电脑常见特洛伊病毒详细介绍及杀毒方法.pdf

《电脑常见特洛伊病毒详细介绍及杀毒方法.pdf》由会员分享，可在线阅读，更多相关《电脑常见特洛伊病毒详细介绍及杀毒方法.pdf（13页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、特洛伊木马没有复制能力，它的特点是伪装成一个实用工具或者一个可爱的游戏，这会诱使用户将其安装在 PC 或者服务器上。“特洛伊木马”（trojan horse）简称“木马”,木马和病毒都是一种人为的程序,都属于电脑病毒，据说这个名称来源于希腊神话木马屠城记。古希腊有大军围攻特洛伊城，久久无法攻下。于是有人献计制造一只高二丈的大木马，假装作战马神，让士兵藏匿于巨大的木马中，大部队假装撤退而将木马摈弃于特洛伊城下。城中得知解围的消息后，遂将“木马”作为奇异的战利品拖入城内，全城饮酒狂欢。到午夜时分，全城军民尽入梦乡，匿于木马中的将士开秘门游绳而下，开启城门及四处纵火，城外伏兵涌入，部队里应外合，焚屠

2、特洛伊城。后世称这只大木马为“特洛伊木马”。如今黑客程序借用其名，有“一经潜入，后患无穷”之意。完整的木马程序一般由两个部分组成：一个是服务器程序，一个是控制器程序。“中了木马”就是指安装了木马的服务器程序，若你的电脑被安装了服务器程序，则拥有控制器程序的人就可以通过 网络控制你的电脑、为所欲为，这时你电脑上的各种文件、程序以及在你电脑上使用的帐号、密码就无安全可言了。木马程序不能算是一种病毒，程序本身在无人操控的情况下不会像 蠕虫病毒复制感染，不会破坏操作系统及硬件。但越来越多的新版的 杀毒软件，已开始可以查杀一些木马了，所以也有不少人称木马程序为黑客病毒。它是一种基于远程控制的黑客工具，具

3、有隐蔽性和非授权性和迅速感染 系统文件的特点。所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具体位置，往往只能望“马”兴叹。所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。木马的启动方式：木马是随计算机或 Windows的启动而启动并掌握一定的控制权的，其启动方式可谓多种多样，通过注册表启动、通过 System.ini启动、通过某些特定程序启动等，真是防不胜防。其实只要能够遏制住不让它启动，木马就没

4、什么用了，这里就简单说说木马的启动方式，知己知彼百战不殆嘛。通过“开始 程序 启动”隐蔽性：2 星 应用程度：较低 这也是一种很常见的方式，很多正常的程序都用它，大家常用的 QQ就是用这种方式实现自启动的，但木马却很少用它。因为启动组的每人会会出现在“系统配置实用程序”（msconfig.exe，以下简称 msconfig）中。事实上，出现在“开始”菜单的“程序 启动”中足以引起菜鸟的注意，所以，相信不会有木马用这种启动方式。通过 Win.ini文件 隐蔽性：3 星 应用程度：较低 同启动组一样，这也是从Windows3.2开始就可以使用的方法，是从Win16遗传到 Win32的。在 Wind

5、ows3.2中，Win.ini就相当于Windows9x中的注册表，在该文件中的Windows域中的 load和 run项会在 Windows启动时运行，这两个项目也会出现在msconfig中。而且，在 Windows98安装完成后这两项就会被Windows的程序使用了，也不很适合木马使用。通过注册表启动 1、通过HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun，HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun 和 HKEY_LOCAL_MACHINESof

6、twareMicrosoftWindowsCurrentVersionRunServices 隐蔽性：3.5星 应用程度：极高 应用案例：BO2000，GOP，NetSpy，IEthief，冰河 这是很多 Windows程序都采用的方法，也是木马最常用的。使用非常方便，但也容易被人发现，由于其应用太广，所以几乎提到木马，就会让人想到这几个注册表中的主键，通常木马会使用最后一个。使用Windows自带的程序：msconfig或注册表编辑器（regedit.exe，以下简称 regedit）都可以将它轻易的删除，所以这种方法并不十分可靠。但可以在木马程序中加一个时间控件，以便实时监视注册表中自身的

7、启动键值是否存在，一旦发现被删除，则立即重新写入，以保证下次Windows启动时自己能被运行。这样木马程序和注册表中的启动键值之间形成了一种互相保护的状态。木马程序未中止，启动键值就无法删除（手工删除后，木马程序又自动添加上了），相反的，不删除启动键值，下次启动Windows还会启动木马。怎么办呢？其实破解它并不难，即使在没有任何工具软件的情况下也能轻易解除这种互相保护。破解方法：首先，以安全模式启动Windows，这时，Windows不会加载注册表中的项目，因此木马不会被启动，相互保护的状况也就不攻自破了；然后，你就可以删除注册表中的键值和相应的木马程序了。2、通过HKEY_LOCAL_MA

8、CHINESoftwareMicrosoftWindowsCurrentVersionRunOnce，HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce和 HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesOnce 隐蔽性：4 星 应用程度：较低 应用案例：Happy99月 这种方法好像用的人不是很多，但隐蔽性比上一种方法好，它的内容不会出现在 msconfig中。在这个键值下的项目和上一种相似，会在Windows启动时启动，但 Wind

9、ows启动后，该键值下的项目会被清空，因而不易被发现，但是只能启动一次，木马如何能发挥效果呢？其实很简单，不是只能启动一次吗？那木马启动成功后再在这里添加一次不就行了吗？在 Delphi中这不过 3、5 行程序。虽说这些项目不会出现在 msconfig中，但是在 Regedit中却可以直接将它删除，那么木马也就从此失效了。还有一种方法，不是在启动的时候加而是在退出 Windows的时候加，这要求木马程序本身要截获 WIndows的消息，当发现关闭 Windows消息时，暂停关闭过程，添加注册表项目，然后才开始关闭 Windows，这样用 Regedit也找不到它的踪迹了。这种方法也有个缺点，就

10、是一旦Windows异常中止（对于 Windows9x这是经常的），木马也就失效了。破解他们的方法也可以用安全模式。另外使用这三个键值并不完全一样，通常木马会选择第一个，因为在第二个键值下的项目会在 Windows启动完成前运行，并等待程序结束会才继续启动 Windows。通过 Autoexec.bat文件 winstart.bat，config.sys文件 隐蔽性：3.5 星 应用程度：较低 其实这种方法并不适合木马使用，因为该文件会在 Windows启动前运行，这时系统处于 DOS 环境，只能运行 16 位应用程序，Windows下的32 位程序是不能运行的。因此也就失去了木马的意义。不过

11、，这并不是说它不能用于启动木马。可以想象，SoftIce for Win98（功能强大的程序调试工具，被黑客奉为至宝，常用于破解应用程序）也是先要在Autoexec.bat文件中运行然后才能在 Windows中呼叫出窗口，进行调试的，既然如此，谁能保证木马不会这样启动呢？到目前为止，我还没见过这样启动的木马，我想能写这样木马的人一定是高手中的高手了。另外，这两个 BAT文件常被用于破坏，它们会在这个文件中加入类似“Deltree C：*.*”和“Format C：/u”的行，这样，在你启动计算机后还未启动 Windows，你的 C 盘已然空空如也。通过 System.ini文件 隐蔽性：5 星

12、 应用程度：一般 事实上，System.ini文件并没有给用户可用的启动项目，然而通过它启动却是非常好用的。在 System.ini文件的Boot域中的 Shell 项的值正常情况下是“Explorer.exe”，这是 Windows的外壳程序，换一个程序就可以彻底改变 Windows的面貌（如改为 Progman.exe就可以让Win9x变成 Windows3.2）。我们可以在“Explorer.exe”后加上木马程序的路径，这样 Windows启动后木马也就随之启动，而且即使是安全模式启动也不会跳过这一项，这样木马也就可以保证永远随 Windows启动了，名噪一时的尼姆达病毒就是用的这种方

13、法。这时，如果木马程序也具有自动检测添加 Shell 项的功能的话，那简直是天衣无缝的绝配，我想除了使用查看进程的工具中止木马，再修改 Shell 项和删除木马文件外是没有破解之法了。但这种方式也有个先天的不足，因为只有 Shell这一项嘛，如果有两个木马都使用这种方式实现自启动，那么后来的木马可能会使前一个无法启动，呵呵以毒攻毒啊。通过某特定程序或文件启动 1、寄生于特定程序之中 隐蔽性：5 星 应用程度：一般 即木马和正常程序捆绑，有点类似于病毒，程序在运行时，木马程序先获得控制权或另开一个线程以监视用户操作，截取密码等，这类木马编写的难度较大，需要了解 PE 文件结构和 Windows的

14、底层知识（直接使用捆绑程序除外）。2、将特定的程序改名 隐蔽性：5 星 应用程度：常见 这种方式常见于针对 QQ 的木马，例如将 QQ 的启动文件QQ2000b.exe，改为 QQ2000b.ico.exe（Windows默认是不显示扩展名的，因此它会被显示为 QQ2000b.ico，而用户会认为它是一个图标），再将木马程序改为 QQ2000b.exe，此后，用户运行 QQ，实际是运行了 QQ 木马，再由 QQ 木马去启动真正的 QQ，这种方式实现起来要比上一种简单的多。3、文件关联 隐蔽性：5 星 应用程度：常见 通常木马程序会将自己和 TXT文件或 EXE文件关联，这样当你打开一个文本文件

15、或运行一个程序时，木马也就神不知鬼不觉的启动了。这类通过特定程序或文件启动的木马，发现比较困难，但查杀并不难。一般地，只要删除相应的文件和注册表键值即可。特洛伊木马是一种恶意程序，它们悄悄地在宿主机器上运行，就在用户毫无察觉的情况下，让攻击者获得了远程访问和控制系统的权限。一般而言，大多数特洛伊木马都模仿一些正规的远程控制软件的功能，如Symantec的 pcAnywhere，但特洛伊木马也有一些明显的特点，例如它的安装和操作都是在隐蔽之中完成。攻击者经常把特洛伊木马隐藏在一些游戏或小软件之中，诱使粗心的用户在自己的机器上运行。最常见的情况是，上当的用户要么从不正规的网站下载和运行了带恶意代码

16、的软件，要么不小心点击了带恶意代码的邮件附件。大多数特洛伊木马包括客户端和服务器端两个部分。攻击者利用一种称为绑定程序的工具将服务器部分绑定到某个合法软件上，诱使用户运行合法软件。只要用户一运行软件，特洛伊木马的服务器部分就在用户毫无知觉的情况下完成了安装过程。通常，特洛伊木马的服务器部分都是可以定制的，攻击者可以定制的项目一般包括：服务器运行的 IP 端口号，程序启动时机，如何发出调用，如何隐身，是否加密。另外，攻击者还可以设置登录服务器的密码、确定通信方式。服务器向攻击者通知的方式可能是发送一个 email，宣告自己当前已成功接管的机器；或者可能是联系某个隐藏的 Internet交流通道，

17、广播被侵占机器的 IP 地址；另外，当特洛伊木马的服务器部分启动之后，它还可以直接与攻击者机器上运行的客户程序通过预先定义的端口进行通信。不管特洛伊木马的服务器和客户程序如何建立联系，有一点是不变的，攻击者总是利用客户程序向服务器程序发送命令，达到操控用户机器的目的。特洛伊木马攻击者既可以随心所欲地查看已被入侵的机器，也可以用广播方式发布命令，指示所有在他控制之下的特洛伊木马一起行动，或者向更广泛的范围传播，或者做其他危险的事情。实际上，只要用一个预先定义好的关键词，就可以让所有被入侵的机器格式化自己的硬盘，或者向另一台主机发起攻击。攻击者经常会用特洛伊木马侵占大量的机器，然后针对某一要害主机

18、发起分布式拒绝服务攻击（Denial of Service，即 DoS），当受害者觉察到网络要被异乎寻常的通信量淹没，试图找出攻击者时，他只能追踪到大批懵然不知、同样也是受害者的 DSL或线缆调制解调器用户，真正的攻击者早就溜之大吉。特洛伊木马造成的危害可能是非常惊人的，由于它具有远程控制机器以及捕获屏幕、键击、音频、视频的能力，所以其危害程度要远远超过普通的病毒和蠕虫。深入了解特洛伊木马的运行原理，在此基础上采取正确的防卫措施，只有这样才能有效减少特洛伊木马带来的危害.1.Trojan Remover Update 6.4.7 Date 01.27 一个专门用来清除特洛伊木马和自动修复系统文

19、件的工具。 2.ZoneAlarm Free 6.1.737.000 ZoneAlarm来保护你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕的程 3.Trojan Remover 6.4.7 Date 01.27 专门用来清除特洛伊木马和自动修复系统文件的工具 4.Trojan Remover 6.46(Database 6461)是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫描 5.木马终结者 V3.5 特洛伊木马病毒一种破坏力十分强的黑客病毒，你只要中 6.LDM木马检测程序 2003钻石版 LDM木马检测程序是大部分流行特洛伊木

20、马病毒的克星，是一个专门防制特洛伊木马病毒的 7.The Cleaner Database V3887 一个专门检测和清除侵入您系统中的特洛伊木马的专业程 8.Trojan Remover V6.4.6(Database 6461)Update Trojan Remover 是一个专门用来清除特洛伊木马和自动修 9.木马终结者 3.33 所有特洛伊木马病毒的克星，专门防制特洛伊木马病毒的防毒软件 10.木马杀手 Trojan System Cleaner 3.5.1117 木马杀手会检测现存的特洛伊木马程序的活动、复原被特洛伊木马修改的系统文件，杀除特 11.Trojan Remover Da

21、tabase Update 6461 Trojan Remover 是一个专门用来清除特洛伊木马和自动修 12.ZoneAlarm Pro 6.1.737.000 保护你的电脑，防止 Trojan(特洛伊木马)程序 13.Trojan Remover 6.4.6 Database 6461 Update 是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫描 14.ZoneAlarm Security Suite V6.1.737.000 ZoneAlarm 保护你的电脑，防止 Trojan(特洛伊木马)程序 15.熊猫卫士 钛金版 2.05.00 *基于极速“Ult

22、raFast”引擎，快速检测和清除所有病毒、特洛依木马、蠕虫、恶意的Java 16.Trojan Remover Database 6461 是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫描 17.ZoneAlarm Pro 6.1.737.000 ZoneAlarm来保护擦擦啊擦擦擦你的电脑，防止Trojan(特洛伊木马)程序，Trojan也是一种极为可怕的程 18.Antiy Ghostbusters Pro 5.05 一个专业级别的特洛伊木马检测和系统安全工具 19.The Cleaner Pro V4.1 Build 4252 一个专门检测和清除侵入您系

23、统中的特洛伊木马的专业程 20.ZoneAlarm Free V6.1.737.000 ZoneAlarm 来保护你的电脑，防止 Trojan(特洛伊木马)程 21.ZoneAlarm Pro V6.1.737.000 ZoneAlarm来保护你的电脑，防止 Trojan(特洛伊木马)程序 22.ZoneAlarm Pro V6.1.737.000 Beta ZoneAlarm来保护你的电脑，防止 Trojan(特洛伊木马)程序，Trojan也是一种极为可怕? 23.Antiy Ghostbusters Advanced Edition 5.04 AntiyLabs出品的专业级特洛伊木马检测工

24、具，被网友称为“捉鬼队”。该软件可以对驱动 24.Trojan Remover 木马病毒库 6072 一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查系统登录文件、扫 25.The Cleaner Pro 4 updates Database 3860 一个专门检测和清除侵入您系统中的特洛伊木马的专业程序,内置 3093个木马标识。可在线 26.Digital Patrol 5.00.31 专门检测系统中特洛伊木马程序的扫毒软件 27.熊猫卫士 7.0铂金版中文测试版 *基于极速“UltraFast”引擎，快速检测和清除所有病毒、特洛依木马、蠕虫、恶意的Java 28.Trojan

25、 Remover V6.4.6(Database 6457)Trojan Remover 是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检? 29.Trojan Remover V6.3.3 Date 12.20 Trojan Remover是一个专门用来清除特洛伊木马和自动修复系统文件的工具。能够检查 30.The Cleaner V3.5.4.3519(DataBase 3359)汉化版 一个专门检测和清除侵入您系统中的特洛伊木马的专业程 31.Anti-Trojan 5.5.421 Anti-Trojan扫描隐藏在你的系统里的具有破坏性的特洛依木马程序。它利用三重扫描来检 3

26、2.TDS-3:Trojan Defence Suite 3.2.0 防特洛伊木马的软件，可以检测到360种以上的特洛伊木马和电脑蠕虫 33.ZoneAlarm Pro 4.5.594 保护你的电脑，防止 Trojan(特洛伊木马)程序 34.木马终结者 V3.37 特洛伊木马病毒一种破坏力十分强的黑客病毒。你只要中了毒，你的计算机将被黑客控 35.The Cleaner(executable only)3.54 Build 3528 一个专门检测和清除侵入您系统中的特洛伊木马的专业程序 36.BoDetect 3.5 一个专门用来监测和删除特洛依木马之类的小工具 37.ZoneAlarm A

27、nti-Spyware V6.1.737.000 ZoneAlarm 来保护你的电脑，防止 Trojan(特洛伊木马)程 38.ZoneAlarm Free 6.0.629.000 Beta ZoneAlarm来保护你的电脑，防止 Trojan(特洛伊木马)程序，Trojan也是一种极为可怕的程序 39.LDM木马检测程序 Power XP Build 688C 特洛伊木马病毒一种破坏力十分强的黑客病毒，你只要中 40.Advanced Registry Tracer 2.03 具有侦测出特洛伊木马病毒功能 41.木马杀手(Trojan System Cleaner)V3.5.1117 木马杀手会检测现存的特洛伊木马程序的活动、复原被特 木马病毒