特洛伊木马 (电脑)

惡意軟體類型

特洛伊木马(Trojan Horse)简称木马,在计算机领域中指的是一种后门程序,是黑客用来盗取其他用户的个人讯息,甚至是远程控制对方的电子设备而加密制作,然后通过传播或者骗取目标执行该程序,以达到盗取密码等各种数据资料等目的。和病毒相似,木马程序有很强的隐秘性,会随著操作系统启动而启动。

名字由来

“木马”这一名称来源于希腊神话特洛伊战争特洛伊木马。攻城的希腊联军佯装撤退后留下一只木马,特洛伊人将其当作战利品带回城内。当特洛伊人为胜利而庆祝时,从木马中出来了一队希腊军队,他们悄悄打开城门,放进了城外的军队,最终攻克了特洛伊城。计算机中所说的木马与病毒一样也是一种有害的程序,其特征与特洛伊木马一样具有伪装性,表面上没有危害、甚至还附有使用者需要的功能,却会在使用者不经意间,对使用者的计算机系统产生破坏或窃取数据,特别是使用者的各种账户及口令等重要且需要保密的信息,甚至控制使用者的计算机系统。

原理

一个完整的特洛伊木马套装程式包含两部分:服务端(伺服器部分)和用户端(控制器部分)。植入对方电脑的是服务端,而骇客正是利用用户端进入运行了服务端的电脑。运行了木马程式的服务端以后,会产生一个有著容易迷惑用户的名称的进程,暗中打开,向指定地点发送资料(如网路游戏密码即时通讯软体密码和用户上网密码等),黑客甚至可以利用这些打开的埠进入电脑系统。

特洛伊木马程式不能自动操作, 一个特洛伊木马程式是包含或者安装一个存心不良的程式,它可能看起来是有用或者有趣的计画(或者至少无害)对一不怀疑的用户来说,但是实际上有害。 特洛伊木马不会自动执行,它是暗含在某些用户感兴趣的文档中,用户下载时附带的。当用户执行文档程式时,特洛伊木马才会运行,资讯或文档才会被破坏和遗失。 特洛伊木马和后门不一样,后门指隐藏在程式中的秘密功能,通常是程式设计者为了能在日后随意进入系统而设置的。

特洛伊木马分为两种,“Universal”和“Transitive”,“Universal”是可以控制,“Transitive”是无法控制,刻死的操作。

特征

特洛伊木马不经电脑用户准许就可获得电脑的使用权。程式容量十分轻小,执行时不会浪费太多资源,因此没有使用防毒软件是难以发觉的;执行时很难阻止它的行动,执行后,立刻自动登录在系统启动区,之后每次在Windows载入时自动执行;或立刻自动变更档名,甚至隐形;或马上自动复制到其他资料夹中,执行连用户本身都无法执行的动作;或浏览器自动连入奇怪或特定的网页。

一旦安装,木马程序可能会执行一系列恶意行为。许多木马倾向于联系一个或多个命令与控制(C2)服务器并等待指令。由于个别的木马通常使用一组特定的端口进行通信,检测木马可能相对简单。此外,其他恶意软件可能会“接管”该木马,将其作为恶意行动的代理。[1]

发展

木马程序技术发展可以说非常迅速。主要是有些年轻人出于好奇,或是急于显示自己实力,不断改进木马程序的编写。至今木马程序已经经历六代的改进:

  • 第一代,是最原始的木马程序。主要是简单的密码窃取,通过电子邮件发送信息等,具备木马最基本的功能。
  • 第二代,在技术上有了很大的进步。
  • 第三代,主要改进在数据传递技术方面,出现ICMP等类型的木马,利用畸形报文传递数据,增加杀毒软件查杀识别的难度。
  • 第四代,在进程隐藏方面有了很大改动,采用内核插入式的嵌入方式,利用远程插入线程技术,嵌入DLL线程。或者挂接PSAPI,实现木马程序的隐藏,甚至在Windows NT/2000下。
  • 第五代,驱动级木马。驱动级木马多数都使用大量的Rootkit技术来达到在深度隐藏的效果,并深入到内核空间的,感染后针对杀毒软件和网络防火墙进行攻击,可将系统SSDT初始化,导致杀毒防火墙失去效应。有的驱动级木马可驻留BIOS,并且很难查杀。
  • 第六代,随着身份认证UsbKey和杀毒软件主动防御的兴起,黏虫技术类型和特殊反显技术类型木马逐渐开始系统化。前者主要以盗取和篡改用户敏感信息为主,后者以动态口令和硬证书攻击为主。

中毒症状

木马的植入通常是利用操作系统的漏洞,绕过对方的防御措施(如防火墙)。中了特洛伊木马程序的计算机,因为资源被大量占用,速度会减慢,莫名死机,且使用者资讯可能会被窃取,导致资料外泄等情况发生。

解决办法

特洛伊木马大部分可以被杀毒软件识别清除。但很多时候,需要用户去手动清除某些文件,注册表项等。 不具有破坏防火墙功能的木马可以被防火墙拦截。

著名木马

  • 著名木马
    • Back Orifice(BO)
    • NetBus Pro
    • SUB7
    • pinnAR
    • MEMZ
  • 中国大陆著名木马

参见

  1. ^ Crapanzano, Jamie. Deconstructing SubSeven, the Trojan Horse of Choice (报告). SANS Institute. 2003 [2021-05-10]. (原始内容存档于2010-03-30).