查看單個文章
舊 2006-06-04, 08:20 AM   #10 (permalink)
psac
榮譽會員
 
psac 的頭像
榮譽勳章
UID - 3662
在線等級: 級別:30 | 在線時長:1048小時 | 升級還需:37小時級別:30 | 在線時長:1048小時 | 升級還需:37小時級別:30 | 在線時長:1048小時 | 升級還需:37小時級別:30 | 在線時長:1048小時 | 升級還需:37小時級別:30 | 在線時長:1048小時 | 升級還需:37小時
註冊日期: 2002-12-07
住址: 木柵市立動物園
文章: 17381
現金: 5253 金幣
資產: 33853 金幣
預設

基礎知識:瞭解病毒名稱(命名)及檢測方法-for McAfee用戶

瞭解病毒名稱

我們的防病毒軟件通常遵循業界通用的命名慣例來表示它檢測和
清除的病毒。某些病毒名稱偶爾也會有別於嚴格的業界標準。

如果某種新病毒具有一系列具體特徵並表明它是一個全新品種,我
們會將它冠名為某某「系列」。病毒研究人員根據病毒的某些特點
或表現(例如文本串或有效負載影響)來確定這一系列的名稱。

系列名稱可以包括用來指定病毒字節大小的數值型字串。研究人員
使用這個名稱來方便地區別類似的病毒變種。

在病毒系列中,變種的名稱由系列名稱和後綴組成,例如
BadVirus.a。後綴按字母順序排列,到 z 為止,然後再開始按 aa
形式排列,直到 az。再後來的病毒變種將使用後綴 ba 到 bz,
依次類推,直到 zz。如果以後又出現新的變種,則使用後綴 aaa。

隨著新病毒變形的不斷出現,業界的命名慣例也開始採用越來越多
的訊息。例如,某些名稱包括表示病毒執行平台的訊息。

防病毒廠商採用的病毒名稱可以包括前綴、中綴和後綴。


前綴

前綴指明病毒感染的文件類型或可能有害的軟件執行的平台。感染
DOS 可執行文件的病毒沒有前綴。我們的命名慣例包括下列前綴:

A97M/ 感染 Microsoft Access 97 文件的宏病毒。

APM/ 感染 Ami Pro 文檔和模板文件的宏病毒或特洛
伊木馬程式。

Bat/ 批處理文件病毒或特洛伊木馬程式。這些病毒通常
作為批處理或腳本文件執行,可能會影響需要解釋
腳本或批處理命令的某些程式。這些病毒流動性很
強,幾乎能夠影響可以執行批處理或腳本文件的所
有平台。這些文件本身通常使用 BAT 延伸名。

CSC/ 感染 Corel Draw 文檔文件、模板文件和腳本
的 Corel Script 病毒或特洛伊木馬程式。

IRC/ Internet Relay Chat 腳本病毒。這種病毒使
用早期版本的 mIRC 客戶端軟件分發病毒或有效
負載。

JS/ 用 JavaScript 語言編寫的腳本病毒或特洛伊
木馬程式。

JV/ 可能有害的 Java 應用程式或小程式。

Linux/以 ELF 文件格式編寫的、作用於 Linux 操作
系統的病毒或特洛伊木馬程式。

LWP/ 可能對 Lotus WordPro 有害的軟件。

MacHC/作用於 Apple Macintosh HyperCard 腳本
語言的病毒或特洛伊木馬程式。

MacOS/作用於 Apple Macintosh OS 6 至 9 的病毒
或特洛伊木馬程式。

MSIL/ 用 Microsoft Intermediate Language 框
架(也稱為 .NET)編寫的應用程式。

P98M/ 感染 Microsoft Project 文檔和模板的宏病
毒或特洛伊木馬程式。

PalmOS/ 作用於 Palm Pilot 的病毒或特洛伊木馬程式。

PDF/ 感染 Adobe PDF 文件的程式。

Perl/ 用 Perl 語言編寫的腳本病毒或特洛伊木馬程式。

PHP/ 用 PHP 語言編寫的腳本病毒或特洛伊木馬程式。

PP97M/宏病毒。感染 Microsoft PowerPoint 97 文
件。

SunOS/可能對 Sun Solaris 有害的軟件。

SWF/ 可能對 Shockwave 有害的軟件。

Unix/ 作用於某個版本的 UNIX 的程式或 Shell 腳本。

V5M/ 感染 Visio VBA (Visual Basic for
Applications) 宏或腳本的宏或腳本病毒或特
洛伊木馬程式。

VBS/ 用 Visual Basic Script 語言編寫的腳本病
毒或特洛伊木馬程式。

W16/ 在 16 位 Microsoft Windows 環境 (Windows
3.1x) 中執行的感染文件的病毒。

W2K/ 可能對 32 位 Microsoft Windows 環境(尤
其是 Windows NT、2000 或 XP)有害的軟件。

W32/ 在 32 位 Microsoft Windows 環境(Windows
95、Windows 98 或 Windows NT)中執行的
感染文件或啟始區的病毒。

W95/ 在 Microsoft Windows 95、Windows 98 和
Windows ME 環境中執行的感染文件的病毒。

W97M/ 感染 Microsoft Word 97 文件的宏病毒。

WHLP/ 可能對 32 位 Microsoft Windows 環境中
Windows HLP 文件有害的軟件。

WM/ 感染 Microsoft Word 95 文件的宏病毒。

X97M/ 感染 Microsoft Excel 97 文件的宏病毒。

XF/ 通過 Excel 公式感染 Microsoft Excel 95 或
97 的宏病毒。

XM/ 感染 Microsoft Excel 95 文件的宏病毒。


特洛伊木馬程式類的前綴

BackDoor- 這樣的名稱表示屬於類似特洛伊木馬程式的可能有害
軟件。緊跟在類名稱後的附加字元表示一個系列(例如
BackDoor-JZ)或一個名稱(例如 BackDoor-Sub7)。

AdClicker-
重複訪問廣告贊助的網站。

Adware- 不經允許而安裝廣告軟件。

BackDoor-
通過 Internet 或網路進行遠端訪問或控制。

Dialer-
不經允許而播打電話。

DDoS- 作為「分佈式拒絕服務」元件執行。

Del- 刪除文件。

Downloader-
從 Internet 下載軟件,通常傳送後門程式和密
碼盜竊程式,有時也傳送病毒。

Exploit- 利用某個薄弱環節或軟件的某個缺陷。

FDoS- 表示「資料氾濫拒絕服務」元件。

KeyLog-
記錄擊鍵以立即或以後傳送給攻擊者。

Kit- 表示為製造病毒或特洛伊木馬程式而設計的程式。

MultiDropper-
留下幾個特洛伊木馬程式或病毒(通常是幾個不同
的「後門」)。

Nuke- 利用遠端電腦上某個軟件的缺陷將電腦關閉。

ProcKill-
終止防病毒和安全產品的工作行程,並可能刪除與這些
應用程式相關聯的文件。

PWS- 盜竊密碼。

Reboot- 重新啟動電腦。

Reg- 不加詢問而以您不需要的方式修改註冊表。例如,
降低安全設置或產生異常關聯或設置。

Spam- 作為垃圾郵件發送工具執行。

Spyware- 監控瀏覽行為或其他行為並向外發送訊息,通常用
於未被請求的廣告。

Uploader-
向外發送電腦中的文件或其他資料。

Vtool-表示病毒作者或黑客使用的軟件開發程式。

Zap- 清空硬碟的部分或全部內容。


中綴

這些名稱通常出現在病毒名稱的中間。AVERT 指定的這些名稱可
能與業界慣例不同。

.cmp. 被病毒新增到現有可執行文件中的伴隨文件。我們
的防病毒軟件會刪除伴隨文件以防止它們進一步
感染。

.mp. DOS 下的古董級多重分裂病毒。

.ow. 覆蓋型病毒。表示會覆蓋文件資料而且造成無法挽
回的損失的病毒。必須刪除這個文件。


後綴

這些名稱通常出現在病毒名稱的最後。病毒名稱可以有多個後綴。
例如,一個後綴可能表示病毒變種,而其他後綴負責提供附加訊息。

@M 速度比較慢的郵件發送程式。這種病毒通過電子郵
件系統傳播。它通常會立刻回復收到的郵件、將自
身附加在要發送的郵件中或者只發送到一個電子
郵件地址。

@MM 發送大量郵件。這種病毒不但能用標準技術自行傳
播,也能通過電子郵件系統傳播。

.a - .zzz
病毒變種。


根據 CARO(電腦防病毒研究組織)命名慣例,廠商可以採用以!
字元開頭的後綴。我們的軟件使用下列後綴:


apd 附加的病毒。可以將其代碼附加到文件中、但不能
正確複製的病毒。

bat 用 BAT 語言編寫的軟件元件。

cav 鑽空病毒。這表示將自己複製到程式文件「空洞」
部分(例如全是零的區域)中的病毒。

cfg Internet 特洛伊木馬程式(前綴通常為
BackDoor-)的配置元件。

cli Internet 特洛伊木馬程式(前綴通常為
BackDoor-)的客戶端元件。

dam 損壞的文件。因感染病毒而損壞或破壞的文件。

demo 執行可能有害的操作(例如如何利用安全隱患)的
程式。

dr 負責放置病毒的文件。這個文件負責將病毒引入到
宿主程式中。

gen 一般檢測。我們的軟件程式不使用特定的代碼串即
可檢測到這種病毒。

ini 當它是另一種病毒的一個組成部分時,是一個
mIRC 或 pIRCH 腳本。

intd 「故意」的病毒。這種病毒具有普通病毒的大部分
特徵,但不能正確複製。

irc 可能有害的軟件的 IRC 元件。

js JavaScript 中的可能有害的軟件元件。

kit 用「病毒設計工具」編寫的病毒或特洛伊木馬程式。

p2p 通過點對點通訊功能發揮作用的可能有害的軟件。
例如 Gnutella 和 Kazaa。

sfx 特洛伊木馬程式的自解壓縮安裝實用程式。

src 病毒源代碼。它通常不能複製或感染文件,但負責
放置病毒的某些程式會將這個文件新增到病毒中。
我們的產品通常會標記帶有這種附加代碼的文件,
以便將其刪除。

sub 替代病毒。它會替代宿主文件,這樣感染了病毒的
所有宿主都會具有同樣的大小,而且變成真正的病
毒。(即覆蓋型病毒的一個子類。)

svr Internet 特洛伊木馬程式(前綴通常為
BackDoor)的服務器端元件。

vbs 用 Visual Basic Script 語言編寫的可能有
害的軟件元件。

worm 一種能夠自我複製的非寄生性病毒,或是一種可以
通過將自身複製到遠端電腦進行傳播或以任何
文件傳輸方式(例如遠端共享、點對點、即時通訊、
IRC 文件傳輸、FTP 以及 SMTP)在網路中傳
播的病毒。

一般檢測

我們的軟件能夠事先全面檢測到大量可能有害的軟件。大多數情況
下,即使 AVERT 沒有收到樣本,也能夠成功清除這些對象。檢測
到的這些病毒名稱中有 Generic 或 gen 後綴。

要向 AVERT 提交樣本,請訪問 AVERT 主頁。請參閱「與 McAfee
Security 和 Network Associates 聯繫」。


啟髮式檢測

我們的軟件能夠啟髮式地檢測到大量可能有害的新軟件。檢測到的
這些軟件名稱中有 New 前綴(例如 New Worm 和 New Win32)。


要提交由啟髮式掃瞄功能檢測到的樣本,請訪問 AVERT 主頁。http://myavert.avertlabs.com/myavert/
請參閱「與 McAfee Security 和 Network Associates 聯繫」。


應用程式檢測

我們的軟件能夠檢測到可能是您不需要的應用程式,但它們不屬於
病毒或特洛伊木馬程式。它們包括 Adware、Spyware、Dialer、
能隱藏自身的遠端訪問軟件以及許多用戶不想在電腦中使用的
其他類似應用程式。不需要的應用程式還包括「玩笑」程式,但您
可以使用掃瞄選項排除它們。
__________________
http://bbsimg.qianlong.com/upload/01/08/29/68/1082968_1136014649812.gif
psac 目前離線  
送花文章: 3, 收花文章: 1631 篇, 收花: 3205 次