查看: 2314|回复: 7

【原创】再发大作——手机病毒的介绍及其防治——超级详细帖 [复制链接]

孑然一身

口袋二段

Rank: 3 Rank: 3

资源: 1
信用: 0
口袋币: 265
技术: 5
注册时间: 2003-2-23
帖子: 140
精华: 1
积分: 14
UID: 4349

发表于 2005-7-5 19:43:05 |显示全部楼层

【原创】手机病毒的介绍及其防治——超级详细帖
本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

随着智能手机的不断普及，手机病毒成为了病毒发展的下一个目标。现在手机病毒已经从过去的利用手机系统漏洞进行攻击的类型，向针对开放式智能手机操作系统的类似电脑病毒的程序型转变，目前为止已经出现了三十多种针对智能手机的病毒。本文将向你介绍这些病毒的特征、防治方法和杀毒软件。
本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
魔高一尺——手机病毒出现

目前手机病毒主要还是针对Symbian系统，而其他的如Palm、Windows Mobile等系统还没有受到病毒的威胁，毕竟在智能手机市场上Symbian系统的市场份额是最大的。而现在的Symbian病毒主要是以蠕虫形式出现的，只要你不安装蠕虫程序，你的手机就不会被感染。下面将介绍几个影响较大的手机病毒及其防治方法。
本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
 Cabir

别名：EPOC.Cabir，Worm.Symbian.Cabir.a，EPOC/Cabir.A，EPOC_CABIR.A， Symbian/Cabir
目标手机：Symbian OS S60平台手机
主要危害：干扰蓝牙通讯，加大电力消耗

要谈论手机就离不开Cabir，他就是今年6月份由国际病毒组织29A发布的首例概念性手机病毒，可以算是Symbian手机病毒的鼻祖，现在的许多Symbian病毒中也都包含Cabir或其变种。根据F-Secure公司的统计，截至2005年4月Cabir一共有变种20个。
Cabir是一个通过蓝牙传播的病毒。会伪装成名为“Caribe.sis”（不同变种名称不同）的Symbian软件（图1）
本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

。当被文件被执行后，手机的屏幕上会提示“Install Caribe？”（图2）

；一旦点击“Yes”安装，手机屏幕上会显示“Caribe-VZ/29a”本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
（图3）

，并且会对Symbian操作系统进行修改。此后用户每次打开手机时，Cabir也随之启动（图4）
本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

。Cabir会在手机上创建以下文件（图5）：

\SYSTEM\APPS\CARIBE\CARIBE.APP
\SYSTEM\APPS\CARIBE\CARIBE.RSC
\SYSTEM\APPS\CARIBE\FLO.MDL
C:\SYSTEM\SYMBIANSECUREDATA\CARIBESECURITYMANAGER\CARIBE.APP 本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
C:\SYSTEM\SYMBIANSECUREDATA\CARIBESECURITYMANAGER\CARIBE.RSC
C:\SYSTEM\SYMBIANSECUREDATA\CARIBESECURITYMANAGER\CARIBE.SIS 本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
C:\SYSTEM\RECOGS\FLO.MDL
C:\SYSTEM\INSTALLS\CARIBE.SIS

被Cabir病毒感染的手机将利用手机配备的蓝牙装置来搜索潜在的感染目标，并向目标对象发送一个名为Caribe.sis（不同变种名称不同）的文件，Cabir病毒就隐藏在该文件内。Cabir病毒并不删除被感染手机上的数据，但他会阻塞正常的蓝牙连接，不断搜索附近的蓝牙手机，并由此导致手机电池的快速消耗。
最新的Cabir变种在查找目标对象上更为智能。举例来说，如果某部可能被感染手机已经脱离了连接范围，则Cabir.H和Cabir.I等变种会自动搜索另一个目标。

对于Cabir病毒最好的防治方法是：在不用蓝牙功能时，将手机的蓝牙设置为隐藏（不可被搜索到）或者直接关闭（图6）

本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

，另外不要执行莫名其妙的出现在手机中的安装文件也是很重要的。

 Commwarrior.A本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

别名：SymbOS.Commwarrior.A ，SymbOS/Commwarrior.a，SYMBOS_COMWAR.A
目标手机：Symbian OS S60平台手机本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
主要危害：干扰蓝牙通讯，发送大量彩信，加大电力消耗

Commwarrior.A是最新的Symbian手机病毒，也是全球第一个通过移动多媒体消息服务（MMS）传播的病毒，在此之前，手机病毒大都使用了蓝牙方式传播，感染的范围仅仅局限在距离10米左右的装置，Commwarrior.A 病毒的传播方式有了大的改进，通过MMS和蓝牙配合传播，意味着该病毒可以在极短时间内传遍全球。
一旦用户收到并安装了Commwarrior.A（图7、8、9）

本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

，只要一开机，它会在被感染的手机上复制数份拷贝，并通过手机中的号码薄利用MMS方式将拷贝发送给机主的联系人，同时会像Cabir通过蓝牙不断搜寻其他设备。特别要注意的是，在通过MMS传播时，Commwarrior.A会使用一些吸引人的主题，如“Norton AntiVirus Released now for mobile, install it!”和“ Free SEX! Free *SEX* software for you!”等（图10）

，所以在打开MMS最好不要执行里面附带的SIS文件；在通过蓝牙传播时Commwarrior.A会随机的生成文件名，使得我们无法通过文件名来辨别。

 Dampig.A本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

别名：SymbOS/Dampig.A, FSCaller crack trojan
目标手机：Symbian OS S60平台手机本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
主要危害：破坏部分手机软件

Dampig.A病毒会伪装成Fscaller3.2软件（来电者照片显示软件）的XX版本，文件名为：Fscaller3.2Crack7610.sis或vir.sis。一旦安装之后，Dampig.A会用Cabir病毒来替换一些第三方软件的程序文件，导致这些软件无法使用，不过Dampig.A并不会自动运行Cabir病毒。

 Drever本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

别名：SymbOS/Drever本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
目标手机：Symbian OS S60、UIQ平台手机
主要危害：破坏手机杀毒软件本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

Drever系列病毒是针对手机杀毒软件设计的，有A、B、C三个变种，他能够破坏Kaspersky、Simworks和 F-Secure等手机杀毒软件的文件，以致这些软件无法运行。要删除Drever病毒也十分简单，只要到“程序管理器”中反安装“New_bases_and_crack_for_antiviruses.sis”，然后重新安装你的杀毒软件就可以了。
本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

 Lasco.A
本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
别名：SymbOS/Lasco.A, EPOC/Lasco.A
目标手机：Symbian OS S60平台手机本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
主要危害：感染SIS文件，通过蓝牙传播自己

Lasco.A可以算是第一个传统意义上的病毒（图11）

，他能够自动的感染手机上的Sis文件，将自己加到这些文件上，当安装这些文件的同时也把Lasco.A安装到系统中了，这是Lasco.A就会和Cabir一样，通过蓝牙寻找目标机器，并传播自己。Lasco.A和Cabir.H很相像，二者只是在传播途径上略有差别罢了。

 Skulls.D
别名：SymbOS.Skulls.D，SymbOS/Skulls.D，SYMBOS_SKULLS.D
目标手机：Symbian OS S60平台手机本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
主要危害：破坏系统文件，使除通话外的功能失效

在此之前的手机病毒都可以说是小打小闹，Skulls 病毒的出现让手机病毒在破坏性上更上了一层楼，Skulls系列病毒能干掉所有的系统应用程序，从Skulls.A开始传播速度和破坏性逐渐递增。新的骷髅病毒变种Skulls.D与先前的病毒不同的是，先前的病毒只是把单个的应用程序图标换成骷髅图像（图12）

本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
，而Skulls.D则让用户的手机整个屏幕都闪烁着骷髅（图13）

本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

。最危险的是Skulls.D会把自己伪装成新版的Macromedia Flash播放器，文件名为“Flash_1[1].1_Full_DotSiS.sis ”（图14）

本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!

，以引诱用户安装，一旦用户的手机被感染，则用户的手机就不能运行程序，也不照像或者发送短信，不过仍能接打电话。这个病毒还会在手机中释放Cabir.M病毒，并阻止用户安装新的应用程序。因此一旦用户手机被感染，手机就只能还原出厂设置，导致丢失电话薄、日程安排等资料。
本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
本文版权属于Charles Chang,已经发表于新潮电子,!严禁转载!
道高一丈——杀毒软件出山

手机病毒的出现使得许多安全软件厂商开始注意到这个市场，并开发出了对应的手机防毒软件，这里面比较有名的有：F-Secure公司的Mobile Anti-Virus和Simworks公司的Anti-Virus；值得高兴的是国内的日月光华软件公司也推出了光华反病毒软件手机版，并且是免费的！最令人高兴的是著名的安全软件开发公司Kaspersky卡巴斯基和Symantec赛门铁克也加入到手机安全软件的开发中，分别推出了各自的测试版手机防毒软件，特别是Symantec的Symantec Mobile Security for Symbian，是一款功能类似于PC上的Norton Internet Security（诺顿网络安全特警）的软件，为手机提供了全方位的保护。

 Simworks Anti-Virus
Simworks Anti-Virus是新西兰的Simworks公司出品的共享软件，售价$29.95 NZD（包含12个月的病毒更新），可以算是Symbian系统上第一个防毒软件，支持S60和UIQ两个平台，你可以从Simworks的官方网站http://www.simworks.biz/sav/下载到试用版。
Simworks Anti-Virus的体积小巧，只有30几K，并且使用十分简单，将软件安装好后，你只要运行他，点击“Options”（图15）