特洛伊木马 (电脑)
 |
特洛伊木马（Trojan Horse）简称木马，在电脑领域中指的是一种后门程序，是骇客用来盗取其他用户的个人消息，甚至是远程控制对方的电子装置而加密制作，然后通过传播或者骗取目标执行该程序，以达到盗取密码等各种数据资料等目的。和病毒相似，木马程序有很强的隐秘性，会随著操作系统启动而启动。
名字由来
[编辑]“木马”这一名称来源于希腊神话特洛伊战争的特洛伊木马。攻城的希腊联军佯装撤退后留下一只木马，特洛伊人将其当作战利品带回城内。当特洛伊人为胜利而庆祝时，从木马中出来了一队希腊军队，他们悄悄打开城门，放进了城外的军队，最终攻克了特洛伊城。电脑中所说的木马与病毒一样也是一种有害的程序，其特征与特洛伊木马一样具有伪装性，表面上没有危害、甚至还附有用户需要的功能，却会在用户不经意间，对用户的电脑系统产生破坏或窃取数据，特别是用户的各种账户及口令等重要且需要保密的资讯，甚至控制用户的电脑系统。
原理
[编辑]一个完整的特洛伊木马套装程序包含两部分：服务端（伺服器部分）和客户端（控制器部分）。植入对方电脑的是服务端，而骇客正是利用客户端进入运行了服务端的电脑。运行了木马程序的服务端以后，会产生一个有着容易迷惑用户的名称的进程，暗中打开端口，向指定地点发送资料（如网络游戏的密码，即时通讯软件密码和用户上网密码等），骇客甚至可以利用这些打开的端口进入电脑系统。
特洛伊木马程序不能自动操作， 一个特洛伊木马程序是包含或者安装一个存心不良的程序，它可能看起来是有用或者有趣的计划（或者至少无害）对一不怀疑的用户来说，但是实际上有害。 特洛伊木马不会自动执行，它是暗含在某些用户感兴趣的文档中，用户下载时附带的。当用户执行文档程序时，特洛伊木马才会运行，资讯或文档才会被破坏和丢失。 特洛伊木马和后门不一样，后门指隐藏在程序中的秘密功能，通常是程式设计者为了能在日后随意进入系统而设置的。
特洛伊木马分为两种，“Universal”和“Transitive”，“Universal”是可以控制，“Transitive”是无法控制，刻死的操作。
特征
[编辑]特洛伊木马不经电脑用户准许就可获得电脑的使用权。程序容量十分轻小，执行时不会浪费太多资源，因此没有使用杀毒软件是难以发觉的；执行时很难阻止它的行动，执行后，立刻自动登录在系统启动区，之后每次在Windows加载时自动执行；或立刻自动变更文件名，甚至隐形；或马上自动复制到其他文件夹中，执行连用户本身都无法执行的动作；或浏览器自动连入奇怪或特定的网页。
一旦安装，木马程序可能会执行一系列恶意行为。许多木马倾向于联络一个或多个命令与控制(C2)伺服器并等待指令。由于个别的木马通常使用一组特定的端口进行通信，检测木马可能相对简单。此外，其他恶意软件可能会“接管”该木马，将其作为恶意行动的代理。[1]
发展
[编辑]木马程序技术发展可以说非常迅速。主要是有些年轻人出于好奇，或是急于显示自己实力，不断改进木马程序的编写。至今木马程序已经经历六代的改进：
- 第一代，是最原始的木马程序。主要是简单的密码窃取，通过电邮发送资讯等，具备木马最基本的功能。
- 第二代，在技术上有了很大的进步。
- 第三代，主要改进在数据传递技术方面，出现ICMP等类型的木马，利用畸形报文传递数据，增加杀毒软件查杀识别的难度。
- 第五代，驱动级木马。驱动级木马多数都使用大量的Rootkit技术来达到在深度隐藏的效果，并深入到内核空间的，感染后针对杀毒软件和网络防火墙进行攻击，可将系统SSDT初始化，导致杀毒防火墙失去效应。有的驱动级木马可驻留BIOS，并且很难查杀。
中毒症状
[编辑]木马的植入通常是利用操作系统的漏洞，绕过对方的防御措施（如防火墙）。中了特洛伊木马程序的电脑，因为资源被大量占用，速度会减慢，莫名当机，且用户资讯可能会被窃取，导致资料外泄等情况发生。
解决办法
[编辑]特洛伊木马大部分可以被杀毒软件识别清除。但很多时候，需要用户去手动清除某些文件，注册表项等。 不具有破坏防火墙功能的木马可以被防火墙拦截。
著名木马
[编辑]参见
[编辑]
- ^ Crapanzano, Jamie. Deconstructing SubSeven, the Trojan Horse of Choice (报告). SANS Institute. 2003 [2021-05-10]. （原始内容存档于2010-03-30）.