病毒与蠕虫分析
病毒与蠕虫分析
概述
病毒和蠕虫是恶意代码中最经典的两类，也是计算机安全历史中最早被广泛关注的威胁类型。病毒（Virus）需要依附于宿主文件，通过感染其他可执行文件或文档来传播；蠕虫（Worm）则具有自主传播能力，能够利用网络漏洞或可移动存储设备在系统间自动扩散。理解二者的传播机制和分析方法，是恶意代码分析师的基本功。
历史上重大病毒和蠕虫事件不胜枚举：CIH 病毒在 1998 年感染了全球大量计算机并破坏 BIOS；ILOVEYOU 蠕虫在 2000 年通过电子邮件传播造成数十亿美元损失；Conficker 蠕虫在 2008 年利用 Windows 漏洞感染了数百万台计算机；WannaCry 在 2017 年利用 EternalBlue 漏洞在全球范围内快速传播。这些事件深刻影响了网络安全行业的发展。
虽然现代恶意代码以木马和勒索软件为主流，但病毒和蠕虫的技术原理仍是理解更复杂威胁的基础。感染技术、传播机制和自我保护手段等核心技术在现代恶意代码中仍有广泛应用。
核心概念
病毒感染机制
计算机病毒感染宿主文件的方式主要有三种。文件感染型病毒将自身代码注入到可执行文件（.exe、.dll）中，当用户运行被感染的文件时，病毒代码首先获得控制权，执行完恶意操作后再跳转到原始程序的入口点继续正常执行。感染方式包括前置感染（将病毒代码放在文件头部）、追加感染（追加到文件末尾）和空洞感染（利用 PE 文件中的空隙插入代码）。
宏病毒感染 Office 文档中的宏代码，当用户打开文档并启用宏时触发。宏病毒曾是最流行的病毒类型（如 Melissa、Concept），虽然现代 Office 默认禁用宏，但社会工程学手段仍能诱使用户启用宏。引导扇区病毒感染硬盘的主引导记录（MBR）或引导扇区，在操作系统启动前获得控制权，这类病毒随着 UEFI 的普及已经较为少见。
蠕虫传播原理
蠕虫的核心特征是自主传播，其传播方式主要包括：网络漏洞利用——扫描网络中存在特定漏洞的主机，利用漏洞植入自身代码（如 WannaCry 利用 SMB 漏洞、Conficker 利用 MS08-067）；邮件传播——自动收集受害者的邮箱地址并发送携带恶意附件的邮件（如 ILOVEYOU、Mydoom）；可移动存储传播——通过 USB 设备的自动运行功能或快捷方式漏洞传播（如 Stuxnet、Agent.BTZ）。
一个完整的蠕虫通常包含扫描模块（发现潜在目标）、攻击模块（利用漏洞入侵目标）、传播模块（将自身传输到新主机）和载荷模块（执行具体的恶意操作）。蠕虫的传播速度极快，可以在短时间内感染大量主机，对网络基础设施构成严重威胁。
典型样本分析思路
分析病毒样本时，首先通过静态分析确定感染机制——查看导入表中是否包含文件操作相关的 API（如 CreateFile、WriteFile、FindFirstFile），分析代码中的文件遍历和修改逻辑。动态分析时，需要在包含测试文件的环境中运行样本，观察文件的变化情况，使用 ProcMon 监控文件操作。
分析蠕虫样本时，重点关注传播机制——通过网络监控（Wireshark）捕获扫描和攻击流量，分析漏洞利用代码（扫描的是哪个端口、利用的是哪个漏洞），追踪蠕虫在系统间的传播路径。使用网络隔离环境可以安全地观察蠕虫的传播行为，同时防止其扩散到外部网络。
自我保护技术
病毒和蠕虫使用多种技术来逃避检测和分析。多态（Polymorphic）技术在每次感染时改变病毒代码的外观（通过使用不同的加密密钥和等价指令替换），但保持核心功能不变，使基于特征码的检测失效。变形（Metamorphic）技术更进一步，在每次复制时重写整个病毒代码，通过指令替换、代码重排、垃圾代码插入等方式彻底改变代码结构。
反调试和反分析技术使病毒在检测到调试器或分析环境时停止执行恶意行为或触发自毁。Rootkit 技术用于隐藏病毒的文件、进程和网络连接，使系统工具和杀毒软件无法发现感染痕迹。
实战要点
- 隔离分析环境：病毒和蠕虫具有传播能力，分析时务必确保网络完全隔离，防止样本扩散到分析环境之外。
- 准备测试文件：分析病毒感染行为时，在虚拟机中预先放置一些测试可执行文件和文档，以便观察感染前后的变化。
- 注意休眠和触发条件：许多病毒和蠕虫具有特定的触发条件（如日期、系统语言、特定文件的存在），在分析时需要尝试满足这些条件以观察完整行为。
- 提取传播指标：分析蠕虫时，重点提取其利用的漏洞编号、扫描的端口和 IP 范围、传播协议等信息，用于编写防火墙和 IDS 检测规则。
- 使用 YARA 规则：基于分析结果编写 YARA 检测规则，可以有效地在企业环境中检测同类威胁。
总结
病毒和蠕虫虽然是恶意代码的"古老"类型，但其核心技术——感染、传播、自我保护——在现代恶意代码中仍然广泛使用。理解这些基础技术对于分析更复杂的威胁（如结合了蠕虫传播能力的勒索软件、具有病毒感染特征的 APT 工具）至关重要。
在防御层面，及时打补丁（防止蠕虫漏洞利用）、限制可执行文件的执行策略（防止病毒感染）、禁用不必要的自动运行功能（防止 USB 传播）等基本措施仍然是防范病毒和蠕虫的最有效手段。安全从业者应结合技术分析和防御策略，构建全面的防护体系。