电脑中木马的简单识别 *** 和对策。
如何识别木马
木马程序一般分为客户端程序和服务端程序两部分，客户端程序用于远程控制计算机。而服务端程序，则隐藏到远程计算机中，接收并执行客户端程序发出的命令。所以当黑客通过 *** 控制一台远程计算机时，之一步就需要将服务端程序植入到远程计算机。为了能够让用户执行木马程序，黑客常常通过各种方式对它进行伪装，这种伪装就是我们说的木马画皮。自木马诞生以来，黑客们为了木马的隐蔽性，各种伪装伎俩可谓层出不穷，让人防不胜防。那么就让我们一起来练就一双火眼金睛，拆穿木马画皮伎俩，将这些不速之客拒之门外。
画皮之一计：图标伪装
伪装等级：★★★★
在Windows系统中，每种文件类型使用不同的图标进行表示，用户通过一种图标就可以轻易地判断出这是那种文件类型。黑客为了迷惑用户，将木马服务端程序的图标换成一些常见的文件类型的图标，这样当用户运行以后，噩梦也就开始了。
实例：黑洞2001服务端的安装程序使用了文件夹的图标，当你隐藏了已知文件类型的扩展名时，这个文件看上去就是一个文件夹，当你好奇地点击它，打算进去看看有什么文件的时候，潘多拉的盒子就打开了。
识别 ***
平时我们在运行一个文件的时候，常常习惯于利用鼠标双击运行它，这样Windows系统首先会判断文件类型打开其关联程序，然后再打开这个文件。这样运行 *** 就很容易激活修改了图标的木马程序。其实，我们只需要换一种方式，就可以避免。比如我们看到一个文本文件的文件后，并不要双击打开它，而是首先打开记事本程序，然后通过“文件”菜单中的“打开”命令来打开这个文件，如果显示出的是乱码，那么这个“文本文件”就肯定有问题。
安全专家点评：更换图标是最基本的木马服务端的伪装方式，但是只使用这一种方式是远远不够的。黑客会将它和文件更名、文件捆绑等一系列的伪装方式进行组合，这样才能骗得用户运行。所以不要随意执行别人发来的文件，那怕他是你的朋友也要谨慎一些。
画皮第二计：改名换姓
伪装等级：★★★
图标修改往往和文件改名是一起进行的，黑客往往将文件的名称取得非常的诱人，比如“漂亮的妹妹”之类，骗用户去运行它。当木马服务端程序运行以后，服务端程序也会将自己的进程设置为和正常的系统进程相似的名称，从而使用户不容易产生怀疑，被其麻痹。
实例：如图2所示，这是笔者 *** 的木马服务端安装程序，它在电脑上显示为“漂亮的妹妹.bmp”。如果你把它当作一个图像文件来打开的话，笔者的木马也就在你的电脑中安营扎寨了。
识别 ***
首先要明确，不论木马如何伪装自己的图标和文件名，它的后缀部分必须是一个可执行的扩展名，比如EXE、COM、BAT等，否则木马不会运行自己的代码， 在Windows系统的默认设置下会隐藏已知文件的扩展名，如果木马把自己的文件名改成了“XXX.bmp.exe”这个样子，扩展名“.exe”隐藏后，木马的文件名就会变成“XXX.bmp”，再给这个文件配一个图像文件的图标，这个文件就会变成“一只披着羊皮的狼”。在“文件夹选项”对话框中选取“隐藏已知文件类型的扩展名”选项，具体的操作为：打开资源管理器，在菜单栏选择“工具→文件夹选择”打开“文件夹选择”对话框，去掉“隐藏已知文件类型的扩展名”复选框中的小钩即可撕掉这部分木马的画皮。
安全专家点评：这种方式在利用P2P程序进行文件传输的时候常常用到，而且通常是和图标伪装一起使用，让用户防不胜防。所以无论从那里得到的文件，在使用以前都通过杀毒软件对它进行一番查杀更好。
画皮第三计：文件捆绑
伪装等级：★★★★★
文件捆绑就是通过使用文件捆绑器将木马服务端和正常的文件捆绑在一起，达到欺骗对方从而运行捆绑的木马程序。捆绑后的文件很有迷惑性，而且加上木马一般在后台运行，用户点击后不会出现什么异状，往往会在不知不觉中中招。
实例：笔者将木马程序捆绑在电子书后得到的文件，和文件捆绑后得到的文件并没有损害，用户点击后仍能够看到电子书中的内容。这种 *** 有很大的迷惑性。
识别 ***
使用木马捆绑克星、FBFD等程序检查可疑的可执行文件，当文件进行了捆绑，程序就会出现类似“文件可能经过捆绑，请小心使用！”这样的提示。木马捆绑克星除了能检测出可执行文件中的其他程序，而且还能把捆绑在其中的程序分离出来。
安全专家点评：随着人们 *** 安全意识的提高，以前很多的黑客攻击手段已经得到了有效的遏制，可是利用文件捆绑来进行木马服务端程序的传播，却一直受到黑客的钟爱。所以用户在运行可执行文件时，一定要提高警惕。
画皮第四计：出错显示
伪装等级：★★★
绝大多数木马服务端安装时不会出现任何图形界面，因此，如果一个程序双击后没有任何反应，有经验的网民就会怀疑它是木马。为了消除这部分人心中的疑虑，黑客会让木马在被运行时弹出一个错误提示对话框。
实例：如今的木马程序，很多都有“安装完毕后显示提示”的选项，例如木马HDSPY，用户在配置服务端程序后，在“提示内容”输入框中输入需要的提示内容，例如“文件已损坏，无法打开”等。当用户运行服务端程序后，就会弹出我们设置的内容。
识别 ***
如果该文件是木马程序，用户在看到了出错信息的时候往往已经中招。所以用户看到错误信息的时候要有所警觉，这个时候就要通过扫描系统端口判断自己是否中了木马。比如可以采用X-Scan对自己的系统进行扫描。如果发现可疑端口就要进行相应的查杀。
安全专家点评：这种 *** 虽然在早期可以骗得用户，但随着人们安全意识的提高，往往给人一种“画蛇添足”的感觉。
画皮第五计：自我销毁
伪装等级：★★★
大多数木马本身只有一个文件，它的安装程序其实就是木马服务端程序，当你双击了一个木马的安装程序后，它会把自己拷贝到系统目录或其它目录，因此，一些有经验的网民如果怀疑一个程序是木马，它会根据安装程序的大小在硬盘上搜索木马文件。为了对付这部分网民，一些木马设计了自我销毁的功能，当它把自己拷贝到系统目录或其它目录后，它会把自己删除，让你无据可查。
识别 ***
对于这种 *** 就需要对系统的注册表进行即时监测和使用木马利用杀毒软件对系统以及注册表进行及时监控。一般木马会在系统注册表中留下痕迹。这个时候我们就可以根据这些蛛丝马迹揪出这些木马。
安全专家点评：利用这种方式进行木马种植的，主要是利用了网页木马和远程溢出等方式。因为黑客利用网页木马或远程溢出，都是在用户不知情的情况下，将木马植入远程系统的。既然远程用户不知情，利用木马的自我销毁功能就可以做到“来无影去无踪”。
画皮第六计：网页“嫁衣”
伪装等级：★★★★
网页木马是黑客成功利用了系统以及一些程序的漏洞，诱骗用户浏览某个特殊的网页，在用户浏览的时候，网页木马就会成功地利用系统的漏洞，从而将设置的木马服务端程序“悄悄地”安装到远程系统中。
实例： *** 网页木马有很多现成的工具，动鲨网页木马生成器就是很优秀的一款，该木马生成器利用了微软的IE Help ActiveX控件漏洞绕过本地安全域。
识别 ***
如果你在访问了一个不熟悉的网页后，计算机上网的速度突然下降，甚至出现假死的情况，那么就可能是中了网页木马了。大家可以在访问不熟悉的网页前用“view-source”这个IE命令查看网页的源代码。如果发现源代码中有iframe src="ww.XXX.htm" name="zhu" width="0" height="0" frameborder="0"之类的就不要访问了。
安全专家点评：利用网页木马传播木马服务端程序，是当前非常流行的一种 *** 。受害者在不经意之间就被种植了木马程序。对不熟悉的网页更好不要去访问，如果访问后系统出现问题要断网查杀木马。
画皮第七计：邮件附件
伪装等级：★★
通过电子邮件的附件，进行简单的文件传输，本来是为了方便用户。可黑客正是看中了这一点，通过伪造一些著名的企业或用户好友的邮件来欺骗用户，通过邮件附件来传播木马服务端程序。
实例：黑客在邮件附件中加入木马后，一般会使用比较有迷惑性的语句来骗取用户的信任。比如 “这是Windows最新的安全补丁程序，请运行后重新启动系统。”
识别 ***
不要立即运行邮件附件，而是将它“另存为”到一个文件夹，然后对文件夹进行查杀检测，发现问题立即删除。
安全专家点评：利用电子邮件的附件，是最常见的木马和病毒的传播 *** 。一般没有经验的用户会上当中招。但是因为很多邮件系统自带杀毒系统，所以现在已经不是很流行了。”
怎样查看木马进程
之一步：打开任务管理器。根据和常见进程比较，很明显会发现两个“熟悉的陌生人”(和系统基本进程名称相似，但不相同)：“internet.exe”和“systemtray.exe”。请和上一实例中的”配角“进程比较。
第二步：打开“系统信息”的“软件环境→正在运行任务”，查看路径信息，两者均指向WindowsSystem32目录，而且文件大小、日期均相同，但从文件日期来看并不属于微软的系统文件。进入资源管理器查看其版本属性，虽然公司标明为Microsoft，但与系统文件中的微软公司名称书写并不相同，基本可断定是非法进程，并且为双进程模式。
第三步：在尝试结束进程时，之一次选择“systemtray.exe”来结束进程树，结果进程马上就再生了，任务管理器中又显示出这两个进程！于是再次选择“internet.exe”，然后结束进程树●。进程没有再生，从而将木马进程从系统中清除。
实例三：真真假假系统进程
许多病毒和木马为避免从进程名称中发现它们的踪影，往往会采用“障眼法”，使用和系统文件或系统进程名称类似的进程名称。
1.文件名伪装
(1)修改常见程序或进程个别字符
例如，上面介绍的“Falling Star”木马的进程名称“internet.exe”就与输入法进程“internat.exe”十分相似。“WAY无赖小子”的服务端进程名称为“msgsvc.exe”，与系统基本进程“msgsrv32.exe”类似，还有Explorer.exe和Exp1orer.exe的区别，不仔细的话你能看出来吗？(数字“1”取代了字母“l”)
(2)修改扩展名
著名的冰河木马的服务端进程为Kernel32.exe，乍一看很熟悉，好像是哪个系统进程，其实系统根本不存在这样一个文件，Windows 9x的基本进程中却有一个叫做“Kernel32.dll”的。诸如此类的还有“Shell32.exe”的木马进程是从“Shell32.dll”这个大家都很熟悉的文件“演变”而来的，实际在系统中都是不存在的。
2.路径伪装
Windows目录和System目录是系统核心文件所在地，一般是“闲人免进”。因此，出入它们的文件一般都被人们认为是系统文件，而病毒和木马就借机将源文件放在这两个目录中。对于这类情况，一般只需要通过系统信息找到其源文件路径，打开文件的属性，从日期(这个非常重要，可以看是否与系统文件日期一样)、版本、公司名称信息中即可看出破绽。没有哪个病毒、木马文件能设计得与系统文件完全一致。
实例四：优化系统从进程开始
除系统运行必须的基本进程外，每个程序运行后都会在系统中生成进程，每个进程都会占用一定的CPU资源和内存资源。过多的进程和一些设计不良的进程就会导致系统变慢、性能下降，这时可对它们进行一下优化。
1.精简进程
系统中的一些进程并不是必须的，结束它们并不会对系统造成什么损害。
比如：internat.exe(显示输入法图标)、systray.exe(显示系统托盘小喇叭图标)、ctfmon.exe(微软Office输入法)、mstask.exe(计划任务)、sysexplr.exe(超级解霸伺服器)、winampa.exe(Winamp *** )、wzqkpick.exe(WinZip助手)等。
有一款叫做“进程杀手”的免费小工具，具备自动精简进程功能，可自动中止系统基本进程以外的所有进程。在怀疑电脑运行了某些黑客进程或病毒进程但又不能确定是哪一个时，该软件就可以有效清除那些非法进程。不过它只适合Windows 9x/Me。下载地址。
2.杀死不良进程
有时你会发现系统运行速度特别慢，这时可打开任务管理器，单击“进程”标签，点击“CPU”列标签让进程按CPU资源占用排序，可以很明显地看到资源占用更高的程序。同样 *** ，可以点击“内存”列标签，查看那些内存占用大户，及时结束进程。
这里有一种情况比较特殊：在查看CPU占用率时，一个叫做“System Idle Process”的进程会一直显示在90%左右。不必担心，实际上它并没有占用这么多系统资源，单击“性能”标签可看到其实际的CPU资源占用情况。
★对于Windows 9x，使用任务管理器是无法像Windows 2000/XP那样看到所有进程以及CPU、内存占用情况，推荐使用Process Explorer(下载地址)。
★如果某个16位程序影响了系统运行，而且死活也关不掉，可进入任务管理器的进程选项卡，找到NTVDM.exe进程，将其关掉即可杀掉所有16位应用程序，而不用重启。
3.优化软件或游戏性能
你还可以通过改变软件和游戏进程优先级来提高其性能，这样能使它们运行得更快，当然负作用就是可能影响到其他正在运行的进程。比如，为避免刻录缓存溢出问题造成刻录失败，可进入任务管理器的进程选项卡，找到并右击刻录软件的进程项，选择“设置优先级”，然后在弹出的子菜单中选择“高”。如果你不想每次都这样设置，可使用下面的 *** 。
之一步：打开软件或游戏所在目录，比如：D:/game，在这里新建一个文本文件，在其中输入以下语句：
echo off
start /priority game.exe
说明：将priority替换为所需的CPU优先级，建议使用high(高)、abovenormal(高于标准)，因为它们的效果更好。将game.exe替换为软件或游戏的可执行文件名称，比如：stvoy.exe。
第二步：做完以上修改后将其保存为game.bat，现在就能通过这个文件来启动游戏或软件，而它将会使游戏或软件具有更高的CPU优先级。不过要注意的是，该文件必须要保存在游戏或软件所在目录
如何知道手机有没有被植入木马？
可下载相应手机管家，利用手机管家的病毒扫描功能进行监测和清除。
木马发展：
之一代，是最原始的木马程序。主要是简单的密码窃取，通过电子邮件发送信息等，具备了木马最基本的功能。
第二代，在技术上有了很大的进步，冰河是中国木马的典型代表之一。
第三代，主要改进在数据传递技术方面，出现了ICMP等类型的木马，利用畸形报文传递数据，增加了杀毒软件查杀识别的难度。
第四代 在进程隐藏方面有了很大改动，采用了内核插入式的嵌入方式，利用远程插入线程技术，嵌入DLL线程。或者挂接PSAPI，实现木马程序的隐藏，甚至在Windows NT/2000下，都达到了良好的隐藏效果。灰鸽子和蜜蜂大盗是比较出名的DLL木马。
第五代，驱动级木马。驱动级木马多数都使用了大量的Rootkit技术来达到在深度隐藏的效果，并深入到内核空间的，感染后针对杀毒软件和 *** 防火墙进行攻击，可将系统SSDT初始化，导致杀毒防火墙失去效应。有的驱动级木马可驻留BIOS，并且很难查杀。
第六代，随着身份认证U *** Key和杀毒软件主动防御的兴起，黏虫技术类型和特殊反显技术类型木马逐渐开始系统化。前者主要以盗取和篡改用户敏感信息为主，后者以动态口令和硬证书攻击为主。PassCopy和暗黑蜘蛛侠是这类木马的代表。
0条大神的评论