论文部分内容阅读
不知道大家对去年的双枪木马还有印象吗？国内首创利用VBR（卷引导记录）、MBR（磁盘主引导记录）驱动进行相互保护的病毒，清新脱俗的操作让该病毒一跃成为超级病毒，不过随着杀毒软件对该病毒的熟悉，之前的玩法行不通了，这不双枪木马2来了，查杀难度碾压鬼影木马、暗云木马等高级病毒，坐上了病毒界的头把交椅！
双枪木马2又有哪些变化呢？传播途径有所改变，不再是通过色情网站传播，而是改为通过下载网站传播，也就是黑客下载官方软件然后将病毒植入其中，再重新打包改一个名称上传到网上，例如×××绿色版、×××修正版、吃鸡超级外挂白金版等，用户下载并运行软件就激活了木马。
木马激活后会初始化线程，调用KeEnterCriticalRegion函数从而达到禁止内核APC，简单地说想通过关闭线程的方式阻止病毒运行就行不通了，之后会隐藏线程名称令用户和普通软件无法查看，接着调用了KeyHelperStartup函数进行注册表函数初始化，目的是为了获取底层的操作权限，从而达到VBR、MBR相互保护的目的。再进行一系列的隐蔽操作木马就可以完全控制用户电脑了，不过为了对抗杀毒软件，双枪木马2多了一个对抗策略，它会阻止杀毒软件创建新文件、会通过锁定系统注册表HIVE文件阻止杀毒软件服务写入注册表，如此一来杀毒软件就无法正常工作了，木马就可以为所欲为了——木马主要干的坏事就是将浏览器的主页窜改为33845网址导航站，为网址导航站带去流量，黑客通过贩卖流量赚钱！
针对双枪木马2这种高级木马，各大安全厂商都是高度重视，纷纷升级了查杀技术、自动检测技术和MBR、VBR修复技术以作应對。如果发现浏览器被窜改无法恢复就可以用杀毒软件进行查杀，主流杀毒软件都可以查杀双枪木马2了。
双枪木马2又有哪些变化呢？传播途径有所改变，不再是通过色情网站传播，而是改为通过下载网站传播，也就是黑客下载官方软件然后将病毒植入其中，再重新打包改一个名称上传到网上，例如×××绿色版、×××修正版、吃鸡超级外挂白金版等，用户下载并运行软件就激活了木马。
木马激活后会初始化线程，调用KeEnterCriticalRegion函数从而达到禁止内核APC，简单地说想通过关闭线程的方式阻止病毒运行就行不通了，之后会隐藏线程名称令用户和普通软件无法查看，接着调用了KeyHelperStartup函数进行注册表函数初始化，目的是为了获取底层的操作权限，从而达到VBR、MBR相互保护的目的。再进行一系列的隐蔽操作木马就可以完全控制用户电脑了，不过为了对抗杀毒软件，双枪木马2多了一个对抗策略，它会阻止杀毒软件创建新文件、会通过锁定系统注册表HIVE文件阻止杀毒软件服务写入注册表，如此一来杀毒软件就无法正常工作了，木马就可以为所欲为了——木马主要干的坏事就是将浏览器的主页窜改为33845网址导航站，为网址导航站带去流量，黑客通过贩卖流量赚钱！
针对双枪木马2这种高级木马，各大安全厂商都是高度重视，纷纷升级了查杀技术、自动检测技术和MBR、VBR修复技术以作应對。如果发现浏览器被窜改无法恢复就可以用杀毒软件进行查杀，主流杀毒软件都可以查杀双枪木马2了。