计算机病毒及防治 ppt课件.ppt

计算机病毒及防范,1,.,了解计算机病毒的现状了解计算机病毒的概念、特征了解计算机病毒的分类、传播方式及其危害掌握特定的网络病毒的查杀方法,本章要点：,本章主要内容,7.1计算机病毒的历史及现状7.2计算机病毒概述7.3计算机病毒的机制7.4计算机病毒的防御7.5反病毒技术7.6计算机病毒的趋势预测7.7小结,杀毒软件迈克菲指出，现在，恶意软件不仅仅在数量上不断增加，与此同时，它变得愈发“狡诈”。根据迈克菲2013年2月份发布的2012年Q4威胁报道发现，现在，杀毒软件正面临着越来越“聪明”的恶意软件。,7.1计算机病毒的历史及现状,典型的计算机病毒事件,计算机病毒的现状,从统计数据看，2010年病毒样本总量下降了13%，约1798万个，这也是多年以来到病毒样本总量首次出现下滑迹象。其中的原因在于，2010年安全软件成功控制了网页挂马，致使病毒木马的传播锐减。但与此同时，病毒集团开始谋求新的“互联网”转型，随着网络购物的发展，针对网络购物的安全威胁已经成为影响互联网安全的重要形式。,2010年病毒木马呈现“互联网化”趋势，高度依赖联网传播，同时网络购物人群成为入侵重点对象。互联网安全威胁的五大特征分别是：1、病毒木马呈现“互联网化”趋势，高度依赖联网传播2、80%的病毒传播渠道被病毒集团所操控，危害更深入3、网络购物人群成为入侵重点对象4、新型木马不断出现破坏性超传统木马10倍5、病毒木马与钓鱼网站相互“勾结”越发突出,7.2计算机病毒概述,7.2.1计算机病毒的定义7.2.2计算机病毒的特性7.2.3计算机病毒的分类7.2.4计算机病毒的传播途径7.2.5计算机病毒的表现形式7.2.6计算机病毒的危害,7.2.1计算机病毒的定义,国外最流行的定义为：计算机病毒，是一段附着在其他程序上的可以实现自我繁殖的程序代码。从广义上定义，凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。依据此定义，诸如逻辑炸弹，蠕虫等均可称为计算机病毒。1994年2月18日在中华人民共和国计算机信息系统安全保护条例中的定义为：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据、影响计算机使用、并能自我复制的一组计算机指令或者程序代码。”此定义具有法律性、权威性。,7.2.2计算机病毒的特性,计算机病毒具有一些相似的常规特性：1）自我复制能力2）夺取系统控制权3）隐蔽性4）破坏性5）潜伏性6）不可预见性新时代病毒的特性（参见本页备注文本）：1）病毒制造进入“机械化”时代；2）病毒制造的模块化、专业化特征明显；3）病毒“运营”模式互联网化；4）病毒团伙对于“新”漏洞的利用更加迅速；5）病毒与安全软件的对抗日益激烈。,1.按程序运行平台分类DOS病毒、Windows病毒、OS/2、Linux病毒等。2.按连接方式分类病毒按连接方式分为源码型病毒、入侵型病毒、操作系统型病毒、外壳型病毒等四种。3.按破坏性分类根据病毒破坏的能力可划分为以下几种：无害型、无危险型、危险型和非常危险型4.新型病毒部分新型病毒由于其独特性而暂时无法按照前面的类型进行分类，如宏病毒、黑客软件、电子邮件病毒等。,7.2.3计算机病毒的分类,5.按传染方式分类1).引导区电脑病毒2).文件型电脑病毒3).复合型电脑病毒4).宏病毒5).木马6).蠕虫,1）.引导区电脑病毒：隐藏在磁盘内，在系统文件启动以前电脑病毒已驻留在内存内。这样一来，电脑病毒就可完全控制DOS中断功能，以便进行病毒传播和破坏活动。那些设计在DOS或Windows3.1上执行的引导区病毒是不能够在新的电脑操作系统上传播。,2）.文件型电脑病毒：又称寄生病毒，通常感染执行文件(.EXE)，但是也有些会感染其它可执行文件，如DLL,SCR等等.每次执行受感染的文件时，电脑病毒便会发作（电脑病毒会将自己复制到其他可执行文件，并且继续执行原有的程序，以免被用户所察觉）。典型例子：CIH会感染Windows95/98的.EXE文件，并在每月的26号发作日进行严重破坏。于每月的26号当日，此电脑病毒会试图把一些随机资料覆写在系统的硬盘，令该硬盘无法读取原有资料。此外，这病毒又会试图破坏FlashBIOS内的资料。3）.复合型电脑病毒：具有引导区病毒和文件型病毒的双重特点。,4）.宏病毒：宏病毒专门针对特定的应用软件，可感染依附于某些应用软件内的宏指令，它可以很容易透过电子邮件附件、软盘、文件下载和群组软件等多种方式进行传播如MicrosoftWord和Excel。与其他电脑病毒类型的区别是宏病毒是攻击数据文件而不是程序文件。5）.特洛伊或特洛伊木马是一个看似正当的程序，但事实上当执行时会进行一些恶性及不正当的活动。特洛伊可用作黑客工具去窃取用户的密码资料或破坏硬盘内的程序或数据。特洛伊木马与电脑病毒的重大区别是特洛伊木马不具传染性，它并不能像病毒那样复制自身，也并不刻意地去感染其他文件，它主要通过将自身伪装起来，吸引用户下载执行。,6）.蠕虫：一般认为：蠕虫是一种通过网络传播的恶性病毒，它具有病毒的一些共性，如传播性、隐蔽性、破坏性等等，同时具有自己的一些特征，如不利用文件寄生（有的只存在于内存中），对网络造成拒绝服务，以及和黑客技术相结合，等等。根据使用者情况将蠕虫病毒分为两类：一种是面向企业用户和局域网而言；这种病毒利用系统漏洞，主动进行攻击，可以对整个互联网可造成瘫痪性的后果。另外一种是针对个人用户的，通过网络（主要是电子邮件、恶意网页形式）迅速传播的蠕虫病毒，以爱虫病毒、求职信病毒为代表。蠕虫病毒的传染目标是互联网内的所有计算机，局域网条件下的共享文件夹、电子邮件Email、网络中的恶意网页、大量存在着漏洞的服务器等。它跟电脑病毒有些不同，电脑病毒通常会专注感染其它程序，但蠕虫是专注于利用网络去扩散。,病毒、蠕虫与木马之间有什么区别？,共性：都是可导致您的计算机和计算机上的信息损坏的恶意程序；都是人为编制出的恶意代码，都会对用户照成危害。区别：木马一般主要以窃取用户相关信息为主要目的，相对病毒而言，我们可以简单地说，病毒破坏你的信息，而木马窃取你的信息。典型的特洛伊木马有灰鸽子、网银大盗等。蠕虫不使用驻留文件即可在系统之间进行自我复制，而普通病毒需要传播受感染的驻留文件来进行复制，蠕虫病毒的传染目标是互联网内的所有计算机，而普通病毒的传染能力主要是针对计算机内的文件系统而言。,6.按病毒的特性分类,Trojan-特洛伊木马，有这个前缀的就是木马了，在此类病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有盗取密码的功能。比如Trojuan.qqpass.aWin32PEWin95W32W95-系统病毒，特性是可以感染windows操作系统的*.exe和*.dll文件Worm-蠕虫病毒，通过网络或者系统漏洞进行传播。比较著名的有冲击波Script-脚本病毒一般来说，脚本病毒还会有如下前缀：VBSJS（表明是何种脚本编写的）比如欢乐时光Backdoor-后门病毒，特性是通过网络传播，给系统开后门，最著名的就是灰鸽子为代表Dropper-种植程序病毒，特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，代表就是落雪了Joke-玩笑病毒，只是吓吓人而已，没什么危害HackTool-黑客工具Downloader-木马下载者，以体积小的下载者下载体积大的木马，方便隐藏AdWare-广告病毒，监视你在上网时的一举一动，然后把信息反馈到用它的公司,7.2.4计算机病毒的传播途径,计算机病毒的传播途径主要通过：1、计算机可移动存储设备传播主要通过文件拷贝、文件传送、文件执行等方式进行，文件拷贝与文件传送需要传输设备，文件执行则是病毒感染的必然途径（Word、Excel等宏病毒通过Word、Excel调用间接地执行），因此，病毒传播与文件传输设备的变化有着直接关系。2、网络传播主要通过下载软件、聊天、浏览网页、收发邮件、BBS论坛等传播。,病毒木马通过网络下载传播的完整路径,社会工程学的攻击手段成为当前病毒入侵的重要途径,(1)利用热点事件当用户上网搜索一些当下比较流行的信息或电影的时候，如“艳照门”、“色戒”等，搜索到的网页中很多都是带毒的，这是不法分子利用人的心理而设的圈套。(2)利用用户对好友的信任通过即时聊天工具传播随着聊天工具的安全防范措施，这类攻击已经不是主流，但还存在，有些病毒会通过QQ、msn等聊天工具自动向好友发送带毒信息或病毒文件。(3)钓鱼网站钓鱼网站也是一种常用的攻击手段，如是一个外挂的官方网站，而是钓鱼网站，但钓鱼网站做得跟官方网站一模一样，使得不少用户浏览了钓鱼网站或者下载了钓鱼网站的文件，导致中毒。另外一种方式不需要带毒，如银行的钓鱼网页，用户在登录的过程中，他会先记录下帐号和密码，然后再进行登录到正确的网站，而此时你并不知道你的帐号密码等信息已经失窃。,(4)捆绑软件一些病毒会感染或者修改正常共享软件的安装包，使得用户在网站下载安装这些软件时感染病毒。另外一些病毒则直接替换掉下载链接的文件。(5)高流量带毒链接流量高的网站是可以用来卖钱挂病毒的，因此很多流量高的网页会被用来挂病毒。这类网站以黄色网站居多。(6)江湖骗术一些网络社区、聊天群里出现的骗子，往往会花言巧语诱使你接受打开对方发送的文件，以照片(其实是病毒文件)为典型。,社会工程学的攻击手段成为当前病毒入侵的重要途径,病毒发作前平时运行正常的计算机突然经常性无缘无故地死机操作系统无法正常启动运行速度明显变慢以前能正常运行的软件经常发生内存不足的错误打印和通讯发生异常无意中要求对软盘进行写操作系统文件的时间、日期、大小发生变化运行Word，打开Word文档后，该文件另存时只能以模板方式保存磁盘空间迅速减少网络驱动器卷或共享目录无法调用基本内存发生变化自动链接到一些陌生的网站,7.2.5计算机病毒的表现形式,计算机病毒发作时的表现现象,提示一些不相干的话发出一段的音乐产生特定的图象硬盘灯不断闪烁进行游戏算法Windows桌面图标发生变化自动发送电子函件鼠标自己在动,计算机病毒发作后的表现现象,硬盘无法启动，数据丢失系统文件丢失或被破坏文件目录发生混乱部分文档丢失或被破坏部分文档自动加密码修改Autoexec.bat文件增加FormatC：一项，导致计算机重新启动时格式化硬盘使部分可软件升级主板的BIOS程序混乱，主板被破坏网络瘫痪，无法提供正常的服务,1病毒激发对计算机数据信息的直接破坏作用2占用磁盘空间和对信息的破坏3抢占系统资源4影响计算机运行速度5计算机病毒错误与不可预见的危害6计算机病毒的兼容性对系统运行的影响7计算机病毒给用户造成严重的心理压力,7.2.6计算机病毒的主要危害,7.2.72012年典型病毒,1、“浮云”木马2、手机僵尸病毒-“短信僵尸”木马3、“快播木马”轰炸用户电脑,“浮云”木马-盗走千万网银资金,“浮云”木马是一种新型木马病毒。在网民使用网银转账过程中，“浮云”在后台秘密截取网银转账信息，将受害人网银内的资金秘密转入到犯罪嫌疑人指定的游戏账户。该病毒甚至可以躲过杀毒软件的扫描，并可根据银行卡内的资金情况，更改盗窃资金额度。,手机僵尸病毒,手机僵尸病毒，是一类专门针对移动通信终端的恶意软件的总称。也被称为“僵尸手机病毒”。被这种恶意程序感染的手机，成为“僵尸手机”，自动向其他手机用户通过发送短信的方式，用户一旦阅读这种带有恶意链接的短信，就会感染而成为“僵尸手机”，并再次对外传播这种病毒。,“短信僵尸”木马出没手机请注意,8月底，一款名为Android.Troj.SMSZombie.a的手机僵尸病毒开始蔓延，其主要的破坏行为是窃取用户隐私，包括中毒手机串号、SIM卡序列号、手机号、网络类型、手机型号、联网类型等信息。更严重的是，该病毒可针对网银、支付、汇款等高度机密信息进行盗窃。高危“短信僵尸”木马专偷网银密码,“快播木马”来袭,2012年10月18日9时网易新闻：据瑞星“云安全”系统统计，本周瑞星共截获了795698个钓鱼网站，共有388万网民遭遇钓鱼网站攻击。瑞星安全专家提醒用户，本周有一个名为“Trojan.Win32.Generic.12B94D4C（快播木马下载器）”应引起用户的警惕。该病毒伪装成快播软件，诱骗用户下载，用户将该安装包下载到本地后会释放一个正常的快播程序和一个病毒下载程序。病毒下载程序会在释放时，将自身复制到系统目录下，并通过填充垃圾数据，将自身增大，以规避安全软件的监测。中毒电脑会在黑客指定网址下载39种病毒，导致用户隐私泄露、账号被窃。同时，该病毒还会连接黑客指定的恶意网址，向用户电脑发送恶意广告。,IE主页篡改器,该病毒主要是随着一些小型软件传播，病毒团伙将该病毒捆绑在某些受欢迎的小程序里，当用户下载这些程序时，该毒就跟着混进电脑。然后它就修改IE浏览器的数据，将主页锁定为病毒作者规定的地址。这样一来，用户每次打开IE浏览器都要被迫浏览广告页面，为这些网站“贡献”流量。而病毒团伙也就可以从中获取提成，牟取不义之财。避免遭遇该毒的最简单办法，是不要去那些不知名的小型下载站点或不良网站，这些地方提供的视频播放器或工具多半包含此毒或类似的病毒木马。,2010年度已发现的所有篡改浏览器主页病毒集合，其中涉及的浏览器包括ie，搜狗，360，傲游，firefox，chrome，腾讯tt等。病毒利用的手法通常为伪造假IE图标，新建恶意url协议，修改浏览器配置文件，伪装正常BHO、IE插件加载。病毒锁定的主页往往是各类导航站点，这些站点通过锁定用户主页来刷取商业网站的流量分成而获利。这也成为恶意软件最常采用的赢利模式。,7.3计算机病毒的机制,7.3.1计算机病毒的引导机制7.3.2计算机病毒的发生机制7.3.3计算机病毒的破坏机制,7.3.1计算机病毒的引导机制,1计算机病毒的寄生对象2计算机病毒的寄生方式3计算机病毒的引导过程（1）驻留内存（2）窃取系统控制权（3）恢复系统功能,计算机病毒的完整工作过程应包括以下几个环节：传染源：病毒总是依附于某些存储价质,例如软盘、硬盘等构成传染源。传染媒介：病毒传染的媒介由工作的环境来定,可能是计算机网络,也可能是可移动的存储介质。病毒激活：是指将病毒装入内存,并设置触发条件,一旦触发条件成熟,病毒就开始作用自我复制到传染对象中,进行各种破坏活动等。病毒触发：计算机病毒一旦被激活,立刻就发生作用,触发的条件是多样化的,可以是内部时钟,系统的日期,用户标识符，也可能是系统一次通信等等。病毒表现：表现是病毒的主要目的之一,有时在屏幕显示出来,有时则表现为破坏系统数据。可以这样说,凡是软件技术能够触发到的地方,都在其表现范围内。传染：病毒的传染是病毒性能的一个重要标志。在传染环节中,病毒复制一个自身副本到传染对象中去。,7.3.2计算机病毒的发生机制,计算机病毒的破坏行为体现了病毒的杀伤力。病毒破坏行为的激烈程度取决于病毒作者的主观愿望和他所具有的技术能量。数以万计、不断发展扩张的病毒，其破坏行为千奇百怪，不可能穷举其破坏行为，难以做全面的描述。病毒破坏目标和攻击部位主要是：系统数据区、文件、内存、系统运行、运行速度、磁盘、屏幕显示、键盘、喇叭、打印机、CMOS、主板等。,7.3.3计算机病毒的破坏机制,7.4计算机病毒的防御,常用的防御措施如下：（1）使用比较强壮的密码。尽量选择难于猜测的密码，对不同的账号选用不同的密码。（2）经常备份重要数据。（3）不要打开来历不明的电子邮件。（4）正确配置系统，减少病毒入侵。（5）定期检查敏感文件。（6）慎用软盘、光盘等移动存储介质。（7）定义浏览器安全设置，浏览网页时要谨慎，不要轻易下载ActiveX控件或Java脚本。,（8）安装最新的操作系统、应用软件的安全补丁程序。（9）选择安装优秀的防病毒软件和防火墙，定期对整个硬盘进行病毒检测、清除工作。（10）当计算机不使用时，不要接入互联网，一定要断掉连接。（11）重要的计算机系统和网络一定要严格与互联网物理隔离。,常用的防病毒设置:,1.禁止Windows的ScriptingHost功能2.设置文件和文件夹的查看方式3.设置IE的安全级别4.Outlook安全设置5.宏病毒保护设置6.安装最新系统安全补丁7.设置安全密码,7.5反病毒技术,中国计算机反病毒20年重要反病毒技术,江民科技六大计算机反病毒技术,一、超强内核级自我保护技术二、反病毒Rootkit、反病毒Hook技术三、智能主动防御、系统灾难恢复技术四、网页防马墙、木马一扫光技术五、系统、应用软件漏洞自动修复技术六、系统诊断、未知病毒检测技术,赛门铁克六大计算机反病毒技术,1、虚拟机技术2、沙盘仿真(虚拟机的继承人)3、主动防御4、NTFS流杀毒技术5、防御零日攻击的利器6、钓鱼攻击,目前传统的特征码扫描方式仍是杀毒软件的主要技术(反病毒技术)。而在此期间，病毒技术的发展也有了新变化，病毒制造者们并不再只是着重于发展新的病毒技术，而是转变了另一种思路，这一转变发生在病毒的生产制造以及传播流程上，病毒的制造更简单，病毒的传播方式更多样更复杂，病毒开始互联网化，而最终这些病毒与经济利益挂钩，完整的病毒产业链形成。在2008年，病毒互联网化的趋势越来越明显，传统的杀毒软件已经难以应对每天产生的越来越多的新病毒。于是，相应地，杀毒软件也开始互联网化，“云安全”的概念横空出世，杀毒软件行业迎来一场新的变革。,新互联网化的安全防御体系云安全,反病毒厂商对云安全的理解：卡巴斯基：云安全可以看作是一个互联网形式的杀毒软件。金山毒霸：云安全就是利用服务器端技术解决客户的安全问题。瑞星：云安全就是杀毒软件或者安全的互联网化。江民：云安全就是通过互联网，对未知病毒和恶意代码的一种快速反应。,云安全,云安全,“云”是一些可以自我维护和管理的虚拟计算资源，通常为一些大型服务器集群，包括计算服务器、存储服务器、宽带资源等等。简单理解云安全就是通过互联网达到“反病毒厂商的计