什么是惡意軟件?惡意軟件包含哪些類型?如何防御、檢測或移除?本文針對這些疑問給出答案。

所謂“惡意軟件”，事實上是一個關乎病毒、蠕蟲、木馬以及其他有害計算機程序的綜合術語，其自計算的早期階段就一直存在并活躍在我們身邊。但是，它并非一成不變地存在著，而是隨著技術的進步在不斷發展完善，目前，黑客經常利用它來破壞并獲取敏感信息的訪問權限。可以說，打擊惡意軟件如今已經占據信息安全專業人士的大部分工作日常。

一、惡意軟件定義

惡意軟件(Malware)是惡意的軟件(malicious software)的縮寫。對于微軟所言，它是一個包羅萬象的術語，指的是任何旨在對單個計算機、服務器或計算機網絡造成損害的軟件。換句話說，一個軟件之所以被識別為“惡意軟件”，主要是基于其預期用途，而不是基于其構建技術或其他因素。

而在中國，關于惡意軟件的定義還要追溯到2006年11月，根據中國互聯網協會正式公布的惡意軟件定義：惡意軟件是指在未明確提示用戶或未經用戶許可的情況下，在用戶計算機或其他終端上安裝運行，侵害用戶合法權益的軟件，但不包含我國法律法規規定的計算機病毒。

病毒是一種惡意軟件，因此所有病毒都是惡意軟件，但是并非每一種惡意軟件都是病毒，它也有可能是蠕蟲、木馬、廣告插件、自動腳本等。

二、惡意軟件類型

惡意軟件的分類方式有很多種;首先是根據惡意軟件的傳播方式進行分類。您可能已經聽說過病毒、木馬和蠕蟲這些詞可以互換使用，但正如賽門鐵克所解釋的那樣，它們描述了惡意軟件感染目標計算機的三種微妙方式：

• 蠕蟲是一種獨立的惡意軟件，可以自我復制并從計算機傳播到計算機;
• 病毒是一段計算機代碼，可以將自身插入另一個獨立程序的代碼中，然后強制該程序實施惡意行為并自行傳播;
• 木馬是一個程序，它不能自我復制，但可以偽裝成用戶想要的東西，并誘騙他們激活它，以便它可以實現自身的破壞和傳播活動。

惡意軟件也可以由攻擊者自己“手動”安裝在計算機上，條件是要獲取對目標計算機的物理訪問權限，或使用權限提升來獲取遠程管理員訪問權限。

針對惡意軟件的另一種分類方式，主要依據其預期目的，即一旦惡意軟件成功感染受害者的計算機后，它會利用各種攻擊技術執行何種潛在的惡意企圖：

• 間諜軟件：Webroot Cybersecurity將其定義為“用于秘密收集毫無戒心的用戶數據的惡意軟件”。本質上來說，它會在您使用計算機時，竊取您發送或接收的數據，以及監聽您的網絡行為，并將這些收集到的信息發送給第三方。其中，鍵盤記錄程序是一種特殊類別的間諜軟件，能夠記錄用戶所有的擊鍵操作——這種方式非常適合竊取用戶密碼信息;
• Rootkit：TechTarget將其定義為“主要功能為隱藏其他程式進程的軟件，可能是一個或一個以上的軟件組合”。廣義而言，Rootkit也可視為一項技術。最早Rootkit用于善意用途，但后來Rootkit也被黑客用在入侵和攻擊他人的電腦系統上，電腦病毒、間諜軟件等也常使用Rootkit來隱藏蹤跡，因此Rootkit已被大多數的防毒軟件歸類為具危害性的惡意軟件;
• 廣告軟件：同樣屬于惡意軟件的一種，它會迫使您的瀏覽器重定向到網絡廣告，而這些廣告通常會尋求進一步下載，甚至加載更多的惡意軟件。正如《紐約時報》所言，廣告軟件通常捎帶一些誘人的“免費”項目，如游戲或瀏覽器擴展等。
• 勒索軟件：是近年來非常普遍的一種惡意軟件形式，主要通過加密受害者硬盤驅動器的文件，并要求支付贖金(通常為比特幣等加密貨幣)來交換解密密鑰。過去幾年間，發生了多起備受矚目的勒索軟件事件，如WannaCry、Petya等。如果沒有解密密鑰，受害者將無法獲取對其鎖定文件的訪問權限。所謂的“恐嚇軟件”(scareware)實際上是勒索軟件的一種影子版本;它會聲稱已經控制了您的計算機，并要求您支付贖金，但實際上它只是利用了瀏覽器重定向循環這樣的技巧，使其看起來好像遭遇勒索軟件攻擊一樣。
• 加密劫持(Cryptojacking?)：這是除勒索軟件外，攻擊者強迫您提供比特幣等加密貨幣的另一種方式，只有它能夠在您不必知道的情況下運行。加密挖掘惡意軟件能夠感染您的計算機設備，并使用您的CPU周期來挖掘比特幣等加密貨幣，以此牟取暴利。這種類型的惡意軟件可以在操作系統的后臺運行，也可以在瀏覽器窗口中作為JavaScript運行。

任何特定的惡意軟件都同樣包含感染方式和行為類別，因此，例如，“WannaCry”是一種勒索軟件蠕蟲。而且一個特定的惡意軟件可能具有不同的形式，帶有不同的攻擊向量：例如，Emotet銀行惡意軟件在野外被發現為木馬和蠕蟲。

根據2018年6月份進行的“10大最具影響力惡意軟件”調查報告顯示，到目前為止，最常見的感染媒介是垃圾郵件，它能夠誘騙用戶激活木馬屬性的惡意軟件。此外，根據列表顯示，“WannaCry”和“Emotet”是最流行的惡意軟件。但是，許多其他被稱為“遠程訪問木馬/RAT”的惡意軟件(包括NanoCore和Gh0st)，本質上都是像木馬一樣傳播的rootkit而已。此外，像CoinMiner這樣的加密貨幣惡意軟件也進入了該列表之中。

三、如何防止惡意軟件?

既然垃圾郵件和網絡釣魚電子郵件是惡意軟件感染計算機的主要媒介，那么，防止惡意軟件的最佳方法，就是要確保您的電子郵件系統已經得到了嚴密保護，并且確定您的用戶知道如何發現此類威脅。我們建議您可以將“仔細檢查附加文檔”和“限制潛在危險的用戶行為”兩種方式結合使用。此外，還要教育用戶了解最基本、常見的網絡釣魚手段，以便他們的這種常識可以在關鍵時刻發揮作用。

除了上述那些基本的網絡衛生措施外，您還可以采取更多技術防御措施：

• 保持所有系統的修復和更新;
• 保存硬件清單，以便及時了解需要保護的內容;以及對基礎架構執行持續的漏洞評估。
• 尤其是涉及勒索軟件攻擊時，備份問題始終是不容忽視的關鍵步驟。這樣一來，即便是硬盤文件被攻擊者加密，您也無需再用支付贖金的方式來取回它們。

四、惡意軟件防護

防病毒軟件(Antivirus softwareis)是惡意軟件防護產品類別中最廣為人知的產品;雖然名稱中存在“病毒”一詞，但是大多數產品針對的都是各種各樣的惡意軟件，不單單針對“病毒”這一種類型而已。雖然高端安全專業人士認為，它已經過時，但它目前仍是基本的反惡意軟件的支柱。根據AV-TEST最近進行的測試結果顯示，如今市場上，最好的防病毒軟件來自卡巴斯基實驗室、賽門鐵克以及趨勢科技等供應商。

當涉及到更先進的企業網絡時，端點安全產品可以提供針對惡意軟件的深度防御。該產品不僅能夠提供基于簽名的惡意軟件檢測，還提供反間諜軟件、個人防火墻、應用程序控制以及其他類型的主機入侵防護功能。Gartner還為用戶提供了該領域的首選名單，其中包括Cylance、CrowdStrike以及Carbon Black的此類產品。

五、如何檢測惡意軟件

盡管我們可能已經付出了最大的努力，但是某些時候，我們的系統仍然完全有可能遭到惡意軟件感染，那么，您將如何判斷自己的系統是否遭到了惡意軟件感染呢?

就企業IT而言，可以使用更高級的可見性工具來查看網絡中發生的情況，并檢測惡意軟件感染。大多數形式的惡意軟件使用網絡將信息傳播或發送回其控制器，因此，網絡流量包中會包含您可能錯過的惡意軟件感染信號;目前，市場上有各種各樣的網絡監控工具，價格從幾美元到幾千美元不等。還有安全信息和事件管理(SIEM)工具，它們是從日志管理程序演變而來的;這些工具能夠分析來自基礎架構中各種計算機和設備的日志，以查找問題跡象，包括惡意軟件感染。安全信息和事件管理(SIEM)供應商范圍十分廣泛，包括像IBM和HP Enterprise這樣的行業巨頭，以及像Splunk和Alien Vault這樣的小型專家。

六、如何清理惡意軟件

一旦被感染，想要刪除惡意軟件可能動輒就要花費數百萬美元，因為惡意軟件刪除是一項非常棘手的工作，它可能會根據正在處理的惡意軟件類型不同而有所不同。如果您正在尋找清理系統的工具，Tech Radar可以提供很好的免費產品，其中不僅包含防病毒世界中一些耳熟能詳的名稱，還有一些像Malwarebytes這樣的新秀。

七、惡意軟件典型示例

我們已經討論了當前一些迫在眉睫的惡意軟件威脅。但是，還有一個漫長而傳奇的惡意軟件發展史等待我們探尋。關于惡意軟件的歷史，可以追溯到20世紀80年代由Apple II愛好者交換的受感染軟盤和1988年在Unix機器上交換的Morris蠕蟲。其他一些廣為人知的惡意軟件攻擊還包括：

• I LOVE YOU(“愛蟲”病毒)：這是一款出現在2000年的蠕蟲病毒，實際上，這是一種自傳播的蠕蟲，其傳播方式是將其自身發送給目標計算機地址簿中的每個聯系人，主題詞“I love you”則是為了誘使人們打開郵件。該惡意軟件在當時造成了超過150億美元的損失;
• SQL Slammer：這是一款2003年出現的病毒程序，該病毒利用SQL SERVER 2000的解析端口1434的緩沖區溢出漏洞對其服務進行攻擊。共造成全球約50萬臺服務器遭到攻擊，但造成的經濟損失較小;
• Conficker：這種蠕蟲利用了Windows中未修補的漏洞，并通過各種攻擊媒介(從注入惡意代碼到網絡釣魚電子郵件)最終破解密碼，并將Windows設備劫持到僵尸網絡中;
• Zeus：出現在00年代后期的一款鍵盤記錄木馬，主要目的在于竊取銀行信息;
• CryptoLocker：第一個廣泛傳播的勒索軟件攻擊，其代碼不斷在類似的惡意軟件項目中重新利用;
• Stuxnet(震網病毒)：這是一種非常復雜的蠕蟲病毒，于2010年6月首次被檢測出來，是第一個專門定向攻擊真實世界中基礎(能源)設施的蠕蟲病毒，比如核電站、水壩、國家電網等。它感染了全球的計算機設備，但只在一個地方造成了真正的破壞：即伊朗在納坦茲的核設施，該病毒成功摧毀了伊朗的鈾濃縮設備，造成伊朗核電站推遲發電。

八、2018全球惡意軟件發展趨勢

Comodo網絡安全威脅研究實驗室在其發布的《全球惡意軟件2018年第一季度報告》中，針對全球3億起惡意軟件事件進行分析，概括總結了如下發展趨勢：

1. 加密挖掘攻擊改變：緊隨金錢腳步

目前的威脅展現了與2017年截然不同的情況：在2018年第一季度，加密貨幣挖礦惡意軟件(cryptominer)相較其他惡意軟件，數量飆至頂峰，取代了數量大幅下降的勒索軟件，成為頭號威脅。

2017年比特幣價值高達20,000美元，成為加密攻擊的主要目標。然而，今年真正的激增是因為cryptominer攻擊增加到2890萬，占第一季度所有惡意軟件事件的10%。獨特的cryptominer變種數量從1月份的93,750增加到3月份的127,000。

另一個讓人震驚的發現：現在門羅幣(Monero)已經取代比特幣成為加密挖掘惡意軟件的主要目標。安全分析師表示，黑客們如此喜歡門羅幣的原因在于：它隱藏了交易方和金額;不能被追蹤、列入黑名單或與以前的交易相關聯;每兩分鐘創建一次塊，可以提供更頻繁的攻擊機會;并專為在普通電腦上進行采礦而設計。

2. 隨著攻擊者轉移策略，勒索軟件數量顯著下降

報告數據顯示，對采礦的非法關注似乎以勒索軟件活動(減少)為代價，新變種從1月的124,320降至3月份的71,540，降幅為42%。

雖然勒索軟件在2017年8月發現占所有惡意軟件中的40%，但在2018年2月下降到不到10%。攻擊者成功率降低的原因在于，他們沒有創建惡意軟件代碼，公司采取了反勒索軟件措施，例如虛擬化基礎設施。但Comodo認為，勒索軟件未來可能被作為破壞數據的武器，從而重新成為主要威脅。

3. 密碼竊取器正變得更加復雜和危險

Comodo網絡安全專家已經目睹復雜密碼竊取器的興起，其中Pony Stealer Trojan是惡意軟件有效載荷的首選。這主要是因為網絡犯罪分子受到了經濟因素的刺激，而世界財富增加和網上銀行賬戶與均與加密錢包相關。

像Pony Stealer這樣的密碼竊取器，可以穿過受害者的計算機，秘密提取機密信息并掩蓋其痕跡以避免被發現。

4. 地緣政治緊張局勢升級，惡意軟件模式隨之發生變化

分析發現，惡意軟件類型與世界各地的時事相關。在第一季度，Comodo在埃及，印度，伊朗，以色列，土耳其和烏克蘭發現了與軍事行動的相關性的惡意軟件，以及歐洲，亞洲和非洲的其他趨勢相關的惡意軟件。

惡意軟件就像網絡空間本身一樣，僅僅是傳統的‘現實世界’人類事務的映射，而惡意軟件總是為犯罪、間諜活動、恐怖主義或戰爭等目的而編寫的。

Comodo《全球惡意軟件2018年第一季度報告》下載地址：

https://blog.comodo.com/comodo-news/comodo-cybersecurity-q1-2018-global-malware-report/

【本文是51CTO專欄作者“”李少鵬“”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】

戳這里，看該作者更多好文