最近一位同事的筆記本遭遇了這個(gè)病毒，正好這學(xué)期在給計(jì)算機(jī)專業(yè)的同學(xué)們上VBscript于是順便分析了一下。
首先從染病毒的計(jì)算機(jī)上提取下來病毒樣本，由于是臨時(shí)發(fā)現(xiàn)的，也沒有特別準(zhǔn)備，就用winrar壓縮后保存。
在實(shí)驗(yàn)機(jī)器上打開病毒樣本的壓縮文件，我的Symantec 11立即報(bào)警，并把病毒刪除了。所以必須禁用殺毒軟件或者設(shè)置一個(gè)“例外區(qū)域”用于分析病毒，于是在桌面上新建了“evA”文件夾，并將之設(shè)置為防病毒例外文件夾，這下病毒樣本安靜的躺在里面了。
腳本病毒是解釋型程序，因此我們不需要什么特別的反編譯工具就能查看源代碼了。雖然Windows的記事本足夠用了，但是我還是喜歡使用UltraEdit。
使用打開UltraEdit打開病毒文件如圖1，注意，為了防止誤觸發(fā)病毒，這里首先將vbs擴(kuò)展名修改為txt。


圖1 病毒腳本
打開病毒腳本，大家可以發(fā)現(xiàn)代碼的可讀性非常差，大小寫字母雜亂的排列，并且還有很多無法理解的符號(hào)串。其實(shí)這是病毒為了保存自己而“想”出來的“保護(hù)傘”。
病毒代碼大小寫問題可以在UE（以后UltraEdit簡(jiǎn)稱）中選擇文本后，使用Ctrl+F5直接轉(zhuǎn)換成小寫字母。對(duì)于類似密碼的“00c2%0033%……”的字符串相對(duì)來說比較麻煩點(diǎn)。
從病毒代碼中可以發(fā)現(xiàn)只要出現(xiàn)“亂碼”的地方都會(huì)有“STrREVeRSE”和“unEscaPE”函數(shù)的調(diào)用，其中“unescape”是vbscript標(biāo)準(zhǔn)函數(shù)，作用就是將經(jīng)過escape函數(shù)編碼過的字符串進(jìn)行反編碼。這里需要說明一下，由于Web中的Html對(duì)于有些符號(hào)是進(jìn)行保留使用的，比如“<”和“>”符號(hào)，如果需要對(duì)這些符號(hào)進(jìn)行顯示那么需要對(duì)他們進(jìn)行html編碼，所有空格、標(biāo)點(diǎn)、重音符號(hào)以及其他非 ASCII 字符都用 %xx 編碼代替，其中 xx 等于表示該字符的十六進(jìn)制數(shù)。例如，空格返回的是 "%20" 。字符值大于 255 的，比如中文，以 %uxxxx 格式存儲(chǔ)。在對(duì)“密碼”進(jìn)行分析，發(fā)現(xiàn)其實(shí)就是將escape編碼的符號(hào)串進(jìn)行了反向，再結(jié)合“STrREVeRSE”函數(shù)名，可以斷定病毒作者為了能使病毒逃避殺毒軟件的檢測(cè)，采用了將關(guān)鍵代碼進(jìn)行編碼和反向存儲(chǔ)的方式。
在UE中可以直接對(duì)字符串進(jìn)行編碼和解碼，不過要對(duì)字符串鏡像并沒有現(xiàn)成的工具可以使用，最近正在給學(xué)生上JavaScript，順手寫了一個(gè)頁面進(jìn)行解碼或者編碼，雖然很簡(jiǎn)單，不過為了敘述的連續(xù)性，代碼如下：

使用以上的工具對(duì)代碼進(jìn)行解碼后代碼如下：

以上的代碼已經(jīng)添加了很多注釋，如果你能奈著性子看到這里，估計(jì)應(yīng)該明白的差不多了。代碼本身的編碼質(zhì)量一般，因?yàn)檫@個(gè)代碼在下載病毒指令是從南師大的一個(gè)網(wǎng)站上下載的，所以估計(jì)是個(gè)學(xué)生所為。
在這段病毒中，作者使用了自定義的vs函數(shù)進(jìn)行“變臉”以逃避防病毒檢測(cè)，使用隨機(jī)方式對(duì)病毒體進(jìn)行大小寫轉(zhuǎn)換，不過實(shí)際上這種處理對(duì)真正的防病毒軟件是沒有任何效果的J
在這個(gè)病毒中，使用了注冊(cè)表，Windows自動(dòng)運(yùn)行，文件操作還有WMI控制等技術(shù)，這些都是當(dāng)前Windows環(huán)境中主流技術(shù)?？梢园l(fā)現(xiàn)這些技術(shù)微軟都為腳本，特別是VBScrit提供了調(diào)用接口，從技術(shù)上講是COM組件都提供了Automation接口，支持各種腳本的調(diào)用，本來是為了讓W(xué)indows腳本能做更過的事，但是他們也“很好”好的為病毒服務(wù)，因此我們?cè)谶@里分析病毒主要目的不是為了編寫病毒，而是學(xué)習(xí)編程技術(shù)，利用其中的技術(shù)為我們的工作和學(xué)習(xí)提供方便。因此希望學(xué)習(xí)腳本編程的朋友，可以好好分析這個(gè)鮮活的例子。
以上說了那么多，其實(shí)還是沒有怎么詳細(xì)說道病毒，雖然我總是覺得代碼就是最好的解釋，但是總不能對(duì)不起標(biāo)題上“分析”這兩個(gè)字吧。
其實(shí)這個(gè)病毒主要還是利用的Windows的Autorun.inf文件運(yùn)轉(zhuǎn)的。作為病毒，必須用戶去運(yùn)行，無論是直接還是間接的。當(dāng)“無知用戶”雙擊帶毒U盤等瞬間，Autorun.inf文件中指向的eva.vbs病毒啟動(dòng)了，首先通過關(guān)閉“SharedAccess”服務(wù)實(shí)現(xiàn)關(guān)閉Windows自帶的防火墻，這主要是為了讓后面的病毒能夠和外部的傀儡網(wǎng)站進(jìn)行通信做準(zhǔn)備。
關(guān)閉防火墻后，腳本寫入一個(gè)注冊(cè)表文件，通過后面在代碼中將之導(dǎo)入系統(tǒng)以實(shí)現(xiàn)病毒開機(jī)啟動(dòng)，其實(shí)這也是病毒的共同特征。程序在啟動(dòng)之后，需要判斷當(dāng)前是否已經(jīng)被感染，通常腳本對(duì)當(dāng)前系統(tǒng)進(jìn)程的情況進(jìn)行處理是比較困那的，不過還好，Windows的WMI為腳本訪問系統(tǒng)功能提供了大量的接口，這里使用它檢測(cè)系統(tǒng)中是否有多份病毒進(jìn)程，如果有那么就會(huì)自動(dòng)退出。這個(gè)病毒中其實(shí)主要的功能就是復(fù)制，這也是被定義為worm病毒的原因，但其中有個(gè)重要的特征值的讓我覺得很有意思，就是這個(gè)病毒程序居然會(huì)執(zhí)行從傀儡服務(wù)器發(fā)送來的病毒命令。
在這個(gè)病毒中，利用ServerXMLHTTP組件和傀儡服務(wù)器進(jìn)行通訊，這個(gè)技術(shù)其實(shí)就是我們現(xiàn)在流行的AJAX技術(shù)中的基礎(chǔ)。在這里和服務(wù)器通訊，并執(zhí)行從服務(wù)器下載的病毒代碼，這體現(xiàn)了現(xiàn)在病毒作者希望能夠長(zhǎng)期對(duì)“肉雞”的控制，但是讓我不能理解的是，病毒中有段代碼是對(duì)當(dāng)前計(jì)算機(jī)用戶的賬戶進(jìn)行檢測(cè)的，并將用戶信息發(fā)送到服務(wù)器上。眾多周知，國人的操作系統(tǒng)中D版居多，其中這段時(shí)間被鬧的沸沸揚(yáng)揚(yáng)的“番茄花園”之類的改版Windows居多，這類Windows均有個(gè)共同的個(gè)點(diǎn)，就是安裝的系統(tǒng)都會(huì)使用他們的“品牌”作為用戶名，比如“番茄花園”版的Windows中默認(rèn)用戶常常就是“番茄花園”。從這個(gè)病毒代碼上看，難道它還要對(duì)Windwos版本進(jìn)行一個(gè)“D版占有量普查”么？
最后還要提到的一點(diǎn)就是這個(gè)病毒對(duì)系統(tǒng)時(shí)間的修改，通過修改系統(tǒng)時(shí)間進(jìn)行對(duì)防病毒軟件的攻擊往往是致命的。說起來比較有諷刺意味，被這個(gè)病毒僅僅通過將時(shí)間向前倒撥一年，這樣很多防病毒軟件的授權(quán)時(shí)間就變成了非法的，這就好像當(dāng)年WindowsXP剛發(fā)布的時(shí)候，設(shè)置錯(cuò)誤的時(shí)間可能會(huì)造成系統(tǒng)奔潰一樣。錯(cuò)誤的時(shí)間往往會(huì)破壞一個(gè)看似堅(jiān)固的系統(tǒng)。通過這種方式，Kaspersky的授權(quán)時(shí)間變成了非法，隨之而來的就是防病毒引擎掛起，這樣這個(gè)沒有技術(shù)沒有難度的學(xué)生病毒就能大行其道了。這難道不是對(duì)防病毒廠商的諷刺么？為了保護(hù)自己的利益（使用時(shí)間授權(quán)），而讓用戶冒著被病毒攻擊的危險(xiǎn)。事實(shí)上，有些防病毒廠商就注意到這個(gè)問題，如果授權(quán)過期了也不應(yīng)該關(guān)閉查殺引擎，最多關(guān)閉放病毒庫的更新。另外這個(gè)病毒修改時(shí)間最妙的是把時(shí)間向前調(diào)整而不是往后，因?yàn)槟悴粫?huì)知道不同的用戶的防病毒軟件的授權(quán)時(shí)間是1年還是n年，不過可以肯定，把時(shí)間向前調(diào)整一年的方式，可能對(duì)人而言同樣的授權(quán)還是正常的，但是對(duì)于計(jì)算機(jī)就難以理解了。
以上是我對(duì)這個(gè)病毒的簡(jiǎn)單分析，主要談了自己所感興趣的幾個(gè)部分。下面談?wù)剬?duì)于病毒的防護(hù)，前端時(shí)間，我參加了Symantec南京的一個(gè)產(chǎn)品發(fā)布會(huì)，會(huì)上有個(gè)銷售在介紹他們的產(chǎn)品，其中他說到了一句會(huì)，“現(xiàn)在沒有誰會(huì)讓自己的電腦裸奔！??！”。相信很多朋友都知道，這里的裸奔就是指不安裝計(jì)算機(jī)殺毒軟件的電腦。實(shí)際上這個(gè)銷售說錯(cuò)了，我曾經(jīng)就有過1年多的時(shí)間“裸奔”，并且系統(tǒng)一直沒有出現(xiàn)任何問題，不是我自己說的，是后來我安裝了某品牌的防病毒軟件進(jìn)行了掃描后沒有發(fā)現(xiàn)任何病毒的蹤影。至于為什么后來安裝了，完全是為了測(cè)試某品牌的殺毒軟件，后來也懶的刪除。
那么很多朋友要說，你可真是“神人”。我要答復(fù)的事，其實(shí)并不“神”，你們也可以做到，關(guān)鍵是你去不去做！
從這個(gè)病毒的運(yùn)行全過程我們可以發(fā)現(xiàn)，基本上關(guān)鍵的操作都是需要系統(tǒng)管理員級(jí)別才能成功的。例如修改時(shí)間，枚舉系統(tǒng)進(jìn)程，對(duì)注冊(cè)表進(jìn)行讀寫。如果你所使用計(jì)算機(jī)的賬戶僅僅是個(gè)普通User權(quán)限，我想這個(gè)病毒就和你無緣了。
另外由于喜歡分析病毒的行為，這也為我“逃避”病毒找到了一些技巧。因?yàn)樵缭诙嗄暌郧埃揖头治鲞^“歡樂時(shí)光”腳本病毒，那時(shí)候還不是很懂vbs腳本，可以說是病毒讓我進(jìn)一步了解了vbs腳本的能力，為我后來能夠在工作中靈活運(yùn)用腳本解決問題給了一個(gè)啟發(fā)！


附錄：Symantec對(duì)該病毒的資料
Discovered: March 12, 2007
Updated: March 12, 2007 5:17:48 PM
Type: Worm
Infection Length: 1,112 bytes
Systems Affected: Windows 98, Windows 95, Windows XP, Windows Me, Windows NT, Windows 2000
VBS.Runauto is a Visual Basic script worm that copies itself in the root folder of all drives (including removable devices) except floppy drives.
ProtectionInitial Rapid Release version March 13, 2007
Latest Rapid Release version September 17, 2008 revision 038
Initial Daily Certified version March 13, 2007
Latest Daily Certified version September 17, 2008 revision 039
Initial Weekly Certified release date March 14, 2007
Click here for a more detailed description of Rapid Release and Daily Certified virus definitions.
Threat AssessmentWildWild Level: Low
Number of Infections: 0 - 49
Number of Sites: 0 - 2
Geographical Distribution: Low
Threat Containment: Easy
Removal: Easy
DamageDamage Level: Low
Payload: Copies itself to all drives on the compromised computer.
DistributionDistribution Level: Low
Writeup By: Mircea Ciubotariu