木马病毒分析师（木马病毒案例分析）
本文目录一览：
什么是启发型木马病毒？
启发式究竟指什么―启发式‖（Heuristic）是指探索和发现的行为或过程。牛津英文词典将启发式定义为―让某人能够自主的探索和学习‖或者（在计算领域）―仅依靠宽泛的定义，或者依靠不断尝试和汲取失败经验教训的方法来解决问题[6]。‖韦氏词典将其定义为―依靠实验尤其是反复试验，通过尝试和汲取失败经验教训的方法，来帮助学习、探索或者解决问题‖或者（在计算领域）―一种利用自主学习的手段（通过反馈的评估）来提高表现，以探索解决问题的技术[7]。‖ 启发式程序通常被认为是一种具有人工智能的应用程序，而且也是一种解决问题的工具。启发式程序的编写，例如用于专门系统的程序，建立于一些从经验中提取的规则，它通过不断积累经验产生更好的解决方法，并且增加自己的知识库。
当启发式分析被用于处理恶意软件时（当然还包括垃圾邮件和流氓软件），尽管涉及反复试验和从经验中学习的原理，却又有更多限定的含义。启发式分析使用基于规则的方法来诊断一个有潜在威胁的文件(或信息，如果是分析垃圾邮件的话)。分析引擎的工作是基于自身规则库的，它依据规则检查恶意软件存在的可能性，当找到一个匹配的规则时就为其分配一个分值。如果这些分值达到或超过了一个阈值[8]，这个文件就会被标记为可疑文件（或者潜在的恶意软件、垃圾邮件）并进行处理。 某种意义上来说，针对反恶意软件的启发式技术，尝试的是模拟人类的智能分析方法。与恶意软件分析人员设法判定某个软件的行为和动作相同，启发式分析执行相同的智能决策过程，有效地担当虚拟分析师的角色。恶意软件分析人员从出现的新生威胁中不断学习，并将他的知识通过编程应用于启发式分析器，以提高今后的检测率。
启发式编程在反病毒软件性能中有着双重的任务：速度和检测。事实上，―启发式‖这个术语在其他科学领域也有类似的含义[9]；即专注于通过达到―足够好‖的结果(尤其指数据吞吐速度)而非―完美的‖结果来提高性能。当已知病毒的数量与日俱增，就需要提高检测速度。否则，增长的恶意软件数量所带来额外扫描时间，会降低系统的使用效率。 否定式启发
一种检测规则或标准，如果检测对象符合标准，则不是病毒或恶意软件的可能性减小。肯定式启发
一种检测规则或标准，如果检测对象符合标准，则是病毒或恶意软件的可能性加大。 误杀漏杀原因争论的焦点在于，判断一个程序是不是木马程序（或恶意软件），是否应更多根据其目的来界定，而非功能来界定。例如，一个键盘记录程序如果是经过用户授权或用户自愿安装的，即使它的功能与木马程序是相同的，那么它也不算是木马程序。这会给检测带来问题，因为电脑在判断目的方面的能力弱于人类。
间谍软件和广告软件（可能由于媒体的过多关注，以及大量针对性产品的存在）已经被划分为了不同恶意软件的子类。尽管人们经常争论，广告软件不一定就是恶意软件，但这种区别是大多情况下没有意义的。而同样的争论也适用于该类别的几乎所有其他项目，因为一个程序的行为并不能作为判定恶意软件的标准，而是在于程序员的不良意图与用户期望值之间存在着的差别。 病毒三大类文件病毒
期待反病毒软件检测病毒，当然是合情合理的。因为多年来反病毒软件在检测病毒方面如此成功，也正是由于这部分原因，以至于它检测其它类型恶意软件的能力被低估了。
虽然病毒有很多种定义，但一种被恶意软件研究者普遍接受的定义是―病毒是一种计算机程序，它能通过将复制自身（或者自身的变体）修改计算机中的其他程序，以达到感染目的‖ [1， 2]。 这个定义涵盖了很多种类型的病毒，包括：
�8�4 引导型病毒，硬盘分区病毒
�8�4 文件型病毒（寄生病毒）
�8�4 混合型病毒
�8�4 宏病毒和脚本病毒尽管有些病毒类型现在已经很少见了（比如引导型病毒和硬盘分区病毒），但是反病毒程序一般都能检测在该平台上（有时包括其它平台）发现的这类已知病毒。通常，反病毒软件也善于通过启发式的方式检测新的或未知的病毒种类。蠕虫
业界从未在蠕虫的定义上真正地达成一致，如科恩所说―蠕虫是一种病毒的特例‖ [1]，但不论蠕虫是怎样的特例，反病毒软件通常都能检测它们。 对于蠕虫的不同定义甚至比针对病毒的还要多，但是大部分反病毒研究者将蠕虫定义为一种以非寄生方式复制的程序，也就是说，它不把它自身附加到一个寄主文件上。邮件群发者可以描述为一种特殊类型的蠕虫. 多数反病毒厂商将这种通过电子邮件传播的恶意软件视为蠕虫，但是一些邮件群发者具有纯病毒的特点（比如，Melissa事实上是一种纯病毒，一种能够像蠕虫一样传播的宏病毒，而W32/Magistr则是一种文件型病毒）。 对于新型蠕虫变种的检测，厂商同样有很好的手段。比如说，新型邮件群发器几乎在出现的同时，就被通信安全服务供应商及其系统列入了黑名单.
非复制型恶意软件
这个定义是根据上文的定义得出来的，即如果一个恶意软件不具有复制能力，那它就不是病毒或者蠕虫。但是这并不意味着反病毒软件不能检测到它，除非其不具有威胁。
要说明的是，即使当反病毒厂商过去常以非复制型的对象不是病毒为由拒绝对它们的检测时，一些非自我复制的对象（它们当中的一些甚至不是可执行程序，更不要说是有恶意的了）仍然能被检测到并且报毒。例如：�8�4 未遂病毒(复制自身失败的病毒)和损坏的病毒
�8�4 垃圾文件
�8�4 与病毒相关的非病毒程序，如病毒原体，释放器，病毒生成器
�8�4 合法的测试程序如EICAR测试文件[4]
许多已传播多年的非复制型病毒，由于管理不善，仍然被一些评测机构作为样本，用于针对杀毒软件的测试中。绝大部分厂商早已不再拒绝将这些病毒的特征码添加到其产品的病毒库中，避免因没有检测出这些病毒样本，而取得不理想的测试成绩。遗憾的是，日趋复杂的启发式扫描引擎，也只是刚好跟上了杀毒软件测试者不断更新的测试手段，有时新的测试手段也并非恰当。本文的后面部分会简略地分析测试产品启发式扫描能力时，技术上可接受的方式。 人们了解最多的非复制型恶意软件是木马程序（或简称为木马）。木马程序声称能执行一些有用的操作或提供一些必要的功能，可能也确实如此。但同时它也会执行一些用户并不希望或不需要的操作。这包括一系列特定的恶意软件：
�8�4 病毒释放器；
�8�4 键盘记录器；
�8�4 破坏性木马程序；
�8�4 下载者；
�8�4 间谍程序；
�8�4 广告程序；
�8�4 内核后门与stealthkits
�8�4 玩笑程序；
�8�4 僵尸程序 (机器人程序， 远程控制木马， DDoS 客户端等)
可自我复制的恶意软件（如病毒）有时也被认为是木马程序（或称为木马型病毒，这表示这种木马通过将一个以前合法的程序损坏，修改或替换而引起破坏），大部分人可能会发现这样的分类所带来的困惑多于帮助。检测出所有非复制型恶意软件要比检测出所有形式的病毒更加困难，因为不仅要测试程序的复制能力，还要测试程序的一系列作用。
中了LSASS木马病毒，怎么办？
用卡巴斯基杀毒软件 杀毒好 速度快（第一次可能慢些后来就飞一样） 升级好 好注册 比国产的好用多了（不是我不爱国哦） 这大概是世界上最好的杀毒软件了 不过这个杀毒软件不能和别的共存
为虾米呢？
因为 强 就是要霸道
下面是有关卡巴斯基的资料：
1、对病毒上报反应迅速，卡巴斯基具有全球技术领先的病毒运行虚拟机，可以自动分析70%左右未知病毒的行为，再加上一批高素质的病毒分析专家，反应速度就是快于别家。每小时升级病毒的背后是以雄厚的技术为支撑的。
2、对任何上报病毒的用户不问正版，D版，病毒分析师一律回信，有时还详细给出分析结论的依据，体贴呵护用户，有时我想就算写信和他们鬼扯，他们也会回复的，以前一直用D版心里不免愧疚，当网易降价销售卡巴的时候，赶紧去买套正版。这就是卡巴斯基，轻易征服潜在用户的杀毒软件公司。
3、随时修正自身错误，杀毒分析是项繁琐的苦活，卡巴斯基并不是不犯错，而是犯错后立刻纠正，只要用户去信指出，误杀误报会立刻得到纠正。知错就改，堪称其他杀软的楷模，你去试试看给symantec纠错，会是什么结果。
4、卡巴斯基的引擎技术是国内外许多杀毒软件的核心，这是公认的事实，另外，国外的我不知道，国内的杀毒厂商，对上报病毒一律先卡巴扫一遍，这是很有趣的现象，你说，卡巴斯基是不是其他杀软的师傅。
5、卡巴斯基的毒库数量不是最高，但实际可杀病毒数量绝对是世界第一，这是因为，卡巴斯基的超强脱壳能力，无论你怎么加壳，只要程序体还能运行，就逃不出卡巴斯基的掌心，它总唱是你是你还是你。因此卡巴斯基毒库目前的15（近16万 在2006-1-10 有159926）多万病毒是真实可杀数量，某些杀软对病毒的加壳版要么傻眼要么列为变种，还沾沾自喜每天100多条升级，殊不知人家卡巴一条升级就顶你几十条了。
6、最重要的一点是，卡巴斯基对上报病毒的用户并没有物质奖励，但大家却趋之若鹜，原因在于：当我1小时前中了未知病毒，于是将病毒体文件发送给卡巴，然后悠悠然去洗澡吃饭，过1小时回来后，将卡巴斯基升级后，伴随着卡巴斯基悠扬的杀猪声响起，可恶的病毒被逐个扫除，那种心理快感和参与感，岂是别的杀软能够带给我们的？
卡巴斯基被过度神话了吗？是的，卡巴斯基确实是个神话，他是国内外其他杀毒软件厂商追赶的神话，也是用户心中永远不灭的神话！
为什么360 检测autoruns是木马病毒?
autorun.inf本身不是一个木马，他的功能是自动播放。
光盘的自动播放都是利用它来完成的。
鉴别autorun.inf是善还是恶，楼主可以使用记事本打开该文件（编辑），查看此文件里面要求指向的是哪个文件，是已知文件说明他是善的，是未知文件，可以基本定义它是恶的，这是一个简单的分析。
其实autorun主要就是看他只想的文件，只要知道了指向的是哪个文件就可以判定是否是木马，此类文件不需要病毒分析师进行分析，楼主自己就可以分析。
怎么杀木马
在安全模式下进行杀毒操作
1、对病毒上报反应迅速，卡巴斯基具有全球技术领先的病毒运行虚拟机，可以自动分析70%左右未知病毒的行为，再加上一批高素质的病毒分析专家，反应速度就是快于别家。每小时升级病毒的背后是以雄厚的技术为支撑的。
2、对任何上报病毒的用户不问正版，D版，病毒分析师一律回信，有时还详细给出分析结论的依据，体贴呵护用户，有时我想就算写信和他们鬼扯，他们也会回复的，以前一直用D版心里不免愧疚，当网易降价销售卡巴的时候，赶紧去买套正版。这就是卡巴斯基，轻易征服潜在用户的杀毒软件公司。
3、随时修正自身错误，杀毒分析是项繁琐的苦活，卡巴斯基并不是不犯错，而是犯错后立刻纠正，只要用户去信指出，误杀误报会立刻得到纠正。知错就改，堪称其他杀软的楷模，你去试试看给symantec纠错，会是什么结果。
4、卡巴斯基的引擎技术是国内外许多杀毒软件的核心，这是公认的事实，另外，国外的我不知道，国内的杀毒厂商，对上报病毒一律先卡巴扫一遍，这是很有趣的现象，你说，卡巴斯基是不是其他杀软的师傅。
5、卡巴斯基的毒库数量不是最高，但实际可杀病毒数量绝对是世界第一，这是因为，卡巴斯基的超强脱壳能力，无论你怎么加壳，只要程序体还能运行，就逃不出卡巴斯基的掌心，它总唱是你是你还是你。因此卡巴斯基毒库目前的13多万病毒是真实可杀数量，某些杀软对病毒的加壳版要么傻眼要么列为变种，还沾沾自喜每天100多条升级，殊不知人家卡巴一条升级就顶你几十条了。
6、最重要的一点是，卡巴斯基对上报病毒的用户并没有物质奖励，但大家却趋之若鹜，原因在于：当我1小时前中了未知病毒，于是将病毒体文件发送给卡巴，然后悠悠然去洗澡吃饭，过1小时回来后，将卡巴斯基升级后，伴随着卡巴斯基悠扬的杀猪声响起，可恶的病毒被逐个扫除，那种心理快感和参与感，岂是别的杀软能够带给我们的？
卡巴斯基被过度神话了吗？是的，卡巴斯基确实是个神话，他是国内外其他杀毒软件厂商追赶的神话，也是用户心中永远不灭的神话，我们相信这个神话，也愿意向其他人推荐这个神话，如果你的朋友还没有使用卡巴斯基，请将我这篇文章给他看看吧。
下载地址：
Trojan-PSW.win32.WOW.da是什么病毒？？
Trojan-PSW.Win32.Lmir.ayx病毒运行后，伪装为记录微软安全更新升级补丁相关信息的LOG文件，以达到隐藏的目的，以正常的LOG文件不同，在病毒的文件名中，含有类似M，I等字符。
无独有偶，病毒分析师最近频繁接到用户报告，发现名为Trojan-PSW.Win32.WOW.da的木马多次出现。接到用户报告后，病毒分析师立即对用户上报的可疑文件样本进行分析，经分析，该类木马具有如下特征：
在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\处添加启动项，名为LSASS.exe等。在受感染的系统中，存在类似%WinDir%\WINLOGON.exe，%WinDir%\SMSS.exe，% WinDir%\LSASS.exe的进程。生成如下名称的病毒文件（变种不同，产生的文件也不同）
%WinDir%\1.com
%WinDir%\SMSS.exe
%WinDir%\SERVICES.exe
%WinDir%\LSASS.exe
%WinDir%\WINLOGON.exe
%WinDir%\ExERoute.exe
%WinDir%\EXPLORER.com
%WinDir%\FINDER.com
%WinDir%\EXERT.exe
%WinDir%\IO.SYS.BAK
%WinDir%\Debug\DebugProgram.exe
%WinDir%\Shell.sys
%WinDir%\Winsock32.DLL.SCF
%System%\Anskya0.exe
%System%\Anskya1.exe
%System%\rundll32.com
%System%\finder.com
%System%\msconfig.com
%System%\dxdiag.com
%System%\regedit.com
%System%\command.pif
%System%\i.com
%CommonProgramFiles%\intexplore.pif
%CommonProgramFiles%\inexplore.pif
%CommonProgramFiles%\iexplore.pif
%ProgramFiles%\Internet Explorer\Intexplore.com
%ProgramFiles%\Internet Explorer\Inexplore.com
%ProgramFiles%\Internet Explorer\iexplore.com
%SystemDrive%\bootconf.exe
%SystemDrive%\command.com
%SystemDrive%\command.exe
%SystemDrive%\pagefile.pif
D:\command.com
D:\pagefile.pif
注:
% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\ Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
联系到近日，国外网络安全公司提供的信息，在国外出现了一种隐蔽性极高的新型木马软件，这种木马不采用传统的发送邮件或HTTP信息包裹的方式来传输盗取的信息，而是通过ICMP（互联网控制信息协议）将盗取的数据传给攻击者，因此具有很高的隐蔽性。
因为多数防火墙和入侵检测系统，对ICMP的信息包，都认为是正常的信息包，因此此类信息包很容易被放行，因此，这些ICMP信息包包含的经过编码的个人信息，就很容易被传输到攻击者手中。
该木马在受影响的系统中，会绑定IE浏览器，监视系统，当发现用户的敏感信息时，就会窃取这些信息，并传送给攻击者。因此具有极高的危险性。
