請問這是中木馬程式嗎?

hrf58 · 筆頭獅王 註冊時間: 2002-11-05 文章: 788 來自: TAIWAN

素大你好:
今天觀看雷電maild的log記錄,結果發現如下訊息

gigigi · 獅王 註冊時間: 2003-03-19 文章: 695 來自: TAIWAN

當心木馬叨走你的電腦機密(全)

當心木馬叨走你的電腦機密 (1/4)

這個月的壽星請注意，當你打開 Mail ，
背景音樂傳來生日快樂的歌聲，別太快流下感動的淚水，
當心特洛依木馬程式已經悄悄進駐你的電腦。

遭植入「木馬」初期並沒有任何異狀，
甚至還會沾沾自喜，除了上述的生日祝福外，
有隻木馬還會故意利用 MSN Messenger 胡亂示愛。

但實際上它已經潛伏在系統程式中，
並且秘密地進行"暗渡陳倉"工作，
尤其是遇到網路銀行木馬大盜，
它會在被害人輸入任何「帳號」、「密碼」等關鍵字時，
即會列入記錄，佔為己有，已備不時之需。

一隻木馬程式就能在網路上大行其"盜"，
究竟其有何通天本領呢？我們先從木馬程式的來源說起吧。

顧名思義特洛依木馬程式，源於希臘著名的神話「木馬屠城記」。

它可能偽裝成有趣或實用的工具程式，並以各式各樣吸引人的描述，
讓你下載或 Click 電子郵件附件檔，
接著便可登堂入室進入你的電腦搞破壞。

比如 PK Wear 的仿冒品 PKZ300.ZIP ，
在你下載程式之後，會格式化硬碟;
而THE CLASSIC EXAMPLE，則會藉著你打開 e-mail 附件檔，
自動播放 "生日快樂"歌時，取得你的密碼。

特洛伊木馬病毒的由來

話說風流的特洛伊王子，在遇上美麗的有夫之婦希臘皇后後，
竟無法自拔的將其誘拐回特洛伊國，
此舉竟引發了為期十年的特洛依大戰。

然而，這場歷經九年的大戰，為何在最後一年會竟終結在一隻木馬上呢？

原來，眼見特洛伊城久攻不下，於是希臘人便特製了一匹巨大的木馬，
打算來個『木馬屠城計』！

希臘人在木馬中精心安排了一批視死如歸的勇士，藉故戰敗撤退，
以便誘敵上勾。

果然，被敵軍撤退喜訊給弄得神智不清的特洛伊人哪知是計，
當晚便把木馬拉進城中，打算來個歡天喜地的慶功宴。

哪知道，就在大家興高采烈喝酒歡慶之際，木馬中的精銳諸將，
早已暗中打開城門，一舉來個裡應外合的大搶攻。

頓時之間，一個美麗的城市就變成了一堆瓦礫、焦土，而從此消失在歷史中。

後來對於那些會將自己偽裝成某種應用程式來吸引使用者下載或執行，
並進而破壞使用者電腦資料、造成使用者不便或竊取重要訊息的程式，
便稱之為「特洛伊木馬型」、「特洛伊型」或「木馬」病毒。
-----------------------------------------------------------------------------------

當心木馬叨走你的電腦機密 (2/4)

特洛伊木馬病毒的行為模式

和一般電腦病毒最大的不同是，特洛伊木馬型病毒並不會自我繁殖，
同時也不以感染其它檔案為主要的目的，
取而代之的是採用更直接的方式進入使用者電腦，
以伺機完成所希望達到的目的。

既然特洛伊木馬型病毒不會自我繁殖，
那麼病毒是如何能夠到達使用者的電腦中呢？

特洛伊木馬型病毒通常會被設計成一個具有吸引力的外表，
例如:工具程式、電動玩具、即時新聞連結等
能夠吸引使用者從網路下載或是轉寄給親朋好友的檔案，
病毒作者再將這樣的檔案上傳到各大FTP、BBS 或放在某個網站中。

所以一旦使用者不小心執行這類型的檔案之後，
一個特洛伊木馬病毒就被『種』到電腦系統中了，
至於病毒把自己『種』到電腦系統會做什麼事呢?
那就得看病毒作者如何來設計隻特洛伊病毒了。

一般而言，特洛伊木馬型病毒的設計都有其特殊目的，
通常可被歸納成以下三種行為模式：

破壞資料

早期出現的特洛伊木馬型都是以破壞使用者資料為主要目的。

尤其是在大部份的作業系統都還停留在 DOS 時代，
當時的特洛伊型病毒大部份都是以毀滅性的破壞為主，
所以往往使用者一執行到這類型的特洛伊程式，
病毒就會立刻格式化 (Format) 硬碟，
導致使用者的資料頓時付之一炬，
彷彿將整齣「木馬屠城記」活生生的再度搬上螢幕。

惡作劇

另外一種特洛伊木馬程式並不會破壞使用者的珍貴資料，
反之卻是一種惡作劇程式，當使用者執行到這種檔案時，

該程式就會出現警告訊息通知使用者的資料即將遭到刪除，
但使用者可能怎麼樣都無法把程式停止下來，

最後只有眼巴巴的看著所執行的程式一點一滴的將硬碟中所有檔案刪除掉，
或是看到格式化硬碟的完成百分比進度持續增加，
只恨自己當初不該逞一時之快而執行那個程式。

不過通常在你已經心灰意冷打算重灌系統時，
這時所執行的程式就會告訴你，剛才只是開個小玩笑而已 ....。

所以對於那些心臟不太好的朋友，
當遇到這種專以「惡作劇」為目的特洛伊木馬程式，
千萬記得要保持冷靜，以免到時候硬碟沒事而你的龍體卻有事，
事情可就嚴重啦!

不過話又說回來，
人人養成定期備份重要資料的習慣是很重要的。

竊取私人機密

過去的特洛伊型木馬型病毒多半都是屬於前面所介紹的兩種類型，
但是最近，特洛伊木馬型病毒開始有了另一種全新的型態出現，
那就是結合了網路駭客的技術，
而成為一種真正不具破壞力、卻又具有強大威脅性的可怕工具。

這類型的病毒往往華麗的外表下卻包藏禍心，當使用者執行過檔案後，
病毒就會將自己藏匿到系統核心部份，伺機竊取使用的網路帳戶、密碼資料。

更甚者還會利用使用者在連接Internet 的同時，
將這些重要資料傳送到Internet 上固定或隨機的E-Mail 位址或
Newsgroup 討論區中。

比如網路病毒Bugbear 熊熊蟲具有木馬程式側錄密碼，
以全球1200 家銀行的密碼主要行竊目標，
這份名單包含
JP Morgan Chase & Co, American Express Co,
Wachovia Corp, Bank of America Corp and Citibank NA. 等
赫赫有名的機構。
------------------------------------------------------------------------------------

當心木馬叨走你的電腦機密 (3/4)

特洛伊木馬病毒的入侵管道

在瞭解了特洛伊木馬型病毒的行為模式之後，
再讓我們看看幾比較有名的特洛伊木馬型病毒案例：

Internet 檔案下載

PKZIP 是以前DOS 時代著名的壓縮軟體，
同時也是WinZip 的前身，
而在網路上就曾經出現過號稱PKZIP 3.0 的程式讓使用者可以免費下載，
其實這個PKZIP 3.0 工具程式是一個不折不扣的特洛伊木馬病毒，
只要一執行它，硬碟將立刻遭到(FORMAT)格式化的命運。

為了澄清此一事件PKWare (PKZIP 的公司) Web Site，
還特別聲明指出：
「公司絕對沒有推出
PKZ300B.ZIP 或PKZIP300.ZIP 的新版本，
PKZIP DOS 版的程式直到 1996 年 11 月底為止,
共計推出 1.10、1.93、2.04c、2.04e、2.04g 等五個版本。」

1999年一個名為PICTURE.EXE 的32位元
特洛伊木馬程式在Internet 上被發現。

一旦執行過這支程式，
它會在Windows 目錄下自動產生一個名為note.exe 的檔案，
並在每次Windows 作業系統重新啟動時會將自己自動執行。

若使用者有安裝AOL client 的程式時，
note.exe 則會收集使用者AOL client 的帳號與密碼等資料，
並搜集瀏覽器 cache 中的網址(URL)記錄檔，加密打包再傳送出去。

Email 偽裝

「你怎麼那麼貪玩??」、「為什為要對我生氣??」、
「我試著用MSN Messenger 跟你線上交談，但是你一直都沒有上線。

我手邊有一個真的真的很重要的事情要告訴你！

趕緊開啟附件吧！」、
「你到底跑到哪去了??? 我一直打電話去你家，但你始終不在！

好吧！我只好把這件要緊的事寄給你，趕緊打開附件看看！」

這是CIANAM.A利用Microsoft Outlook 自動散發郵件，
附上表面上看起來是MP3 格式的附件，
其實是真正副檔名(尾碼名).EXE 被隱藏的障眼法，網友不得不慎。

這些以第二人稱為敍述物件的內文，乍看之下，
好像這封信真的是由熟悉的朋友發送的，

其實它的發行量可能已經不遜給一般媒體了。

其附件表面上看來是 .MPG 的尾碼名，
你別真的以為是 MP 3 文件，而迫不及待先聽為快，
一旦您執行以後，會發現其實這些檔案名稱都是偽裝的。

MSN等即時通訊

即時通訊軟體提供了線上對談的便利性，
也潛伏了相對的危機。MSN 與IRC 都曾雀屏中獎。

如果你突然收到心儀對象跟你示愛，
透過MSN 發送『I Love You !! 我愛你!』訊息，
得當心是不是MSNMASMSG.A 胡亂示愛。
如果有看似"熟人"以客氣的口吻要你幫他測試程式，
得當心RODOK.A所附的的下載連結暗藏玄機。

網路型病毒

熊熊蟲(Bugbear)具有關閉防火牆與防毒軟體功能，
不只是製造垃吸郵件阻塞交通而已，
它不但可能經由網路共用資料夾，
並兼有鍵盤側錄功能(Keylogger)的特性，
可竊取高度敏感資料，如密碼、帳號…等等，
並將其傳送給指定電腦，另外，被感染的電腦還會遭其遠端控制。

如果您上網進行電子交易，輸入了您的信用卡帳號、密碼等，
具有鍵盤側錄功能的木馬程式就會把它側錄下來，
傳到某個TCP/IP埠，接下來就可以利用您的個人私密資料為所欲為了。

熊熊蟲變種最特別的是含有超過千家的全球銀行網址，
有可能透過這些網址竊取銀行裡的重要機密資訊。
-------------------------------------------------------------------------------------

當心木馬叨走你的電腦機密 (4/4)

如何預防特洛伊木馬病毒的入侵

在瞭解了特洛伊病毒的行為模式及類型之後，
有沒有那些注意事項，可以避免自己那天也會碰上這樣的病毒呢?

不隨便上網亂抓資料

我們都知道Internet 是一個資訊的寶庫，
許多珍貴的資料都可以透過強大的搜尋引擎得到，
但是Internet 的便利性同時也是危險的來源，
Internet 網網相連，
所以我們根本無法知道搜尋而來的資料真正的來源是那裡，
若是冒然下載來路不明的檔案，
由其未經信賴的網站或FTP，往往就是病毒的來源所在。

不輕易開啟或執行來源不明 E-Mail 中的附加檔案

email 已經成為現代資訊人不可或缺的重要工具，
而附加檔案的傳輸更是使得email 日趨重要的因素之一，
然而在上述的例子之中，E-Mail 即是病毒入侵的帶源者，
所以當收到不知名寄件者所發的郵件，最好不要輕易開啟。

不過，善於偽裝的木馬，也可能偽裝成你的親友，
最好的方法是安裝具有個人防火牆的防毒軟體，
如趨勢科技的PC-cillin2004。

用雙手鍵入網址，別直接點擊email 上的網址連結

前幾期所述的網路銀行盜領案件，
也偽裝「色情網頁圖片文件」放到色情網站上，
只要被害人選超連結上網瀏覽，
就會立即中毒被載入「木馬」程式。

這個方法讓許多網路病毒得逞，尤其現在詐騙集團橫行，
除了打電話騙你到ATM 轉帳外，弄個假的網址也不是什麼難事。

如"WORM_Wallon.A" 即假冒好友傳送Yahoo 新聞的手法，
引誘好友開啟病毒信件中毒。

趨勢科技提醒網友，不要偷懶，再累，
都要用自己的雙手一一鍵入網址，千萬別直接Click使用email 上的網址連結。

別讓瀏覽器助手成為隱形殺手

除了定期更新電腦系統的修正程式外，
還要關閉或移除不需要的系統服務。

最近瀏覽器助手(BHO-Browser Helper Object)非常流行，
他們寄生在微軟的IE瀏覽器上，在工具列下拉選單出現，
或成為工具列。這類軟體會擅自更改首頁和書籤等設定，

而且一般用戶根本無法自行擺脫其控制，
甚至一些網路廣告入口網站還會無所不用其極地把網友重新導引至他們的網站。

這其中是否會有木馬程式隱藏其中，就難以得知了。

個人用戶選擇具有木馬還原技術的防毒軟體

上面所列舉的其實都只是一個大原則，
因為畢竟我們還是不可能因為害怕感染病毒，
所以從此不再下載任何檔案或開啟email 中的附加檔案，
所以另外一個最保險的方式就是選擇
一套信譽良好且功能完善的防毒軟體來保護自己，
才是一個根本的問題解決方式。

這也就是為什麼網路安全專家一再呼籲，
無論是個人用戶或企業用戶，
都得使用具有清除木馬程式或是電子郵件管理功能的網路安全產品，
比如趨勢科技的PC-cillin2004 的「特洛依木馬清除還原技術」
可以改善傳統的掃毒程式只能掃瞄病毒檔案並加以刪除，

卻無法徹底清除還原系統檔案的缺點，
對於目前知名的多種特洛伊木馬病毒，
都能自動偵測、徹底移除，並自動還原檔案，讓電腦即時恢復正常運作。

另外，其「私密資料安全防護」功能，可自行定義資料並加密保護，
以避免個人重要機密不當洩露。

_________________
我是新手,隨時把握人生方向!
著重實際面,不依戀品牌性!
商務行動工具:(2007年筆記型電腦) 環境配備
BENQ Joybook S73VG-T01
Joybook S73V 系列支援Windows Vista®最新作業系統,配備最新Intel® Core™2 Duo處理器及ATI® Mobility™ Radeon® X1600獨立顯示晶片;融入“極致感官新境界”概念重新創造筆記型電腦在“視 (see)”、“聽 (Hear)”與“觸感 (Touch)”上，更高層次、更舒適愉悅的感受。

Arnor · 發表於: 星期一十二月 03, 2007 10:19 am 文章標題:

從寄兩次都同個email asen599.chen@msa.hinet.net 來看
我並不認為是木馬

倘若這種作有一直在進行, 開下 Log 設定的外寄信件備份,
找到它寄的是什麼信, 或許能知道是哪個軟體在寄
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/