第9章 邮件病毒的分析与防治

计算机病毒分析与防治·第9章邮件病毒的分析与防治为什么一封邮件能让整个公司的邮件服务器瘫痪？梅丽莎病毒、爱虫病毒、MyDoom——它们是怎么通过邮件疯狂传播的？第9章·邮件病毒的分析与防治·01学习目标1.了解邮件病毒的危害和预防措施2.理解传统蠕虫与邮件蠕虫的传播方式区别3.掌握垃圾邮件的识别技术和来源追踪方法（信头分析）4.了解SPF、DKIM、DMARC三大反垃圾邮件认证技术5.掌握梅丽莎病毒的行为特征与清除方法第9章·邮件病毒的分析与防治·02本章内容9.1关于邮件病毒定义·四大危害·预防措施9.2垃圾邮件的分析与过滤邮件蠕虫vs传统蠕虫·识别技术·信头追踪9.3反垃圾邮件技术SPF·DKIM·DMARC·反垃圾邮件网关9.4梅丽莎病毒剖析简介·行为分析·清除方法第9章·邮件病毒的分析与防治·03引导案例为什么一封邮件能让整个互联网变慢？2004年1月26日，MyDoom病毒爆发。高峰时期，全球网络加载时间延长了50%以上。它通过电子邮件和P2P网络疯狂传播，芬兰安全公司称它为"病毒史上最厉害的邮件蠕虫"。为什么邮件病毒的破坏力这么大？它是怎么传播的？第9章·邮件病毒的分析与防治·049.1节邮件病毒到底是什么？它和普通病毒有什么不一样？它对企业网络有什么特殊危害？我们怎么预防？第9章·邮件病毒的分析与防治·05什么是邮件病毒？——定义与传播方式邮件病毒是指电子邮件内包含病毒，病毒在用户预览邮件或下载附件时潜伏到计算机中后发作。它和普通病毒在程序上是一样的，只是主要通过电子邮件传播。传播方式的演变：从"被动触发"到"主动发作"早期（被动触发）·必须打开附件才能激活·多为宏病毒·传播速度慢（一周左右）·典型：梅丽莎病毒、爱虫病毒新一代（主动发作）·利用Outlook和IE漏洞·用户预览邮件即可触发·传播行为更具攻击性·典型：Nimda、WantJob、BinLaden第9章·邮件病毒的分析与防治·06邮件病毒对企业网络的四大特殊危害①威胁邮件服务本身大量带毒邮件收发→邮件服务器负载极限→网络阻塞→服务器崩溃。典型：求职信病毒爆发时企业邮件几乎瘫痪。②占用大量网络资源由点到面放射性扩散——感染一台电脑，它的通讯录就变成传播"通讯录"，群发快速扩散，网络传输变慢。③传播行为更具攻击性从附件携带扩展到内容携带——预览邮件就能触发，不用打开附件。Nimda、WantJob、BinLaden都是这类。④垃圾邮件阻塞用户邮箱未被彻底清除的病毒邮件变成垃圾邮件，占满用户有限的邮箱空间，导致无法接收正常邮件。和普通病毒的区别：普通病毒只损坏单台电脑的文件和数据；邮件病毒额外造成网络阻塞——这对企业网络的损失远大于单台电脑。第9章·邮件病毒的分析与防治·07怎么预防邮件病毒？——通用规则+具体方案通用规则（人人都要做）①不明来源邮件谨慎对待——尤其是带可执行文件的邮件（.exe、.vbs、.js等）②关闭邮件"预览"窗口——很多HTML邮件中的病毒在预览时就运行了，不用打开附件具体方案（从根源禁用VBScript/JScript运行环境）·禁用WSH——WSH是VBScript/JScript的运行环境，大部分邮件病毒都是用它编的。企业环境中禁用不使用VBScript的客户机，比一台台装杀毒软件更简单有效。·删除文件类型映射——文件夹选项→文件类型→删除.vbs、.vbe、.js、.jse与应用程序的映射·改名或删除WScript.exe和JScript.exe——在系统目录中找到它们，改名或删除第9章·邮件病毒的分析与防治·089.2节垃圾邮件是怎么识别和追踪的？邮件蠕虫和传统蠕虫有什么不一样？怎么从邮件信头里追踪垃圾邮件的真实来源？第9章·邮件病毒的分析与防治·09传统蠕虫vs邮件蠕虫——两种传播方式的区别对比维度传统蠕虫邮件蠕虫传播载体网络漏洞+共享资源电子邮件传播方式扫描→攻击→复制（三步）用户点附件→感染→偷通讯录→群发邮件传播范围找有漏洞的主机，范围有限跟着邮件地址走，全球范围快速扩散依赖条件目标主机有漏洞用户点击附件（社会工程）典型例子红色代码、SQLSlammer梅丽莎、爱虫、MyDoom、求职信第9章·邮件病毒的分析与防治·10怎么识别垃圾邮件？——三层拦截+四种前沿技术三层拦截（从网络到内容）·网络层：分析TCP连接的数量、频率、合法性、连接时长→生成黑名单→拦截·应用层：基于LDAP对发件人IP和收件人地址做转发控制，黑白名单核实·内容层：关键字过滤、邮件指纹、贝叶斯算法、规则评分、病毒扫描四种前沿识别技术①发件人行为识别一个地址发大量邮件→速率控制阻断；发给无效收件人→阻断字典攻击②多维模式识别识别图像垃圾邮件——OCR前预处理，分析IP、包头、URL、图像像素、干扰点③意图分析分析邮件动机（登录站点/打电话/买东西），查DNS和URL返回结果④恶意代码分析可疑邮件归档→模拟环境运行→确认恶意→生成签名→全网拦截第9章·邮件病毒的分析与防治·11怎么追踪垃圾邮件的来源？——邮件信头分析RFC822标准把邮件分成信头和信体两部分，中间空一行分隔。对邮件管理员来说，信头比信体更重要——它藏着邮件来源的真实线索。信头的六大关键字段Received:每经过一台SMTP服务器就加一条，记录邮件经过的完整路径From:发件人地址（可伪造！）To:收件人地址（可伪造！）Reply-To:回复地址Date:邮件时间戳Subject:邮件主题Message-ID:唯一邮件ID，退信时参考第9章·邮件病毒的分析与防治·12为什么From和To字段不可信？——追踪邮件的正确方法From:和To:字段都可以伪造！SMTP用RCPT命令通知服务器发给谁，不用To:字段。发件人可以在To:里写任何地址，实际收件人放在Bcc:或RCPT命令里。接收MTA不验证To:字段。所以：不要轻易把垃圾邮件的发件人拉入黑名单，以免误判！真正可靠的是Received:字段·垃圾邮件发件人很少直接发给用户，通常用安全性不高的邮件服务器做中转·每经过一台邮件服务器，就会在信头加一个Received:字段·从下往上读Received:字段，就能还原邮件经过的完整路径·找到最早的那台服务器，就是邮件的真实来源第9章·邮件病毒的分析与防治·139.3节怎么从技术上根治垃圾邮件？SPF、DKIM、DMARC——这三个DNS认证协议是怎么配合工作的？反垃圾邮件网关里都用了哪些技术？第9章·邮件病毒的分析与防治·14SPF与DKIM——两大邮件认证技术SPF（发件人策略框架）本质：DNS记录，告诉收件人哪些IP是合法发件服务器原理：·发件人在DNS的TXT记录里列出合法IP·收件服务器查SPF记录·发件IP在列表里→接收；不在→拒收解决什么问题：伪造发件人地址的垃圾邮件DKIM（域密钥识别邮件）本质：公钥私钥加密签名+哈希比对原理：·公钥放DNS，私钥存在发件服务器·发件时在信头插入DKIM签名·收件服务器用公钥解密签名，和邮件哈希比对·一致→合法；不一致→拒收解决什么问题：邮件内容被篡改、伪造发件人两者都是DNSTXT记录，都为了防垃圾邮件——SPF验"从哪发的"，DKIM验"信有没有被改"第9章·邮件病毒的分析与防治·15DMARC协议——SPF和DKIM的"总指挥"DMARC（基于域的消息验证、报告和一致性）是基于SPF和DKIM的可扩展邮件认证协议。SPF和DKIM缺什么？——它们缺少反馈机制，没定义验证失败后该怎么处理。DMARC补上了这一块。DMARC的两个核心功能①设置处理策略验证失败的邮件怎么处理？·拒收（reject）·标记为垃圾邮件（quarantine）·不处理（none）②发送报告验证失败时，收件服务器自动发一封报告到指定邮箱发件人能看到：·哪些邮件没通过验证·是谁在冒用你的域名第9章·邮件病毒的分析与防治·16反垃圾邮件网关——八大过滤技术反垃圾邮件网关=设在邮件服务器前面的一道防线——垃圾邮件被挡在外面，正常邮件才放进去。①过滤技术——最简单最直接，使用最广泛②反向查询技术——反向MX记录，验域名和IP是否对应③挑战技术——新发件人要先回挑战邮件，垃圾邮件做不到④密码技术——SSL证书+数字证书，加密传输验证发件人⑤邮件指纹技术——类似杀毒特征码，批量相同垃圾邮件检测效率高⑥意图分析技术——提取邮件中URL建库，对比判断⑦贝叶斯过滤技术——自动学习新垃圾邮件，个性化过滤⑧评分系统——每条规则打分，超阈值判为垃圾邮件最佳实践：多层次防护——基线安装+网关+黑名单+威胁情报+沙箱+杀毒软件，全方位保障第9章·邮件病毒的分析与防治·179.4节梅丽莎病毒为什么改变了世界？一封"来自朋友的重要邮件"，怎么让整个互联网的邮件服务器瘫痪？它到底干了什么？我们怎么清除它？第9章·邮件病毒的分析与防治·18梅丽莎病毒——改变互联网安全观念的病毒1999年3月爆发。伪装成朋友/同事发来的"重要信息"邮件。用户打开附件list.doc就被感染，病毒自动向外发50封带毒邮件。经济损失超8000万美元，作者被判入狱20个月。它为什么有如此大的影响？①通过电子邮件传播——打开list.doc立即感染，传播速度极快②用WordVBA语言编写——开创了此类病毒的先河③修改注册表+调用Outlook发邮件——发件人是你熟悉的人，容易被忽视；连锁反应导致邮件服务器严重阻塞④感染.doc文件并修改通用模板——打开Word就发作，反复发作第9章·邮件病毒的分析与防治·19梅丽莎病毒干了三件事——注册表+发邮件+感染模板①改注册表做感染标志写入HKEY_CURRENT_USER\Software\Microsoft\Office\Melissa?="…byKwyjibo"。已感染就不再重复感染。②调用Outlook给前50个联系人发邮件主题："ImportantMessageFrom用户名"；正文："Hereisthatdocumentyouaskedfor…don'tshowanyoneelse:-)"；附件：当前带毒的list.doc③感染Word通用模板，让病毒反复发作·关闭宏病毒防护、文件转换提示、模板修改警告·禁用"宏"菜单和"安全性"命令——防止用户手动删宏·把病毒代码写入Normal.dot通用模板——以后打开任何Word文档都带毒第9章·邮件病毒的分析与防治·20中了梅丽莎病毒怎么清？——手动清除四步法①删通用模板文件显示所有文件→搜索Normal.dot→全部删除→清空回收站②删注册表感染标志注册表编辑器→搜索"Melissa?"→全部删除③删带毒的Word文件全部删除；要保留内容的→用写字板打开另存为.doc④测试Word是否正常新建空文档打开→不报错、功能项可用→清除完成第9