0513惡意程式偵防.pptx

Size: px

Start display at page:

Download "0513惡意程式偵防.pptx"

唯戈钮宋
6 years ago
Views:

1 陳佳宜 Eric Chen 2013/07/28 : 台東縣網中心教育訓練

2 大綱 1. 什麼是惡意程式 2. 什麼是殭屍網路 3. 簡易分析惡意程式 4. 駭客實務

3 什麼是惡意程式惡意程式 (Malware), 在未明確提示用戶或未經用戶許可下, 在用戶電腦上進行安裝侵害或竊取資訊的程式亦為病毒蠕蟲及木馬之統稱可能產生的影響 : ü 自我複製與感染物件, 刪除檔案 ü 強制安裝, 難以移除 ü 首頁綁架 (hijacking) ü 廣告彈出 ü 蒐集使用者與系統資訊 ü 惡意移除用戶端程式 ( 如 : 防毒軟體 ) ü 干擾電腦運作影響系統與網路效能

4 什麼是惡意程式惡意程式來源 : λ λ λ λ 各式各樣網站都可能被駭客植入惡意程式, 成為惡意程式下載點郵件附檔, 惡意程式執行檔惡意文件 (Word PDF Excel Zip) 沒有安裝更新程式 (Patch) 作業系統沒有安裝防毒軟體, 容易遭受惡意程式感染瀏覽惡意網頁, 將使用者電腦導向到惡意程式下載點, 下載惡意程式 λ 惡意程式流行趨勢 : λ λ λ λ 帳號竊取程式監控與遠端遙控程式具反監控與反移除功能 ( 停止防毒軟體運行與更新 ) 文件型病毒大量發展與散佈

5 駭客為何要發展惡意程式? 工欲善其事, 必先利其器目的 1: 竊取個資入侵使用者電腦, 竊取個人帳號密碼控制 Webcam, 電子郵件社交攻擊, 釣魚網站目的 2: 系統控制控制利用使用者系統資源, 遠端攻擊他人, 強迫使用者瀏覽特定網站, 亂發廣告信目的 3: 獲取利益販賣個人資料銀行帳戶號碼給詐騙集團販賣系統控制權, 販賣惡意程式工具 1 : 惡意程式創造不同功能的惡意程式, 如 : 帳號竊取程式, 病毒遙控木馬,PDF 病毒工具 2 : 散佈管道創造暢通的中毒管道, 擴大感染範圍, 垃圾郵件, 惡意網站, 社交網站通訊軟體工具 3 : 攻擊時效性地下駭客市場, 販賣簡易好用的惡意程式產生器, 與最新惡意程式, 減少駭客準備時間, 增加工及時效性團結力量大, 善用團隊分工合作

6 惡意程式散佈管道惡意網頁攻擊模式分析 λ λ λ λ 駭客攻陷有弱點網站, 植入惡意連結或惡意程式於網頁中, 或建造釣魚網站, 誘騙使用者瀏覽惡意網頁當使用者瀏覽惡意網頁時, 惡意程式將攻擊使用者系統, 感染使用者電腦系統弱點或是瀏覽器, 竊取受害者個人資訊, 控制系統資源任何網站皆有可能成為惡意網站, 網站管理者需做好安全防護措施盡量不要瀏覽中國大陸網站, 下載檔案防毒軟體無法完全有效偵測惡意網站

7 惡意程式散佈管道惡意網頁攻擊模式分析 (Cont.) 利用網路瀏覽者對於正常網站的信任感, 讓使用者在不知不覺中被植入木馬程式瀏覽惡意連結, 導致瀏覽器遭受惡意程式攻擊, 最後感染更多惡意程式 Vulnerable Web Server 1. 尋找有弱點的網站取得控制權 2. 植入惡意連結於網站 Phishing Site 設置一個以假亂真的網站, 來欺騙網路瀏覽者上當

8 惡意程式散佈管道社交工程手法 λ λ 社交工程為駭客利用非技術性手段, 降低使用者防禦心, 進而獲得隱私性資料並取得控制權社交工程通常運用於特定目標對象, 與釣魚網站相結合三大手段 : λ λ λ 電子郵件社交工程 : 駭客偽冒寄件者發送惡意郵件, 郵件內容以吸引人內容或是特惠, 或運用人際關係, 誘騙受害者瀏覽並點閱電子郵件中之連結或是附加檔案導致受害者連結到釣魚網站或是惡意網站, 遭受惡意程式感染通訊軟體 MSN Skype 社交工程 : 駭客偽冒受害者之好友, 發送惡意連結或是傳送惡意程式, 一旦受害者點閱連結或執行惡意程式, 駭客將可竊聽受害者通訊內容, 取得個人隱私權資料網路釣魚 (Phishing): 要求或發動詐騙以取得個人機密資訊的欺詐性網站駭客利用電子郵件發送釣魚網站連結, 釣魚網站抄襲熱門網站或公司的外觀詐騙網站會要求你提供個人資訊, 例如信用卡號碼身分證號碼或帳戶密碼等

9 惡意程式散佈管道社交工程手法 (電子郵件個人化垃圾郵件數量出現驚人的成長線上身分資訊竊賊利用竊得的電子郵件清單或受害者其他遭竊的資料來製作這些個人化垃圾郵件惡意連結鎖定特定人員寄送惡意PDF文件檔案點選連結下載惡意程式假冒美國知名航空公司 Delta Airlines 所發出的電子郵件收據 Paypal 釣魚信件

10 惡意程式散佈管道社交工程手法 ( 即時通訊軟體 ) 中毒主機透過即時通訊軟體 MSN,Skype, 冒名大量散布與傳播假訊息社交工程手法, 傳送惡意連結傳送麥克傑克森死亡謀殺真相惡意連結給所有好友名單

11 惡意程式識別 ϒ 防毒軟體檢測 :VirusTotal Uploader 說明 :VirusTotal Uploader 按右鍵直接上傳可疑檔案, 用多個防毒軟體偵測病毒! 下載 : 13

12 惡意程式識別 ϒ 防毒軟體檢測 :VirusTotal Uploader 直接點取 : 13

13 惡意程式命名規則惡意程式命名規則防毒軟體業者自行訂定, 分為字首 (Prefix) 名字 (Name) 字尾 (suffix) 字首 (Prefix): 辨別惡意程式類型 ( 如 :worm ), 或針對哪種作業系統, 哪種程式語言 ( 如 : win32 ) 名字 (Name): 惡意程式名稱, 描述惡意程式行為字尾 (Suffix): 相同家族 (Family) 變形種類的英文註記範例 : Trojan. PSW.Win32.OnlineGames.cuq 字首名字字尾

14 什麼是殭屍網路? A botnet is a collection of computers, connected to the internet, that interact to accomplish some distributed task. Designed and used for illegal purposes. The compromised machines are referred to as drones or zombies, the malicious software running on them as 'bot. Each bot must be individually exploited, infected and assimilated into the botnet, usually installed via drive-by downloads exploiting web browser vulnerabilities and malwares under command-and-control infrastructure.

15 什麼是殭屍網路? 受操作的殭屍電腦 Server Command System 持續感染新的受害者 Infection 攻擊目標 : 1. 發垃圾信 2. 分散式阻斷服務攻擊 Attacks

16 Attack under botnet Denial-of-service attacks : Cause target to become busy or unavailable Adware : Advertise some commercial entity actively and without the user's permission or awareness. Spyware: Sends information to its creators about a user's activities. spam: Messages are advertising, annoying, or malicious in nature. Click fraud : Visiting websites without the user's awareness to create false web traffic for the purpose of personal or commercial gain. Fast flux : Used by botnets to hide phishing and malware delivery sites behind an ever-changing network of compromised hosts acting as proxies.

17 Botnet Lifecycle Bot-herder configures initial bot parameters such as infection vectors, payload, stealth, C&C details Register a DDNS Register a static IP Bot-herder launches or seeds new bot(s) Bots spread Causes an increase of DDoS being sent to the victim Losing bots to rival botnets

18 ϖ 使用加殼程式隱藏程式碼不被防毒軟體所掃瞄可保護程式碼免於遭到反組譯, 讓惡意程式更難以分析 ϖ 關閉防毒軟體惡意軟體停用電腦的安全解決方案, 或是讓防護軟體無法偵測 ϖ 隱藏程序技術隱藏惡意程式的操作, 讓防毒軟體及所有系統處理程序皆無法察覺 ϖ 網路元件功能惡意程式具網路連線功能測試, 連線到 windows update 測試, 若連線功能正常, 再連線到惡意網站下載惡意程式

19 動態分析 : 在一個模擬的系統環境下, 實際去執行惡意程式, 利用各種的分析輔助工具來觀察病毒具體的工作過程, 並持續追蹤紀錄各種惡意行為靜態分析 : 透過惡意程式的逆向工程與反組譯技術來解析出病毒原始碼, 藉由原始碼找出病毒使用了那些技術做了哪些系統配置, 並將病毒的感染過程轉換為解毒修復的過程, 進一步從原始碼中找尋可以作為病毒特徵碼的程式代碼一般來說, 行為複雜的病毒會同時利用靜態與動態搭配的方式進行分析

20 惡意程式分析 : 指惡意程式入侵系統時, 造成系統改變, 所需觀察的分析標的 : 網路連線 DLL 處理程序分析標的檔案服務驅動程式登入檔

21 Process ( 處理程序 ): 惡意程式入侵執行, 產生或刪除自己的處理程序 DLL ( 動態連結資料庫檔案 ): 當我執行了某個程序時, 程序將會呼叫 DLL 模組檔案來使用, 因此惡意程式經常會利用 DLL Injec:on 技術將惡意 DLL 注入到正常程序中 Driver ( 驅動程式 ): 直接產生新的 Driver 或覆蓋現有的 Driver, 並利用開機自動載入驅動程式的特性做攻擊

22 Services ( 服務 ): 藉由新增服務或是修改現有服務來達到開機自動載入惡意程式 Network ( 網路連線 ): 惡意程式遠端連線到惡意網站, 更新或下載更多惡意程式 File ( 檔案 ): 惡意程式執行後, 將會新增, 修改, 刪除系統檔案登入檔 ( 機碼 ): 登錄檔的英文是 Registry, 它就像一個電腦裡的註冊單位, 它儲存了使用者對電腦登錄的各種設定

23 動態分析線上病毒掃描 Sandbox 分析虛擬環境 + 輔助工具 Debugger

Kaspersky Virus File Scanner http://www.kaspersky.com/scanforvirus Dr.Web online check http://online.us.drweb.

24 Kaspersky Virus File Scanner Dr.Web online check avast! Online Scanner ClamAV Online Specimen Scanner

25 Online Virus Scanner & Submission ThreatExpert Online File Scanner VirusTotal 免費線上病毒和惡意軟體掃瞄 Jotti Online malware scan

26 Virus.Org :: Malware Scanning VirSCAN.org- 線上防毒引擎掃瞄網站 ( 使用 39 種防毒軟體掃瞄引擊 ) Filterbit ( 使用 8 種防毒軟體掃瞄引擊 )

27 ThreatExpert: 線上行為分析與檢測工具 Sunbelt CWSandbox Anubis: Analyzing Unknown Binaries Norman Sandbox

28 前置作業 : Step 1: 利用 VMware / Virtual Box 建立一個乾淨的 Windows Image, 如 Windows XP SP2 Step 2: 乾淨的 Image 上, 安裝系統環境監控工具 Step 3: 建立乾淨 Image 還原點分析步驟 : Step 1: 執行惡意程式樣本 Step 2: 判讀惡意程式分析工具 ( 系統環境監控 )Log Step 3: 執行 Image 還原步驟

29 目的 : 協助分析人員找出電腦異常的可疑原因, 如 : 未經 Verfied 檔案, 不正常大量網路連線, 可疑啟動項目, 可疑的系統服務, 可疑的處理程分析工具分類 : 1. 系統監控 : 收集受感染 Process DLL File Registry Service 資訊提供分析 2. 網路監控 : 監控該電腦即時的網路連線與程序執行狀態, 做為攻擊分析之依據

30 Autoruns Procexp (Process Explorer) TCPView System Repair Engineer(SREng)

31 Autoruns : 檢查有哪些程式在一開機就自動執行, 快速的檢查啟動項

32 Procexp (Process Explorer): 類似windows工作管理員 Sysinternals 開發免費工具檢視系統執行程序與相關即時資訊及存檔刪除暫停重新啟動執行程序與除錯調整執行程序優先權線上查詢執行程序相關資訊調整執行程式的使用者權限

33 Tcpview: 微軟提供的一個很方便的小工具, 主要功能就是列出本機電腦的全部對外連線狀況, 可監控電腦上 TCP 及 UDP 連線情況的圖形化工具軟體, 其能顯示所有進出系統的連線資訊, 包括連線的程序協定本機及遠端位址連線狀態等

34 SREng: KZTechs.com 網站作者 Samllfrogs 開發免費工具, 收集系統資訊, 系統維護與修復, 主要診斷未經簽署的程序與被修改的登錄資訊, 資訊較少約 15 至 40kb, 分析簡易迅速 hkp://

35 1. 更新防毒軟體至最新的病毒特徵碼 ( 線上或手動 ) 2. 拔除網路線 3. 清除瀏覽器和系統暫存檔 4. 關閉 Windows 系統還原 5. 重新開機進入安全模式 6. 透過防毒軟體掃描與清除惡意程式 7. 防毒軟體沒有作用時, 透過救援光碟開機進行掃毒 8. 利用工具收集系統資訊 9. 刪除登錄檔中的相關鍵值, 檢查檔案有無遺失或毀損 10. 傳送可疑檔案, 請防毒軟體廠商分析

36 惡意程式分析基本知識

37 大綱系統處理程序之用途說明登錄檔說明之功用說明惡意程式判斷基本檢查惡意程式判斷工具使用識別移除惡意程式注意事項

38 Windows 工作管理員, 管理執行程序, 了解每個執行序使用資源狀況按下 Ctrl+Alt+Delete 鍵, 跳出 Windows 工作管理員視窗檢視選擇欄位 ( 檢視每個執行序, 資源使用狀況 ) (CPU 使用率記憶體使用量使用者名稱 )

39 Windows 系統中處理程序分類 1. 系統服務程序 svchost.exe spoolsv.exe csrss.exe lsass.exe smss.exe winlogon.exe services.exe ( 系統服務程序不可亂砍, 系統可能會毀壞 ) 2. 一般程序 explorer.exe rundll32.exe ctfmon.exe conime.exe 3. 應用軟體處理程序 iexplore.exe 其他 : Office word, excel, Adobe

40 1. 系統服務程序 (svchost.exe) 合法 svchost.exe 檔, 路徑在 C:\WINDOWS\System32\ 負責啟動微軟 Windows 系統服務, 包括 Logical Disk Manager RPC Automatic Updates DHCP Client 等系統服務多半是由載入動態連結程式庫 (DLL) 啟動, 而 svchost.exe 負責載入相對應 DLL 檔來啟動服務說明 :Windows XP 下 svchost.exe 不會超過 5 個執行序, 大致有 netsvcs LocalService NetworkService HTTPFilter 及 imgsvc 等 5 類, 若超過的話, 很有可能是惡意程式所偽裝

41 1. 系統服務程序 (svchost.exe)

42 1. 系統服務程序 ( spoolsv.exe ) 路徑位置為 C:WINDOWS\System32\ 本程序是系統服務中 Print Spooler 服務所對應的執行檔, 其主要工作是將檔案載入記憶體中, 以待稍後列印, 就是專門負責管理緩衝區中, 佇列之本地及網路列印作業, 使用者若任意加以停用, 可能會造成原本的列印作業無法正常運作

43 1. 系統服務程序 ( spoolsv.exe ) spoolsv.exe 常被惡意程式所灌滿, 導致無法列印

44 1. 系統服務程序 ( spoolsv.exe )

45 1. 系統服務程序 (csrss.exe) 路徑放置 C:WINDOWS\System32\ 屬於 Win32 子系統程序, 主要作用在於啟動或刪除執行緒及 16 位元之 DOS 虛擬環境

46 1. 系統服務程序 (lsass.exe) 路徑放置 C:WINDOWS\System32\ 此服務程序負責,IP 安全管理帳號驗證安全儲存等服務, 都是透過 lsass.exe 執行檔來啟動, 例如 : IPSEC Service Net Logon NT LMSecurity Support Provider Protected Storage 與 Security Accounts Manager 等

$C:WINDOWS\System32\ 連線對話管理$

47 1. 系統服務程序 (smss.exe ) 路徑放置 C:WINDOWS\System32\ 連線對話管理子系統, 專門負責啟動用戶之連線對話 System Restore Service 由 svchost.exe 所啟動

48 1. 系統服務程序 (winlogon.exe) 路徑放置 C:WINDOWS\System32\ 負責用戶登錄狀態之更換, 例如系統歡迎畫面登入登出及工作站鎖定等狀態顯示的切換它會將使用者的認證操作要求, 傳送給負責身分認證之 DLL 檔, 然後再接收 DLL 檔的指示, 進行狀態切換

49 1. 系統服務程序 (services.exe) 路徑放置 C:WINDOWS\System32\ 專門啟動 Event Log 及 Plug and Play, 這 2 個系統服務的執行檔

50 2. 一般服務程序 (explorer.exe) 路徑放置 C:\WINDOWS\ 資源管理器, 它是使用者與系統核心之間的介面 -shell, 使用者必須透過它, 才能以桌面及工作列上的圖示, 存取並管理電腦中的各項資源

51 2. 一般服務程序 rundll32.exe 路徑放置 C:\WINDOWS\System32\ 負責執行 DLL 內建函式的執行檔 ctfmon.exe 路徑放置 C:\WINDOWS\System32\ 啟動微軟入法之執行檔 conime.exe 路徑放置 C:\WINDOWS\System32 輸入法設定檔控制台

52 3. 應用軟體處理程序應用軟體的執行檔, 多屬於一般程序, 但是仍有一些應用程式, 例如防毒軟體, 會同時啟動屬於系統服務程序及一般程序的執行檔常見的應用軟體程序 : iexplore.exe: IE 瀏覽器的執行程序注意 1 : 開機之後若沒有執行 IE, 但是卻在 Windows 工作管理員視窗中發現該程序檔, 必定為惡意程式 C:\Program Files\Internet Explorer 注意 2: iexplorer.exe, 為惡意程式

54 惡意程式常修改分類一 Auto-start Registry Locations Autostart Registry Locations: 當使用者登入系統時, 在這個機碼 (key) 下的的程式或 Script 會被自動執行起來二 Folder Autostart Locations 三 File AutoStart Locations

55 1. 使用者登入系統, 這個機碼 (key) 下的的程式或 Script 會被自動執行 HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\ HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\ HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\ HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\ HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup\ HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnceEx\ HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\ HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce\ HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load\ HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\run HKLM\Software\Policies\Microsoft\Windows\System\Scripts\ HKCU\Software\Policies\Microsoft\Windows\System\Scripts

56 2. 當 IE 啟動時, 一定會被載入工具列 HKLM\Software\Microsoft\Windows\CurrentVersio n\explorer\browser Helper Objects\ 3. 每次啟動 CMD.exe 時, 在這個機碼下的命令會被執行 HKLM\Software\Microsoft\Command Processor \AutoRun\ HKCU\Software\Microsoft\Command Processor\ AutoRun\

$HKLM\Software\Classes\exefile\shell\open\command\$ $HKEY_CLASSES_ROOT\vbsfile\shell\open\command\ (Visual Basic$

57 預設值為 : %1 %* 惡意程式將會改成 malware: %1 %* HKLM\Software\Classes\exefile\shell\open\command\ HKEY_CLASSES_ROOT\vbsfile\shell\open\command\ (Visual Basic Script 檔 (.vbs)) HKEY_CLASSES_ROOT\vbefile\shell\open\command ( 編碼過的 Visual Basic Script 檔 (.vbe))

58 HKEY_CLASSES_ROOT\jsfile\shell\open\command\ (JavaScript 檔 (.js)) HKEY_CLASSES_ROOT\jsefile\shell\open\command\ ( 編碼過的 JavaScript 檔 (.jse)) HKEY_CLASSES_ROOT\wshfile\shell\open\command\ (Windows Scripting Host 檔 (.wsh)) HKEY_CLASSES_ROOT\wsffile\shell\open\command\ (Windows Scripting File 檔 (.wsf)) HKEY_CLASSES_ROOT\comfile\shell\open\command\ (COM 檔 (.com)) HKEY_CLASSES_ROOT\batfile\shell\open\command\ ( 批次檔 (.bat)) HKEY_CLASSES_ROOT\scrfile\shell\open\command\ ( 螢幕保護檔 (.scr)) HKEY_CLASSES_ROOT\piffile\shell\open\command\ (Portable Interchange Format 檔 (.bat))

59 5. 在這機碼下的 CLSID 會對應到 HKLM\Software\Classes\CLSID \{GUID}\InProcServer 每當 IE 啟動時, 它們會被 IE 載入 : HKLM\Software\Microsoft\Windows\CurrentVersio n\shellserviceobjectdelayload\ HKCU\Software\Microsoft\Windows\CurrentVersio n\shellserviceobjectdelayload\

60 6. 可以自訂不同的使用者介面 : HKCU\Software\Microsoft\Windows\CurrentVersion\Policie s\system\shell\ 7. 包含被允許的 Shell Extensions 表列 : HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\ 8. 當使用者登入系統時, 在這個機碼裡的 DLLs 會被 Windows-based 應用程式載入 HKLM\Software\Microsoft\Windows NT\CurrentVersion\Window s\appinit_dlls

61 9. 當 Windows NT 會執行標準的 GINA DLL (MSGina.d) 當 GinaDLL 機碼存在時, 在這機碼下面的 DLL 會被 Winlogon 在載入 HKLM\Software\Microsoft\Windows NT\CurrentVersio n\winlogon\ginadll\ 10. 更改原來的 SHell(explorer.exe) 且在這機碼下的執行檔會被 Userinit.exe 啟動 HKLM\Software\Microsoft\Windows NT\ CurrentVersio n\winlogon\shell HKCU\Software\Microsoft\Windows NT\ CurrentVersio n\winlogon\shell

62 11. 在這機碼下的程式會在 System Mode 被啟動 HKLM\Software\Microsoft\Windows NT\ CurrentVersion\Winlogo n\system 12. 可以定義系統所使用的工作管理員 HKLM\Software\Microsoft\Windows NT\ CurrentVersio n\winlogon\taskman 13. 當使用者登入系統時, 在這機碼下的程式會被 Winlogo n 執行預設是 Userinit.exe HKLM\Software\Microsoft\Windows NT\ CurrentVersion\Winlogo n\userinit

63 14. 這機碼下的 DLLs 會接收和處理由 Winlogon 產生的事件 (event) HKLM\Software\Microsoft\Windows NT\ CurrentVersio n\winlogon\notify\ 15. 當系統啟動時, 在這個機碼裡的程式會被執行 HKLM\System\CurrentControlSet\Control\Session Manage r\bootexecute 16. 在這機碼下的服務, 大部份會以 LocalSystem 的權限啟動 HKLM\System\CurrentControlSet\Services\

64 17. 微軟使用這個機碼來設定已經安裝的視窗元件 (Windows component) HKLM\Software\Microsoft\Active Setup\ Installed Components\ 18. 記錄現行使用者 (Current User) 的啟動目錄 ( 開始功能表 => 程式集 => 啟動, 亦即,%USERPROFILE%\ 開始功能表 \ 程式集 \ 啟動 ) HKCU\Software\Microsoft\Windows\CurrentVersion\Explore r\user Shell Folders\Startup HKLM\Software\Microsoft\Windows\CurrentVersion\explore r\user Shell Folders\Common Startup

65 19. 機碼下的子機碼記載每個程式路徑和完整的執行路徑名稱 HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\ 20. 這是用來檢查應用程式的問題, 但惡意程式會利用它, 以達到執行的目的 HKLM\SOFTWARE\Microsoft\Windows NT\ CurrentVersio n\image File Execution Options\ 21. 在這機碼下 COM Objects 會記錄執行的命令預設值是 shell32.dll: HKLM\Software\Microsoft\Windows\CurrentVersion\Explore r\shellexecutehooks\

66 %USERPROFILE%\ 開始功能表 \ 程式集 \ 啟動 %ALLUSERSPROFILE%\ 開始功能表 \ 程式集 \ 啟動 %SystemRoot\Tasks ( 排程工作的目錄 )

67 在 %SystemRoot% 目錄內某些人會使用的一個技巧, 就是在 C:\ 目錄底下產生一個同樣取名為 explorer.exe 當 Windows 在開機時, 並未指定 explorer.exe 應該在哪個目錄底下, 所以, 開機時會從根目錄開始尋找該檔案來執行 %SystemDrive%\autoexec.bat %SystemDrive%\config.sys

68 wininit.ini: 是 Windows 在開機時用來預先載入某些應用程式的方法舉例說明 : [boot] shell=explorer.exe virusfile.exe winstart.bat win.ini: 是載入系統設定, 例如驅動程式桌布畫面等等舉例說明 : [Windows] load=virusfile.exe run=virusfile.exe

69 執行程序之正確拼法大小寫路徑位置檢查

70 HKLM\Software\Microsoft\Windows\CurrentVersion\Run, 佔了總數的 39.8% ( 資料來源 : F-Secure 2007)

71 1. 防毒軟體有更新過新的病毒碼就先使用新的病毒碼再掃過一遍 2. 關閉系統還原功能步驟 : 開始控制台系統系統還原關閉所有磁碟上的系統還原

72 3. 在安全模式可以刪除病毒及綁架程式, 但無法刪除在 Boot Mode( 出現 Logo 時 ) 就載入啟動的惡意程式 4. 儘量不要馬上刪容易引起當機的系統程式, 如 : winlogon.exe, svchost.exe explorer.exe, lsass.exe, services.exe 若是萬一被注入 DLL Injection 請使用 Live CD 光碟開機後再去刪 DLL 檔案惡意程式清除成功是指開機後沒再出現, 也就是 Disable 惡意程式的行為使其不能運作, 而不是一定要刪除中毒的所有檔案

74 防範惡意程式 u 安裝正版作業系統及應用程式, 並定期更新 ( 修補 ) 安裝防毒軟體, 並定期更新病毒特徵碼避免使用不明儲存媒體, 在使用前先掃毒避免安裝 / 執行不明的應用程式或檔案避免瀏覽不明網頁, 或下載不明物件安裝 ( 啟用 ) 防火牆, 停用不使用的系統服務減少使用 P2P 共享程式定期清理系統暫存檔與執行全機掃毒養成良好電腦操作習慣, 例如定期變更系統登入密碼, 設定複雜密碼

75 免費線上掃毒軟體總整理 v 免費線上掃毒軟體總整理

76 如何完整清除病毒更新防毒軟體至最新的病毒特徵碼 ( 線上或手動 ) 拔除網路線清除瀏覽器和系統暫存檔關閉 Windows 系統還原重新開機進入安全模式透過防毒軟體掃描與清除惡意程式防毒軟體沒有作用時, 透過救援光碟開機進行掃毒利用工具收集系統資訊刪除登錄檔中的相關鍵值, 檢查檔案有無遺失或毀損傳送可疑檔案, 請防毒軟體廠商分析

77 病毒無法清除 1. 無法自行處理, 應請求防毒軟體廠商協助 2. 備份重要資料 ( 定期 ) 3. 在惡意程式未完全清除前, 盡量避免使用網路社交工具與線上金融交易 4. 確認惡意程式完全清除後, 建議立即更改密碼 5. 針對此次威脅入侵事件, 執行相對應安全性政策

2016 勒索軟體白皮書

2016 勒索軟體白皮書 Botnet Botnet 1 1 2 2 5 5 6 9 10 11 11 11 12 12 12 12 12 12 13 14 2016 1989 AIDS AIDS C 189 2005 2006 TROJ_CRYPZIP.A 2011 TROJ_RANSOM.QOWA 12 2012 REVETON 2013 Cryptolocker Cryptolocker AES RSA Cryptolocker