VBS.Runauto脚本病毒分析篇
作者 佚名
来源 ASP编程
浏览
发布时间 2013-07-09
以上的代码已经添加了很多注释，如果你能奈着性子看到这里，估计应该明白的差不多了。代码本身的编码质量一般，因为这个代码在下载病毒指令是从南师大的一个网站上下载的，所以估计是个学生所为。 在这段病毒中，作者使用了自定义的vs函数进行“变脸”以逃避防病毒检测，使用随机方式对病毒体进行大小写转换，不过实际上这种处理对真正的防病毒软件是没有任何效果的J 在这个病毒中，使用了注册表，Windows自动运行，文件操作还有WMI控制等技术，这些都是当前Windows环境中主流技术。可以发现这些技术微软都为脚本，特别是VBScrit提供了调用接口，从技术上讲是COM组件都提供了Automation接口，支持各种脚本的调用，本来是为了让Windows脚本能做更过的事，但是他们也“很好”好的为病毒服务，因此我们在这里分析病毒主要目的不是为了编写病毒，而是学习编程技术，利用其中的技术为我们的工作和学习提供方便。因此希望学习脚本编程的朋友，可以好好分析这个鲜活的例子。 以上说了那么多，其实还是没有怎么详细说道病毒，虽然我总是觉得代码就是最好的解释，但是总不能对不起标题上“分析”这两个字吧。 其实这个病毒主要还是利用的Windows的Autorun.inf文件运转的。作为病毒，必须用户去运行，无论是直接还是间接的。当“无知用户”双击带毒U盘等瞬间，Autorun.inf文件中指向的eva.vbs病毒启动了，首先通过关闭“SharedAccess”服务实现关闭Windows自带的防火墙，这主要是为了让后面的病毒能够和外部的傀儡网站进行通信做准备。 关闭防火墙后，脚本写入一个注册表文件，通过后面在代码中将之导入系统以实现病毒开机启动，其实这也是病毒的共同特征。程序在启动之后，需要判断当前是否已经被感染，通常脚本对当前系统进程的情况进行处理是比较困那的，不过还好，Windows的WMI为脚本访问系统功能提供了大量的接口，这里使用它检测系统中是否有多份病毒进程，如果有那么就会自动退出。这个病毒中其实主要的功能就是复制，这也是被定义为worm病毒的原因，但其中有个重要的特征值的让我觉得很有意思，就是这个病毒程序居然会执行从傀儡服务器发送来的病毒命令。 在这个病毒中，利用ServerXMLHTTP组件和傀儡服务器进行通讯，这个技术其实就是我们现在流行的AJAX技术中的基础。在这里和服务器通讯，并执行从服务器下载的病毒代码，这体现了现在病毒作者希望能够长期对“肉鸡”的控制，但是让我不能理解的是，病毒中有段代码是对当前计算机用户的账户进行检测的，并将用户信息发送到服务器上。众多周知，国人的操作系统中D版居多，其中这段时间被闹的沸沸扬扬的“番茄花园”之类的改版Windows居多，这类Windows均有个共同的个点，就是安装的系统都会使用他们的“品牌”作为用户名，比如“番茄花园”版的Windows中默认用户常常就是“番茄花园”。从这个病毒代码上看，难道它还要对Windwos版本进行一个“D版占有量普查”么？ 最后还要提到的一点就是这个病毒对系统时间的修改，通过修改系统时间进行对防病毒软件的攻击往往是致命的。说起来比较有讽刺意味，被这个病毒仅仅通过将时间向前倒拨一年，这样很多防病毒软件的授权时间就变成了非法的，这就好像当年WindowsXP刚发布的时候，设置错误的时间可能会造成系统奔溃一样。错误的时间往往会破坏一个看似坚固的系统。通过这种方式，Kaspersky的授权时间变成了非法，随之而来的就是防病毒引擎挂起，这样这个没有技术没有难度的学生病毒就能大行其道了。这难道不是对防病毒厂商的讽刺么？为了保护自己的利益（使用时间授权），而让用户冒着被病毒攻击的危险。事实上，有些防病毒厂商就注意到这个问题，如果授权过期了也不应该关闭查杀引擎，最多关闭放病毒库的更新。另外这个病毒修改时间最妙的 |
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
你可能对下面的文章感兴趣
关于VBS.Runauto脚本病毒分析篇的所有评论
