【NISP一级】6.4 恶意代码

【NISP一级】6.4 恶意代码

1. 恶意代码概念及发展历程

1.1 什么是恶意代码

• 《中华人民共和国计算机信息系统安全保护条例》第二十八条:“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码(1994.2.18)

• 恶意代码，是指能够引起计算机故障，破坏计算机数据，影响计算机系统的正常使用的程序代码或指令

1.2 类型

• 二进制代码、脚本语言、宏语言等

1.3 表现形式

• 病毒、蠕虫、后门程序、木马、流氓软件、逻辑炸弹等

1.4 恶意代码发展历程

• 孕育和诞生

  • 1949: 冯诺依曼在《复杂自动机组织论》提出概念

  • 1960: 生命游戏(约翰.康维)、磁芯大战(贝尔实验室三名程序员)

  • 1977年科幻小说《P-1的青春》使得恶意程序有了计算机病毒的名称

  • 1983:真正的恶意代码在实验室产生

• 初现狰狞

  • 1986年——第一个PC病毒:巴基斯坦病毒(Brain virus )

  • 1988年—— 第一蠕虫病毒:莫里斯蠕虫( Morris worm

  • 1990年——第一个多态病毒

  • 1991年——病毒生产机、DIR2 (引导区 病毒)

  • 1995年——首次发现宏病毒

  • 1998年——第一个木马(back orifice)

  • 1998年——第一个破坏计算机硬件的病毒(CIH)

• 全面开花、蠕虫时代

  • 1999年——梅丽莎蠕虫、分布式拒绝服务工具(TFT/ trin00)

  • 2000年——love Bug(VBScript)

  • 2001年——红色代码蠕虫(Code Red worm)

  • 2001年——尼姆达蠕虫(Nimda worm)

  • 2002年——SQL蠕虫王(SQL slammer)

  • 2003年——冲击波/震荡波蠕虫(MSBlaster/Sasser)

  • 2003年——中文上网

  • 2006年——熊猫烧香

• 成为网络战武器

  • 2010年——震网病毒，对伊朗核工厂中离心机精准无情的攻击

  • 2017年——“想哭”(WannaCry)勒索病毒，影响和损失都规模都远超想象

2. 恶意代码的传播方式

2.1 利用文件进行传播

• 感染文件

  • 可执行程序：.exe、.com、 .pif

  • 动态链接库文件、系统文件

  • 支持宏的文档: Word、 Excel、 PPT等

• 软件捆绑

  • 将自身与正常软件合并

  • 软件安装时默认、强制安装上

• 移动存储

  • 自动播放功能

    • Windows默认提供功能

    • 自动执行autorun.inf指定的文件

• 应对设置

  • 组策略编辑器

• 主动放置

  • 利用系统提供的上传渠道(FTP、论坛等)

  • 攻击者已经获得系统控制权

  • 攻击者是系统开发者

  • ……

2.2 利用网络进行传播

• 网页

  • 将木马伪装为页面元素

  • 利用脚本运行的漏洞

  • 伪装为缺失的组件

  • 通过脚本运行调用某些组件

  • 利用软件漏洞

    • 例如:在渲染页面内容的过程中利用

    • 格式溢出释放或下载木马

• 电子邮件

  • 社会工程学

    • 欺骗性标题

    • 吸引人的标题

    • …

• 利用系统及邮件客户端漏洞

  • 尼姆达(畸形邮件MIME头漏洞)

  • ……

• 即时通讯

  • 伪装即时通讯中的用户向其联系人发送消息。使用欺骗性或诱惑性的字眼

  • 其他服务

    • P2P下载，伪造有效资源进行传播

    • FTP下载，文件资源中携带恶意代码

2.3 利用漏洞进行传播

• 软件配置漏洞

  • 弱口令、默认账户口令

  • 权限控制不足

• 软件漏洞

  • 缓冲区溢出

  • 注入攻击

  • 文件上传失控

3. 恶意代码防护

3.1 安全管理

• 制定管理制度规范行为

  • 计算机怎么使用

  • 软件怎么安装

  • U盘什么情况下可以使用

  • 上网行为那些是正确的，哪些是错误的

• 实施培训增强安全意识

3.2 加强防护

• 系统补丁、安全配置及加固

  • 修补系统漏洞，掐掉恶意代码传播途径

• 防护软件:防病毒软件、软件防火墙、勒索软件防护等

  • 防病毒软件

    • 工作机制:特征匹配

      • 病毒库(恶意代码特征库)

      • 扫描(特征匹配过程)

    • 优势

    • 准确(误报率低)

    • 易于管理

• 不足

  • 效率问题(特征库不断庞大、依赖厂商)

  • 滞后(先有病毒后有特征库，需要更新特征库)

  • …

• 防火墙

  • 保护操作系统及应用，阻止非授权连接

  • 较好应对各类蠕虫病毒

  • 配置较复杂，大部分用户使用默认策略

• 勒索病毒防护

  • 对特定文件夹的写入操作进行阻止

  • 对疑是勒索病毒行为进行操作阻止

  • ……

3.3 减少损失

• 数据备份

  • 数据是系统中最有价值的资产

  • 良好的备份策略和行为能降低恶意代码导致的损失

  • 数据备份方式:手工操作、脚本执行、专业工具

  • 数据备份介质: U盘、固态硬盘、机械硬盘、光盘、磁带、云盘

  • 数据备份系统的基本构成：存储介质、备份硬件、备份软件