一种方法，当受害者下载并运行捆绑了木马等恶意程序的文件时，其中的木马等恶意程序就会被激活。
木马捆绑的手段归纳起来共有四种：（1）利用捆绑机软件和文件合并软件捆绑木马；（2）利用WINRAR、WINZIP 等软件制作自解压捆绑木马；（3）利用软件打包软件制作捆绑木马；（4）利用多媒体影音文件传播。
2．木马隐藏隐藏是一切恶意程序生存之本。
以下是木马的几种隐藏手段：（1）进程隐蔽：伪隐藏，就是指程序的进程仍然存在，只不过是让它消失在进程列表里。
真隐藏则是让程序彻底的消失，不以一个进程或者服务的方式工作，做为一个线程，一个其他应用程序的线程，把自身注入其他应用程序的地址空间。
（2）伪装成图像文件：即将木马图标修改成图像文件图标。
（3）伪装成应用程序扩展组件：将木马程序写成任何类型的文件（如dll,ocx等），然后挂在十分出名的软件中。
因为人们一般不怀疑这些软件。
（4）错觉欺骗：利用人的错觉，例如故意混淆文件名中的1（数字）与l（L的小写）、0（数字）与o（字母）或O（字母）。
木马隐藏技术初探
ｍａａｅ ｎ ｅｓｒｓｎ ｔｈ ｅ ｃｉｇ ｅｈ ｉｕ ． ｉ ｓ ｄｃ ｌ ｑ ｉ ｎ Ｊ ｕｎ ｌ ０ ，２（ ）８ — １ ９ 】 ｎｇｍｅｔ ａｕｅ， ｏ ｔｅｄｔ ｔ ｃｎｑ ｅ［ ｎ ｅＭｅ ｉａ Ｅ ｕ ｍｅ ｔ ｏ ｒａ， １ ３ ４ ：９ ９ ， ６ ｍ ｅ ｎｔ Ｃｈ ｅ ｐ ２ １
Ｔ ｏａ ｒｅ ｄ ｓ ｎ ｄ ｉ ｈｓａｔ ｌ ａ ｕ ｃ ｓｆｌ ｅ ｌ ｅ ｈ ｘ ｅ ｔｄ ｆｎ ｔ ｎ ． ｏ ｃｕ ｉｎ Ｔ ｅｃ ａａ ｔｒｏ ｒｊｎ ｒｉｎ Ｈｏｓ ｅ ｉ ｅ ｎ ｔｉ ｒ ｃｅ ｈ ｄ ｓｃ ｅｓｕｌ ｒａｉ ｄ ｔｅ ｅ ｐ ｃｅ ｕ ｃｉ ｓ Ｃ ｎ ｌｓｏ ｈ ｈ ｒｃｅ ｆＴ ｏａ ｇ ｉ ｙ ｚ ｏ
ｄ ｓ ｎ ａ ｄ ｉ ｐｅ ｅ ｔ ｉ ｆ ｉ ｐｅ Ｔ ｏａ ｒ ， ｈｓａｔ ｌ ｆ ｌ ｄｓｕ ｓｄ ａ ｄ ｐ ｎ ｔ ｔｄ ｉｔ ｅ ｅ ｏ ｒｏ ｅ ｅｉ ｎ ｍ ｌｍ ｎａ ｏ ｏ ａ ｓ ｌ ｒｊｎ Ｈｏｓ ｔ ｉ ｒ ｃｅ ｕ ｙ ｉ ｓｅ ｎ ｅ ｅ ａｅ ｎｏ ｖ ｒ ｃ ｍｅ ｆｔ ｇ ｔｎ ｍ ｅ ｉ ｌ ｃ ｒ ｙ ｈ ｉ ｃ ｎ ｃ ｎｑ ｅ ｔｅ ｈｄ ｇｔｃ ｎｑ ｅ ｔｅｄ ｔｃ ｎ ｃ ｎｑ ｅａ ｄ ｔｅｗ ｙ ｆ ｗ ｒ ｆ ｒ ａ ｏｓ ． ｌ ｌ ｈ ｉ ｐ ｅ ￣ｅ ｔ ｇｔ ｈ ｉ ． ｈ ｉｉ ｈ ｉｕ ．ｈ ｅ ｔ ｇｔ ｈ ｉｕ ｎ ａ ｒ ａｄｏ ｏ ｎ Ｈ ｒｅ １ ｉ ｅ ｕ ｎ ｅ ｅｉ ｅ ｈ ｏ Ｔ ｊ ￣ｕｔ Ｔ ｅｓ ｌ ｍ ｍ
技 术 、 测技 术 、 展 方 向 进 行 了深 入 全 面论 述 。 果 ： 计 的 简 单 木 马 成 功 实 现 了预 想 功 能 。 检 发 结 设 结论 ： 马 的 特 性 决 定 了 木 检 测 防御 的 难 度 ， 范 重 点在 于 网 络 管 理措 施 ． 不 是 检 测 技 术 防 而
计算机木马病毒研究与防范毕业设计
湖北大学高等教育自学考试本科毕业生论文评审表论文题目：计算机木马病毒研究与防范姓名：李宝君专业：计算机应用技术办学点：郧阳师范高等专科学校学生类型：独立本科段(助学班/独立本科段)2014年 12月 18日湖北大学高等教育自学考试办公室印制论文内容摘要目录第一章.木马病毒的概述 (5)1.1木马的的定义 (5)1.2木马的基本特征 (5)1.3木马的传播途径 (6)1.4木马病毒的危害 (6)第二章．木马病毒的现状 (7)2.1特洛伊木马的发展 (7)2.2 木马病毒的种类 (7)第三章.木马病毒的基本原理 (10)4.1木马病毒的加载技术 (10)4.1.1 系统启动自动加载 (10)4.1.2 文件劫持 (10)4.2 木马病毒的隐藏技术 (10)第四章.木马病毒的防范 (12)5.1基于用户的防范措施 (12)5.2基于服务器端的防范措施 (13)5.3加强计算机网络管理 (15)致谢 (16)参考文献 (17)第一章木马病毒的概述1.1木马的的定义木马的全称是“特洛伊木马”，是一种新型的计算机网络病毒程序，是一种基于远程控制的黑客工具，它利用自身具有的植入功能，或依附具有传播功能的病毒，进驻目标机器监听、修改。
窃取文件。
1.2木马的基本特征（1）隐蔽性是其首要的特征当用户执行正常程序时，在难以察觉的情况下，完成危害影虎的操作，具有隐蔽性。
它的隐蔽性主要体现在6个方面：1.不产生图标、2.文件隐藏、3.在专用文件夹中隐藏、4.自动在任务管理其中隐形、5.无声无息的启动、6.伪装成驱动程序及动态链接库（2）它具有自动运行性它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。
（3）木马程序具有欺骗性木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如“dll\win\sys\explorer等字样，或者仿制一些不易被人区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。
木马程序是如何实现隐藏的
木马程序是如何实现隐藏的木马是一种基于远程控制的病毒程序，该程序具有很强的隐蔽性和危害性，它可以在人不知鬼不觉的状态下控制你或者监视你。
有人说，既然木马这么厉害，那我离它远一点不就可以了！然而这个木马实在是“淘气”，它可不管你是否欢迎，只要它高兴，它就会想法设法地闯到你“家”中来的！哎呀，那还了得，赶快看看自己的电脑中有没有木马，说不定正在“家”中兴风作浪呢！那我怎么知道木马在哪里呢，相信不熟悉木马的菜鸟们肯定想知道这样的问题。
下面就是木马潜伏的诡招，看了以后不要忘记采取绝招来对付这些损招哟！1、集成到程序中其实木马也是一个服务器-客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。
2、隐藏在配置文件中木马实在是太狡猾，知道菜鸟们平时使用的是图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问了，这正好给木马提供了一个藏身之处。
而且利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。
不过，现在这种方式不是很隐蔽，容易被发现，所以在Autoexec.bat和Config.sys中加载木马程序的并不多见，但也不能因此而掉以轻心哦。
3、潜伏在Win.ini中木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的木马。
当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。
大家不妨打开Win.ini来看看，在它的[windows]字段中有启动命令“load=”和“run=”，在一般情况下“＝”后面是空白的，如果有后跟程序，比方说是这个样子：run=c:\windows\file.exe load=c:\windows\file.exe这时你就要小心了，这个file.exe很可能是木马哦。
Windows环境木马进程隐藏技术研究
ＬＵ —ｅ ． Ｅ Ｗ ｅ — ｉ ｇ Ｌｉ ｉ Ｗ Ｎ ｉ ｎ ｌ ｐ
Ｃ ｐ ｒ ｅｔｆ ｎｏｍ ｔ ｎ ｅｕｉ， Ｓ Ｐ ｋ ｇＵ ｉ ｒｉ， ｅ ｉ ０ ６０ Ｃ ｉ ） Ｄｅａｔ ｎ ｏｉ ｒ ａｉ Ｓｃｒｙ ＳＭ， ｅｉ ｎｖ ｓｙ Ｂ ｉｎ ２ ０ ， ｈｎ ｍ ｆ ｏ ｔ ｎ ｅ ｔ ｊ ｇ１ ａ
通信，而不是使用一个新开 的端 口号 。这样的好处就 是非常
特 洛伊木 马 （ 简称木 马）是具有 较 强隐藏 功能 的一 类恶 意代码 。它 通常伪 装成合法程 序或 隐藏在 合法程 序中，通 过 执 行恶 意代 码，为入侵者提 供非 授权 访问系统 的后 门 ］ 。本 文 首先 简单介 绍 了木 马实 现 的 常用技 术 ，接着 重 点 分析 了
ＨＡＮＤＬＥ Ｃｒ ａ ｅ ｍｏ ｅ ｒ ａ （ ｅ ｔ Ｒｅ ｔ Ｔｈ ｅ ｄ
ＨＡＮＤＬＥ ｈＰｒ ｅ ｓ ｏｃ ｓ ． ＬＰＳ ＥＣＵＲＩ ＴＹ ＡＴＴＲＩ ＢＵＴＥＳ ｌ Ｔｈ ｅ ｄ ｔ ｉ ｕ ｅ ， ｐ ｒ ａ Ａｔｒ ｂ ｔ ｓ ＳＩ ＺＥ ｄ Ｔ ｗＳ ａ ｋＳ ｚ ， ｔ ｃ ｉ ｅ
２２系统服务方式 ＿
在 较 早 的 Ｗｉｄ ｗｓ９ 统 中，利 用 Ｒ ｇｓｅ ｓ ｒ ｉｅ ｎ ｏ ｘ系 ｅ ｉｔｒ ｅｖｃ Ｐ ｏ ｅｓ ｒ ｃ ｓ 方法，可 以把任何程序注册 为一 个系统服务，它只是 以服务的方式在后 台工作１ 。
）；
ＬＰＴＨ ＲＥＡ Ｄ ＳＴ ＡＲＴ ＲＯＵＴＩ ＮＥ ｔ ｒ Ａｄ ｒ ｓ ， １ ａ ｔ ｄ ｅ ｓ ｐＳ
—
进 程隐藏 是 木马常用的一种 隐藏手段。进程 隐藏 ，就是 通过某种 手段 ，使用户不能发现 当前运 行着的某个特 定进程。 从隐藏的程度来看 ，进程 隐藏又分为两种 ： 隐藏和真隐藏。 假 假隐藏 ， 是指某个程 序运行 时，与它 对应 的进程仍然存在 ， 只 不过是消失在任 务管理器 的进程 列表里 ；而真 隐藏，则是让
基于进程和通信隐藏的木马设计与实现论文
基于进程和通信隐藏的木马设计与实现摘要近年来，特洛伊木马等恶意代码己经成为网络安全的重要威胁。
很多国家都采取积极的网络安全防御措施,投入大量的人力和物力研究网络信息安全技术。
文章首先分析了传统木马的一般工作原理及其植入、加载、隐藏等关键技术。
随着网络技术的不断更新和发展，木马技术也在不断地更新换代,现代木马的进程隐藏和通信隐藏等等都发生了变化。
进程的隐藏和通信的隐藏一直是木马程序设计者不断探求的重要技术。
攻击者为达到进程隐藏的目的，采用远程线程和动态链接库，将木马作为线程隐藏在其他进程中。
选用一般安全策略都允许的端口通信,如80端口，则可轻易穿透防火墙和避过入侵检测系统等安全机制的检测,从而具有很强的隐蔽性。
本文研究了如何将Windows环境下的动态链接库(DLL)技术与远程线程插入技术结合起来实现特洛伊木马植入的新方案。
在该方案中，提出了特洛伊木马程序DLL模块化,并且创建了独立的特洛伊木马植入应用程序，将木马程序的DLL模块植入宿主进程。
实验结果证明该方案能实现的木马植入，具有很好的隐蔽性和灵活性。
关键词：特洛伊木马；动态连接库；进程插入；远程线程The Design and Implementation of Trojan Horses Base on Process Hiding and Communications HidingAbstractIn recent years,malicious codes including Trojan have threatened network information security, and more and more countries paid attention to take active measures to protect the network, and spent a lot in research to develop network information security technology mentally and materially. This paper firstly analyses the basic principle, entry technology, load technology and hiding technology of traditional Trojan horse. With the development of network technology, Trojan horse technology is upgrading constantly. Modern Trojan horse is changed in process hiding and communication hiding.The process hiding and communications hiding are important technology being explored by Trojan horse programmers all long. Adopting the measure of dynamic link storage, and Remote Thread technology, and hiding Trojan horse behind the other processes as a thread program, it is easy to hide. Choosing the port correspondence which is permitted by almost all the ordinary security policy, likes 80port, may easily penetrate the firewall and avoid the examine of security systems as invasion-checking mechanisms and so on. Thus, it has a very strong covered.This paper is implemented the injection of Trojan horse by combining the technology of DLL (dynamic linking library) and of remote thread injection on the Windows platform. In this paper, modularization of Trojan horse process is proposed to create an independent Trojan horse injection process, thus, to inject Trojan horse DLL module to the host process.Experimental results show that the program could realize the Trojan injected with good covered and flexibility.Key Words：Trojan Horse；DLL；Process Injection；Remote Thread目录论文总页数：23页1 引言 (1)2 特洛伊木马简介 (1)2.1 认识木马 (2)2.2 木马原理 (2)2.3 木马的危害 (3)2.4 常见木马的介绍 (3)3 木马隐藏概述 (4)3.1 本地隐藏 (4)3.2 通信隐藏 (8)4 隐藏技术的实现 (10)4.1 隐藏进程 (10)4.2 隐藏通信 (14)4.3 木马功能的实现 (15)5 系统测试 (19)5．1功能测试 (19)5．2性能测试 (20)结论 (21)参考文献 (21)致谢 (22)声明 (23)1引言近年来，黑客攻击层出不穷，对网络安全构成了极大的威胁。
特洛伊木马的隐藏技术浅析
特洛伊木马的隐藏技术浅析王海青【摘要】文章着重从木马的文件隐藏、进程隐藏、通信隐藏三个方面系统分析了木马的隐藏技术.【期刊名称】《甘肃广播电视大学学报》【年(卷),期】2010(020)002【总页数】2页(P63-64)【关键词】木马;文件隐藏;进程隐藏;通信隐藏【作者】王海青【作者单位】甘肃广播电视大学,继续教育学院,甘肃,兰州,730030【正文语种】中文【中图分类】TP393.8随着病毒编写技术的发展，木马程序对用户的威胁越来越大，为了不被目标系统用户及管理员发现,木马通过各种技术手段把自己的运行形式进行隐蔽。
1.文件隐藏木马程序植入目标系统后，会在目标系统的磁盘上加以隐蔽欺骗用户。
隐藏、保护木马文件的主要方式有：（1）嵌入隐藏。
采用此隐蔽手段的木马通常有以下两种形式：插入到某程序中和与某程序捆绑到一起，一旦运行程序就会启动木马。
如绑定到系统文件中,在系统启动时木马也跟随启动；或者捆绑常用程序，这样程序一旦被点击木马就会运行加载，使用户难以防范。
（2）伪装隐藏。
利用自身外部特征的多变性进行伪装,以单独的文件存在，同时定制好了文件名，修改与文件系统操作有关的程序，伪装成正常的文件或者非可执行文件，再将文件属性修改为系统隐蔽或者只读。
如木马文件把图标改成Windows 的一些非可执行文件的默认图标,再把文件名改为*.jpg.exe、*.txt.exe等，由于Windows默认设置是“不显示已知的文件后缀名”,因此木马文件将会显示为*.jpg、*.txt等。
（3）替换隐藏。
木马通过修改自身的DLL替换目标文件的系统DLL文件，替换的基础上不增加新的文件，也不需要打开新的端口或者监听端口，替换之后，对于正常的系统调用还照常进行，只有在木马的控制端向被控制端发出指令后，隐藏的程序才开始运行。
2.进程隐藏木马将自身作为DLL插入别的进程空间后，用查看进程的方式无法找出木马的踪迹，看到的仅仅是一些正常程序的进程，但木马却已经偷偷潜入其中了。
详解常用的木马隐身术武林安全网-电脑资料
详解常用的木马隐身术武林安全网-电脑资料一、对木马使用花指令花指令就是指程序中包括了跳转指令及一些无用的指令在内的汇编指令段，有加区加花和去头加花两种，通常是用来改变程序的入口点或打乱整个程序的顺序，。
而一些杀毒软件在进行木马查杀工作时，都是按从程序的开头到结尾的顺序进行检测的，以此来找到与病毒库中某一特征码相似的特征。
甚至一些杀毒软件就是以程序的入口点作为特征码的。
因此，如果木马的程序顺序被打乱，或者程序的入口点被修改，那么，杀毒软件也就很难检测出它来，于是就达到了隐身的目的。
能完成这些工作的，就是在木马程序中使用花指令。
要在木马程序中使用花指令，可以有两种方式，一种是使用互联网上现成的，另一种是攻击者自己编写或者使用花指令生成软件。
由于互联网上现成的花指令同样会被杀毒软件厂商所得到，因此不会有什么好的保护效果。
对于有一定汇编技术的攻击者来说，就会使用自己编写花指令的方式，还可以使用一些花指令生成软件，如超级加花器和花蝴蝶等。
正是由于给木马添加不易被检测到的花指令需要高超的编程技术，也就很少有普通的攻击者使用这种方式，至少在没有陌生的花指令生成软件出现之前，是不太喜欢使用它的。
并且，由于对木马使用花指令也只是对其可执行文件本身有效，当其加载至内存后，这种隐身方式将失去作用。
因此，使用具有内存查杀功能的杀毒软件，就能够非常容易地检测到只使用这种隐身方式的木马病毒的。
在当前具有内存查杀功能的安全软件之中，查杀花指令保护木马比较好的就是EWIDO了。
也可以使用Ollydbg程序先将木马加入到内存中后再查杀。
同时，还可以使用像“花指令清除器”一类的花指令检测软件，来识别和除去花指令。
二、终止安全软件进程现在，几乎所有的木马都在使用一种十分有效的、躲避安全检测软件的方法，就是终止系统中所有安全软件的进程，从而达到了不会被查杀的目的。
而要实现这种功能，只要木马能够枚举系统中的所有正在运行的进程，然后从中找到匹配的安全软件进程名，通过发送一个终止进程的Windows消息给它，就可以结束这些正在运行的安全软件，电脑资料《详解常用的木马隐身术武林安全网》(https://www.)。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
对木马隐藏技术的研究
计算机病毒、木马以及网络蠕虫等恶意程序对网络安全构成了巨大的威胁。
其中木马的破坏最大，它能在高隐蔽性的状态下窃取网民的隐私信息。
通常，被感染木马的计算机用户并不知道自己的计算机已被感染，这是由于木马程序具有很高的隐蔽性。
木马的隐藏技术主要由以下三种：
1、程序隐蔽
木马程序隐藏通常指利用各种手段伪装木马程序，让一般用户无法从表面上直接识别出木马程序。
要达到这一目的可以通过程序捆绑的方式实现。
程序捆绑方式是将多个exe 程序链接在一起组合成一个exe 文件，当运行该exe 文件时，多个程序同时运行。
程序捆绑有多种方式，如将多个exe 文件以资源形式组合到一个exe 文件中或者利用专用的安装打包工具将多个exe 文件进行组合，这也是许多程序捆绑流氓软件的做法。
2、进程隐蔽
隐藏木马程序的进程的显示能防止用户通过任务管理器查看到木马程序的进程，从而提高木马程序的隐蔽性。
目前，隐藏木马进程主要有如下两种方式：（1）API拦截
API 拦截技术属于进程伪隐藏方式。
它通过利用Hook技术监控并截获系统中某些程序对进程显示的API 函数调用，然后修改函数返回的进程信息，将自己从结果中删除，导致任务管理器等工具无法显示该木马进程。
具体实现过程是，木马程序建立一个后台的系统钩子（Hook），拦截PSAPI的EnumProcessModules 等相关函数的调用，当检测到结果为该木马程序的进程ID（PID）的时候直接跳过，这样进程信息中就不会包含该木马程序的进程，从而达到了隐藏木马进程的目的。
（2）远程线程注入
远程线程注入属于进程真隐藏方式。
它主要是利用CreateRemoteThread 函数在某一个目标进程中创建远程线程，共享目标进程的地址空间，并获得目标进程的相关权限，从而修改目标进程内部数据和启动DLL 木马。
通过这种方式启动的DLL 木马占用的是目标进程的地址空间，而且自身是作为目标进程的一个线程，所以它不会出现在进程列表中。
3、通信隐藏
进程隐藏可以进一步加强其隐蔽性。
但是仍然可以从通信连接的状况中发现木马程序的踪迹。
因此，很有必要实现木马程序的通信隐藏。
本文给出了以下两种通信隐藏技术的实现思想。
4、协同隐藏
木马协同隐藏思想通常是综合利用各种木马隐藏技术，通过木马子程序或者木马程序之间相互协作，实现更高的隐蔽性。
木马协同隐藏技术摆脱了传统隐藏技术仅靠单一木马、单一技术的方式，它能够从宏观整体出发，设计更加强大的木马协作隐藏模型。
“灰鸽子”木马病毒
常见木马机器隐藏技术
以灰鸽子变种木马为例，灰鸽子变种木马运行后，会自我复制到Windows 目录下，并自行将安装程序删除。
修改注册表，将病毒文件注册为服务项实现开机自启。
木马程序还会注入所有的进程中，隐藏自我，防止被杀毒软件查杀。
自
动开启IE浏览器，以便与外界进行通信，侦听黑客指令，在用户不知情的情况下连接黑客指定站点，盗取用户信息、下载其它特定程序。