计算机USB接口病毒揭密和清除0

计算机USB接口病毒揭密和清除
［ 作者：佚名    转贴自：电脑编程技巧与维护    点击数：2555    更新时间：2007-5-21    文章录入：聂宏飞］
一、   主要病毒类型
据有关资料报道和业内人士称，病毒实际上就是人为编写的恶性程序。　根据病毒特有的算法，病毒又可以划分为伴随型病毒、蠕虫病毒等。
无害型：除了传染时减少磁盘的可用空间外，对系统没有其他影响。
无危险型：这类病毒仅仅是减少内存、显示图像、发出声音及异常音响。
危险型：这类病毒在计算机系统操作中造成严重的错误。
非常危险型：这类病毒删除程序、破坏数据、清除系统内存区和操作系统中重要的信息。
在计算机病毒出现的初期，说到计算机病毒的危害，往往注重于病毒对计算机系统的直接破坏作用，比如格式化硬盘、删除文件数据等，并以此来区分恶性病毒和良性病毒，其实这些只是病毒劣迹的一部分，随着计算机应用的发展，人们深刻地认识到凡是病毒都可能对计算机及系统造成严重的破坏。主要表现在如下方面： 病毒激发后对计算机数据信息的直接破坏作用； 占用磁盘空间和对信息的破坏；抢占系统资源；影响计算机运行速度，病毒进驻内存后不但干扰系统运行，还影响计算机速度；计算机病毒给用户造成严重的心理压力。
二、   USB接口病毒作用特征
USB是“Universal Serial Bus”的缩写，意思是“通用串行总线”， 是电脑系统接驳外围设备(如U盘，活动硬盘、键盘、鼠标、打印机等)的输入/输出接口标准。现今用此种总线连接的设备非常多，使用极为广泛，USB接口病毒最大的特征就是利用USB接口这一特性而感染计算机的， 通过运行磁盘根目录下的Autorun.inf文件来激活。随着USB设备具有移动性和使用上方便性，使得这类病毒传播起来速度非常之快，也正因为如此，USB接口病毒种类和变种较多。
本程序在充分了解和分析了USB接口病毒的作用原理的基础上设计出专杀工具，达到清除病毒的目的。
三、   流程及步骤：
实现该程序的关键是寻找病毒样本（受感染的U盘或计算机），观察受U盘病毒感染的磁盘和计算机病态特征，通过阻断、设立陷阱、注册表监控等方法，分析和总结USB接口病毒等症状和激发条件，在弄清作用原理和机制的基础上，应用编程工具，设计出清除实验对象（病毒）的专用程序，从而完成设计目标。整个设计主要步骤所示。
Y
病毒清除
病毒特征分析
搜集安全信息
搜集病毒样本
病毒样本鉴别
清除程序设计
结束
N
调试
其中各部分的主要含义如下：
1．搜集安全信息
通过受感染的计算机在第一时间收集最新的安全信息。同时也访问一些安全网站、安全论坛等进行沟通交流，将这些途径作为辅助手段，尽可能获得相当多安全信息。同时还要了解微软Windows操作一些使用常识和安全漏洞，它们也是信息收集工作的重点之一，因为如今的U盘病毒也是利用操作特点和漏洞进行传播攻击的。在掌握了第一手安全信息资料后，需要马上做好记录，并立即考虑处理方案。
2．搜集病毒样本
收集样本要通过很多途径，可以通过受感染的计算机来收集，也可向计算机用户提出请求，索取病毒样本，还可访问一些与病毒相关的论坛，查看各种相关的帖子和网页，或者通过我们为病毒设置的陷阱。另外，收邮件也是获得样本的重要途径。
3．病毒样本鉴别
获取样本后自然是鉴定，鉴定主要依靠病毒表现特征，判断可疑程序究竟是什么性质，如果是恶意的，那么就定义为病毒或者木马。这对有经验的用户来讲，有些类型凭经验就可鉴别，还可借助专用的工具和特殊的流程来实现。
4．病毒特征分析
当定性为病毒过后，接下来就是对病毒进行分析，判定危害级别，并且进一步分析病毒的作用机制，包括对Windows注册表控制、进程、驻留方式、反清除（删除）能力等。这有利于后一步程序设计，使编写程序有的放矢地针对某个病毒开发出清除模块。
5．清除程序设计
根据已经掌握病毒样本，针对不同病毒特征和作用机制，利用编程语言设计与开发相应的程序模块和代码编写，并在设计过程中和模块建立后进行效果检验与测试。
四、 病毒特征分析
目前U盘病毒种类和变种较多，选择了其中3种具有感染频率高，危害较大的种类作为此次程序设计的主要研究对象。
这三个对象是：RavMonE.exe病毒、Sxs.exe病毒和Vbs病毒。它们都是当今U盘病毒类型中高感染率类型，其中RavMonE.exe病毒是被认出现最早的USB病毒，Sxs.exe病毒是感染率较高且不易清除的一种病毒，而Vbs病毒是公认变种（变型）最多的病毒之一。
对多台受U盘病毒感染的计算机做多次实验分析，通过阻断、设立陷阱、进程控制和注册表观察等方法，分析和总结了USB接口病毒等症状和传染激发条件，基本弄清了上述三种病毒的判别特征和作用机制，揭示UBS接口病毒发作及危害的本质。详细解释如表1所示。
1. 病毒判别特征
表1  U盘RavMonE病毒/Sxs病毒/Vbs病毒特征
病毒名称
病毒特征
感染途径与危害机制
样本数（U盘）
RavMonE.exe
①RavMonE.exe是最早的USB接口病毒，在U盘、移动硬盘上传播。
②该病毒由如下文件组成：Autorun.inf、Msvcr71.dll、RavMonE.exe和RavMonLog，当用户双击U盘盘符，会激活Autorun.inf病毒，并随用户操作磁盘自动加载RavMonE.exe，中毒之后，计算机识别U盘时会极为缓慢，且病毒又会传染给别的U盘，单看文件名就可判定这是病毒RavMonE.exe，企图冒充瑞星杀毒软件的正常文件RavMon.exe和RavMonD.exe。
③计算机初级用户若不在意会误以为：RavMonE.exe也是正常程序文件。
①修改注册表
②进程控制
③利用磁盘根目录下的Autorun.inf文件实现自启动
④文件自我复制到Windows和System32目录
30
Sxs.exe
①该病毒在每个盘根目录下自动生成Sxs.exe,Autorun.inf文件，有的还在Windows\System32下生成Svohost.exe 或 Sxs.exe 。
②所有病毒文件属性为隐藏属性。自动禁用杀毒软件。主要通过U盘，移动硬盘传播。
③按Ctrl+Del+Alt查看进程，可能多出一个Svohost进程，它与系统自带的Svchost只差一字，具有很强迷惑性！
③识别时，按Ctrl+Del+Alt查看进程，可能多出Svohost进程!
①修改注册表
②隐藏进程
③利用磁盘根目录下的Autorun.inf文件实现自启动
④病毒文件自我或多目标复制
21
Vbs
①双击盘符无法打开，显示缺少Autorun.vbs,无论双击哪个盘的图标，系统都会重新打开一个窗口。
该病毒主要通过U盘感染，中毒现象表现为主机不停的发出声音，类似于读软盘的声音，打印机无法正常工作且驱动无法安装。
②按Ctrl+Del+Alt查看进程，如多出至少一个Wscript.exe进程，表明可能已中此毒。
③中毒后Windows或Windows\System32目录和各磁盘根目录下，会多出7个文件：Autorun.bat Autorun.vbs Autorun.bin Autorun.inf Autorun.txt Autorun.reg Autorun.wsh
①修改注册表
②隐藏和产生新进程Wscript.exe
③利用磁盘根目录下的Autorun.*多个文件关联实现自启动和自保护
④病毒文件自我或多目标复制。