特洛伊木马

定义

特洛伊木马是隐藏在正常程序之中、带有特殊功能的一段程序代码,属于恶意程序的一种,本身通常不具备自我复制能力^[1][3]。它常被归入后门程序一类,功能包括删除或篡改文件、获取口令、记录键盘输入等^[3]。名称来自古希腊特洛伊战争的传说:希腊军队久攻特洛伊城不下,便把士兵藏入巨大的木马,特洛伊人将木马拖入城中,入夜后藏身其中的士兵与城外军队里应外合攻下城池^[1][4]。木马与计算机病毒不同,它不具备感染其他文件的特征,隐蔽性主要来自伪装和潜伏^[1]。

原理

多数木马采用客户端/服务器架构。服务端部分被放置到目标主机上,控制端掌握在攻击方手中;服务端运行后会开启一个或多个通信端口,等待或主动连接控制端,连接建立后双方即可交换指令和数据^[1]。按连接发起方的不同,可分为由控制端主动连接服务端的正向连接型,以及由服务端主动外连控制端的反向连接型,后者较易穿过防火墙的限制^[5][6]。

为降低被察觉的概率,木马在植入、加载、隐藏和通信4个环节都使用专门手法。常见伪装方式包括修改文件图标、把自身捆绑到可执行安装程序中、运行后弹出虚假的出错提示,以及在安装完成后删除原始文件以减少痕迹^[1]。在隐藏方面则出现进程注入、动态链接库劫持、利用 ICMP 等协议封装通信等技术^[3][6]。连接成功后,控制端可以对目标主机执行增删管理账户、抓取屏幕、编辑文件、修改安全设置等操作^[1]。

发展历程

第一代木马被认为出现在 1986 年,即伪装成共享软件 PC-Write 2.72 版本的 PC-Write 木马,运行后会造成硬盘被格式化,这一阶段尚无传播特征^[3]。1989 年出现的 AIDS 木马借助邮寄软盘扩散,运行后将硬盘加密锁死,已具备通过非网络途径传播的特点^[3]。

随互联网普及,木马转向以窃取口令和远程控制为主要目标,出现 Back Orifice 与国产的冰河等代表性程序,均采用网络客户端/服务器结构,被控制的主机成为攻击者进一步发起攻击的跳板^[3]。为绕过个人防火墙对独立联网程序的拦截,进程注入技术被广泛采用^[3]。2004 年前后,以改写二进制特征码为手段的免杀技术开始流传,2005 年自动化特征码定位工具公开后,变种数量迅速增长,促使杀毒厂商提出主动防御的思路^[3]。

应用

木马技术也用于合法的安全测试。渗透测试中可以利用木马的隐蔽性、自启动性和易植入性,检验目标网络对植入与远程控制的检测能力,从而评估防护措施是否有效^[6]。远程管理与远程监控软件在功能上与木马相近,区别在于是否取得被控方的知情与授权。

在防护一侧,对木马的识别依赖特征码匹配、行为监控与流量分析等手段,杀毒软件和主机防护产品均把木马列为查杀对象^[1]。

局限

木马的效果高度依赖运行环境与隐蔽程度。它必须在目标主机上被成功执行才能生效,一旦被使用者或安全软件发现,服务端进程、通信端口以及自启动项都可能被清除,控制随即中断^[1]。

基于端口监听或固定回连地址的正向连接型木马,其网络行为容易被个人防火墙识别和阻断,这是反向连接和进程注入等技术被引入的原因之一^[3]。此外,木马通常不具备像病毒那样感染其他文件的能力,传播范围受限于植入方式^[1]。

从防护角度看,基于特征码的检测对未知或经过免杀处理的变种识别能力有限,这也是主动防御、行为分析等方法被提出的背景^[3]。

参见

• 计算机病毒 —— 能自我复制并感染其他文件的恶意程序,与木马同属恶意程序范畴。

• 蠕虫 —— 可借助网络自行传播的恶意程序,常与木马并列讨论。

• 后门程序 —— 绕过正常认证、维持远程访问权限的程序,木马常被归入此类。

• 间谍软件 —— 秘密收集用户信息的软件,与木马在功能上有重叠。

• 渗透测试 —— 经授权模拟攻击以评估系统安全性的技术活动。

• 特洛伊战争 —— 木马名称所源出的古代战争传说。