| |
根據(jù)ESET NOD32 08年病毒分析實驗室捕獲的數(shù)據(jù)統(tǒng)計，2008年12月爆發(fā)量最大的是盜號木馬和U盤病毒，這兩種病毒占到了捕獲樣本總數(shù)的 24% 。這個是對病毒制作經(jīng)濟利益最大化，制作流程產(chǎn)業(yè)化的一個最好證據(jù)。隨著網(wǎng)絡(luò)游戲，網(wǎng)上購物等活動的興起，病毒作者看到可以通過竊取游戲帳號，銀行帳號，傳播廣告等方式來進行獲利，因而他們有了更大的動力來開發(fā)各種的惡意程序，包括：惡意網(wǎng)頁代碼、盜號木馬、間諜軟件、網(wǎng)絡(luò)釣魚及垃圾郵件等。
由于大量惡意程序的涌現(xiàn)，殺毒軟件和病毒的技術(shù)競爭也愈加激烈。病毒作者會利用新的技術(shù)隱藏自己躲避殺毒軟件的查殺，或者尋找新的傳播方式，或者甚至主動破壞殺毒軟件。一個典型的案例是2008年2月份在國內(nèi)爆發(fā)的“磁碟機”病毒。該病毒爆發(fā)后，每日會有數(shù)個變種產(chǎn)生來躲避殺軟的檢查，感染量達(dá)到數(shù)百萬臺計算機。同時，殺毒軟件本身也在不斷進化。那么，現(xiàn)在殺毒軟件的主流技術(shù)有哪些呢？我們將給大家作一個簡要的介紹。
(1)基因碼檢測技術(shù)
直到現(xiàn)在，幾乎所有的殺毒軟件主要還是通過病毒數(shù)據(jù)庫里的病毒特征數(shù)據(jù)，與被掃描的文件加以對照，從而把符合條件的真正的病毒區(qū)分出來。由于幾乎每天都有新病毒或變種出現(xiàn)，各殺毒軟件廠商也只有不斷進行特征更新 (Signature Update) 與擴充自己的病毒數(shù)據(jù)庫，才能確保盡快把最新的病毒特征數(shù)據(jù)收錄其中。
這種處理方法看似簡單有效，但網(wǎng)絡(luò)世界里出現(xiàn)過的病毒高達(dá)7萬多種，即使是仍活躍的病毒種類也達(dá)到數(shù)千種以上；若病毒數(shù)據(jù)庫要一口氣全部收錄，數(shù)據(jù)庫體積必然非常龐大，就是在掃描系統(tǒng)時進行逐個數(shù)據(jù)對照，過程也極為費時。因此，像ESET NOD32 等先進的殺毒軟件，已逐漸改變這種特征檢測 (Signature-based Detection) 的查毒方式，進而采用較新型的基因碼 (Generic Signature) 檢測技術(shù)。采用基因碼技術(shù)后，病毒特征和病毒庫的大小都得到了簡化。
病毒特征化繁為簡
所謂基因碼，就是指同一病毒族群中的不同變種，多半含有相同的病毒特征。不少病毒最初是以單一品種出現(xiàn)，后經(jīng)由其它病毒作者修改或自行演化，最后變成數(shù)十種以上的病毒變種。若以傳統(tǒng)特征檢測方式處理，病毒數(shù)據(jù)庫便要為每一種病毒變種制作一份獨立的特征數(shù)據(jù)；而較新的基因碼檢測技術(shù)，則會從各變種中找出共同之處，包括一些非連續(xù)的程序代碼，以此找出同一類型病毒的普遍特征。
縮小病毒數(shù)據(jù)庫的體積
這樣，在進行系統(tǒng)掃描時，由于采用較少的特征數(shù)據(jù)就能檢測龐大的病毒種類，因此進行特征對照時便能大大縮短時間。同時，對于由同一種源頭變化出來的新變種，只要吻合該族群的普遍特征條件，即使未更新病毒數(shù)據(jù)庫亦很有可能成功進行識別。因此，ESET NOD32 更新病毒數(shù)據(jù)庫所用的時間極短，每次更新不過下載 20KB 至 50KB 不等，絕不會加重網(wǎng)絡(luò)與硬盤的負(fù)擔(dān)。
(2)虛擬機技術(shù)
針對變形病毒、未知病毒等復(fù)雜的病毒情況，極少數(shù)防病毒軟件采用了虛擬機技術(shù)，達(dá)到了對未知病毒良好的查殺效果。它實際上是一種可控的，由軟件模擬出來的程序虛擬運行環(huán)境。在這一環(huán)境中虛擬執(zhí)行的程序。雖然病毒通過各種方式來躲避防病毒軟件，但是當(dāng)它運行在虛擬機中時，它并不知道自己的一切行為都在被虛擬機所監(jiān)控，所以當(dāng)它在虛擬機中脫去偽裝進行傳染時，就會被虛擬機所發(fā)現(xiàn)，如此一來，利用虛擬機技術(shù)就可以發(fā)現(xiàn)大部分的變形病毒和大量的未知病毒。
(3)代碼分析技術(shù)
為了對付病毒的不斷變化和對未知病毒的研究，代碼分析掃描方式出現(xiàn)了。代碼分析掃描是通過分析指令出現(xiàn)的順序，或特定組合情況等常見病毒的標(biāo)準(zhǔn)特征來決定文件是否感染未知病毒。因為病毒要達(dá)到感染和破壞的目的，通常的行為都會有一定的特征，例如讀寫敏感文件，自我刪除、自我復(fù)制，獲取操作系統(tǒng)底層權(quán)限等等。所以可以根據(jù)掃描特定的行為或多種行為的組合來判斷一個程序是否是病毒。
圖示 ESET NOD32擁有嶄新的ThreatSense.Net預(yù)警系統(tǒng)
為了強化 ThreatSense? 引擎的準(zhǔn)確性與效率，ESET NOD32 在最新的版本里加入了嶄新的ThreatSense.Net 預(yù)警系統(tǒng)。該系統(tǒng)可說是把 ThreatSense? 的優(yōu)秀病毒分析能力，由個人計算機范圍拓展至全球性的規(guī)模處理；每當(dāng)客戶端的 ESET NOD32 遇到疑似病毒的文件時，便可自動或手動地將該文件壓縮加密，并經(jīng)由電郵寄送到 sample@eset.com ，快速地交由 ESET 總部的專家進行分析研究；一旦確定為病毒，ESET便迅速進行后續(xù)的處理。 |
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
