本文目录一览：
- 1、蠕虫 木马 恶意代码 网页病毒 恶意网站 流氓软件等之间是怎么回事
- 2、330万台老年机被植入木马病毒，这些犯罪团伙将受到怎样的处罚？
- 3、中木马病毒银行卡钱可能被盗吗
- 4、特洛伊木马入通过什么途径入侵电脑,怎么才能彻底的清楚掉?
- 5、特洛译木马病毒的资料
蠕虫 木马 恶意代码 网页病毒 恶意网站 流氓软件等之间是怎么回事
1:木马..
马病毒源自古希腊特洛伊战争中著名的“木马计”而得名，顾名思义就是一种伪装潜伏的网络病毒，等待时机成熟就出来害人。
传染方式:通过电子邮件附件发出，捆绑在其他的程序中。
病毒特性:会修改注册表、驻留内存、在系统中安装后门程序、开机加载附带的木马。
木马病毒的破坏性:木马病毒的发作要在用户的机器里运行客户端程序，一旦发作，就可设置后门，定时地发送该用户的隐私到木马程序指定的地址，一般同时内置可进入该用户电脑的端口，并可任意控制此计算机，进行文件删除、拷贝、改密码等非法操作。
防范措施:用户提高警惕，不下载和运行来历不明的程序，对于不明来历的邮件附件也不要随意打开。
2.蠕虫病毒:..
凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒。所以从这个意义上说，蠕虫也是一种病毒！网络蠕虫病毒，作为对互联网危害严重的 一种计算机程序，其破坏力和传染性不容忽视。与传统的病毒不同，蠕虫病毒以计算机为载体，以网络为攻击对象！本文中将蠕虫病毒分为针对企业网络和个人用户2类，并从企业用户和个人用户两个方面探讨蠕虫病毒的特征和一些防范措施!
蠕虫病毒与一般病毒的异同
蠕虫也是一种病毒，因此具有病毒的共同特征。一般的病毒是需要的寄生的，它可以通过自己指令的执行，将自己的指令代码写到其他程序的体内，而被感染的文件就被称为”宿主”，例如，windows下可执行文件的格式为pe格式(Portable Executable)，当需要感染pe文件时，在宿主程序中，建立一个新节，将病毒代码写到新节中，修改的程序入口点等，这样，宿主程序执行的时候，就可以先执行病毒程序，病毒程序运行完之后，在把控制权交给宿主原来的程序指令。可见，病毒主要是感染文件，当然也还有像DIRII这种链接型病毒，还有引导区病毒。引导区病毒他是感染磁盘的引导区，如果是软盘被感染，这张软盘用在其他机器上后，同样也会感染其他机器，所以传播方式也是用软盘等方式。
蠕虫一般不采取利用pe格式插入文件的方法，而是复制自身在互联网环境下进行传播，病毒的传染能力主要是针对计算机内的文件系统而言，而蠕虫病毒的传染目标是互联网内的所有计算机.局域网条件下的共享文件夹，电子邮件email，网络中的恶意网页，大量存在着漏洞的服务器等都成为蠕虫传播的良好途径。网络的发展也使得蠕虫病毒可以在几个小时内蔓延全球!而且蠕虫的主动攻击性和突然爆发性将使得人们手足无策!
3...恶意代码 网页病毒 恶意网站 流氓软件
不必要代码（Unwanted Code）是指没有作用却会带来危险的代码，一个最安全的定义是把所有不必要的代码都看作是恶意的，不必要代码比恶意代码具有更宽泛的含义，包括所有可能与某个组织安全策略相冲突的软件。
一、恶意代码的特征
恶意代码（Malicious code）或者叫恶意软件Malware（Malicious Software）具有如下共同特征：
（1） 恶意的目的
（2） 本身是程序
（3） 通过执行发生作用
有些恶作剧程序或者游戏程序不能看作是恶意代码。对滤过性病毒的特征进行讨论的文献很多，尽管它们数量很多，但是机理比较近似，在防病毒程序的防护范围之内，更值得注意的是非滤过性病毒。
二、非滤过性病毒
非过滤性病毒包括口令破解软件、嗅探器软件、键盘输入记录软件，远程特洛伊和谍件等等，组织内部或者外部的攻击者使用这些软件来获取口令、侦察网络通信、记录私人通信，暗地接收和传递远程主机的非授权命令，而有些私自安装的P2P软件实际上等于在企业的防火墙上开了一个口子。 非滤过性病毒有增长的趋势，对它的防御不是一个简单的任务。与非过滤性病毒病毒有关的概念包括：
（1）谍件
谍件（Spyware）与商业产品软件有关，有些商业软件产品在安装到用户机器上的时候，未经用户授权就通过Internet连接，让用户方软件与开发商软件进行通信，这部分通信软件就叫做谍件。用户只有安装了基于主机的防火墙，通过记录网络活动，才可能发现软件产品与其开发商在进行定期通讯。谍件作为商用软件包的一部分，多数是无害的，其目的多在于扫描系统，取得用户的私有数据。
（2）远程访问特洛伊
远程访问特洛伊RAT 是安装在受害者机器上，实现非授权的网络访问的程序，比如NetBus 和SubSeven 可以伪装成其他程序，迷惑用户安装，比如伪装成可以执行的电子邮件，或者Web下载文件，或者游戏和贺卡等，也可以通过物理接近的方式直接安装。
（3）Zombies
恶意代码不都是从内部进行控制的，在分布式拒绝服务攻击中，Internet的不少 站点受到其他主机上 zombies程序的攻击。zombies程序可以利用网络上计算机系统的安全漏洞将自动攻击脚本安装到多台主机上，这些主机成为受害者而听从攻击者指挥，在某个时刻，汇集到一起去再去攻击其他的受害者。
（4）破解和嗅探程序和网络漏洞扫描
口令破解、网络嗅探和网络漏洞扫描是公司内部人员侦察同事，取得非法的资源访问权限的主要手段，这些攻击工具不是自动执行， 而是被隐蔽地操纵。
（5）键盘记录程序
某些用户组织使用PC活动监视软件监视使用者的操作情况，通过键盘记录，防止雇员不适当的使用资源，或者收集罪犯的证据。这种软件也可以被攻击者用来进行信息刺探和网络攻击。
（6）P2P 系统.
基于Internet的点到点 （peer-to-peer）的应用程序比如 Napster、Gotomypc、AIM 和 Groove，以及远程访问工具通道像Gotomypc，这些程序都可以通过HTTP或者其他公共端口穿透防火墙，从而让雇员建立起自己的VPN，这种方式对于组织或者公司有时候是十分危险的。因为这些程序首先要从内部的PC 远程连接到外边的Gotomypc 主机，然后用户通过这个连接就可以访问办公室的PC。这种连接如果被利用，就会给组织或者企业带来很大的危害。
（7）逻辑炸弹和时间炸弹
逻辑炸弹和时间炸弹是以破坏数据和应用程序为目的的程序。一般是由组织内部有不满情绪的雇员植入， 逻辑炸弹和时间炸弹对于网络和系统有很大程度的破坏，Omega 工程公司的一个前网络管理员Timothy Lloyd，1996年引发了一个埋藏在原雇主计算机系统中的软件逻辑炸弹,导致了1千万美元的损失，而他本人最近也被判处41个月的监禁。
三、恶意代码的传播手法
恶意代码编写者一般利用三类手段来传播恶意代码：软件漏洞、用户本身或者两者的混合。有些恶意代码是自启动的蠕虫和嵌入脚本，本身就是软件，这类恶意代码对人的活动没有要求。一些像特洛伊木马、电子邮件蠕虫等恶意代码，利用受害者的心理操纵他们执行不安全的代码；还有一些是哄骗用户关闭保护措施来安装恶意代码。
利用商品软件缺陷的恶意代码有Code Red 、KaK 和BubbleBoy。它们完全依赖商业软件产品的缺陷和弱点，比如溢出漏洞和可以在不适当的环境中执行任意代码。像没有打补丁的IIS软件就有输入缓冲区溢出方面的缺陷。利用Web 服务缺陷的攻击代码有Code Red、Nimda，Linux 和Solaris上的蠕虫也利用了远程计算机的缺陷。
恶意代码编写者的一种典型手法是把恶意代码邮件伪装成其他恶意代码受害者的感染报警邮件，恶意代码受害者往往是Outlook地址簿中的用户或者是缓冲区中WEB页的用户，这样做可以最大可能的吸引受害者的注意力。一些恶意代码的作者还表现了高度的心理操纵能力，LoveLetter 就是一个突出的例子。一般用户对来自陌生人的邮件附件越来越警惕，而恶意代码的作者也设计一些诱饵吸引受害者的兴趣。附件的使用正在和必将受到网关过滤程序的限制和阻断，恶意代码的编写者也会设法绕过网关过滤程序的检查。使用的手法可能包括采用模糊的文件类型，将公共的执行文件类型压缩成zip文件等等。
对聊天室IRC（Internet Relay Chat）和即时消息IM(instant messaging)系统的攻击案例不断增加，其手法多为欺骗用户下载和执行自动的Agent软件，让远程系统用作分布式拒绝服务(DDoS)的攻击平台，或者使用后门程序和特洛伊木马程序控制之。
四、恶意代码传播的趋势
恶意代码的传播具有下面的趋势：
（1）种类更模糊
恶意代码的传播不单纯依赖软件漏洞或者社会工程中的某一种，而可能是它们的混合。比如蠕虫产生寄生的文件病毒，特洛伊程序，口令窃取程序，后门程序，进一步模糊了蠕虫、病毒和特洛伊的区别。
（2）混合传播模式
“混合病毒威胁”和“收敛（convergent）威胁”的成为新的病毒术语，“红色代码”利用的是IIS的漏洞，Nimda实际上是1988年出现的Morris 蠕虫的派生品种，它们的特点都是利用漏洞，病毒的模式从引导区方式发展为多种类病毒蠕虫方式，所需要的时间并不是很长。
（3）多平台
多平台攻击开始出现，有些恶意代码对不兼容的平台都能够有作用。来自Windows的蠕虫可以利用Apache的漏洞，而Linux蠕虫会派生exe格式的特洛伊。
（4） 使用销售技术
另外一个趋势是更多的恶意代码使用销售技术，其目的不仅在于利用受害者的邮箱实现最大数量的转发，更重要的是引起受害者的兴趣，让受害者进一步对恶意文件进行操作，并且使用网络探测、电子邮件脚本嵌入和其它不使用附件的技术来达到自己的目的。
恶意软件（malware）的制造者可能会将一些有名的攻击方法与新的漏洞结合起来，制造出下一代的WM/Concept, 下一代的Code Red, 下一代的 Nimda。对于防病毒软件的制造者，改变自己的方法去对付新的威胁则需要不少的时间。
（5）服务器和客户机同样遭受攻击
对于恶意代码来说服务器和客户机的区别越来越模糊，客户计算机和服务器如果运行同样的应用程序，也将会同样受到恶意代码的攻击。象IIS服务是一个操作系统缺省的服务，因此它的服务程序的缺陷是各个机器都共有的，Code Red的影响也就不限于服务器，还会影响到众多的个人计算机。
（6）Windows操作系统遭受的攻击最多
Windows操作系统更容易遭受恶意代码的攻击，它也是病毒攻击最集中的平台，病毒总是选择配置不好的网络共享和服务作为进入点。其它溢出问题，包括字符串格式和堆溢出，仍然是滤过性病毒入侵的基础。病毒和蠕虫的攻击点和附带功能都是由作者来选择的。另外一类缺陷是允许任意或者不适当的执行代码， 随着scriptlet.typelib 和Eyedog漏洞在聊天室的传播，JS/Kak利用IE/Outlook的漏洞，导致两个ActiveX控件在信任级别执行，但是它们仍然在用户不知道的情况下，执行非法代码。最近的一些漏洞帖子报告说Windows Media Player可以用来旁路Outlook 2002的安全设置，执行嵌入在HTML 邮件中的JavaScript 和 ActiveX代码。这种消息肯定会引发黑客的攻击热情。利用漏洞旁路一般的过滤方法是恶意代码采用的典型手法之一。
（7）恶意代码类型变化
此外，另外一类恶意代码是利用MIME边界和uuencode头的处理薄弱的缺陷，将恶意代码化装成安全数据类型，欺骗客户软件执行不适当的代码。
五、恶意代码相关的几个问题
（1）病毒防护没有标准的方法，专家认为比较安全的方式是每个星期更新一次病毒库，但是特殊情况下，需要更加频繁地更新。1999年Y2K 病毒库需要每天更新，而2000年五月，为了对付LoveLetter病毒的变种，一天就要几次更新病毒库。需要指出的是，有时候这种频繁的更新对于防护效果的提高很小。
（2）用户对于Microsoft的操作系统和应用程序抱怨很多，但是病毒防护工具本身的功能实在是应该被最多抱怨的一个因素。
（3）启发式的病毒搜索没有被广泛地使用，因为清除一个病毒比调整启发式软件的花费要小，而被比喻成“治疗比疾病本身更糟糕”。
（4）企业在防火墙管理，电子邮件管理上都花费了不小的精力，建议使用单独的人员和工具完成这个任务。
（5） 恶意代码攻击方面的数据分析做得很不够，尽管有些病毒扫描软件有系统活动日志，但是由于文件大小限制，不能长期保存。同时对于恶意代码感染程度的度量和分析做得也不够，一般的企业都不能从战术和战略两个层次清晰地描述自己公司的安全问题。
（6） 病毒扫描软件只是通知用户改变设置，而不是自动去修改设置。
（7） 病毒防护软件本身就有安全缺陷，容易被攻击者利用，只是由于害怕被攻击，病毒软件厂商不愿意谈及。
（8）许多的软件都是既可以用在安全管理，也可以用在安全突破上，问题在于意图，比如漏洞扫描程序和嗅探程序就可以被攻击者使用。
恶意代码的传播方式在迅速地演化，从引导区传播，到某种类型文件传播，到宏病毒传播，到邮件传播，到网络传播，发作和流行的时间越来越短。Form引导区病毒1989年出现，用了一年的时间流行起来，宏病毒 Concept Macro 1995年出现，用了三个月的时间流行， LoveLetter用了大约一天，而 Code Red用了大约90分钟， Nimda 用了不到 30分钟. 这些数字背后的规律是很显然的：在恶意代码演化的每个步骤，病毒和蠕虫从发布到流行的时间都越来越短。
恶意代码本身也越来越直接的利用操作系统或者应用程序的漏洞， 而不仅仅依赖社会工程。服务器和网络设施越来越多地成为攻击目标。L10n, PoisonBOx, Code Red 和 Nimda等蠕虫程序，利用漏洞来进行自我传播，不再需要搭乘其他代码
330万台老年机被植入木马病毒，这些犯罪团伙将受到怎样的处罚？
一般情况下我们听到一些网络病毒可能都是存在于一些智能手机或者电脑里边儿，但是没想到有一些不法分子把眼光看到了老人机里边儿，在这些老年机里边儿植入了一些病毒，从而为自己谋取利益，这个犯罪团伙在330万台老人机里边儿植入了病毒。在短短的时间里边儿就为自己谋利800万元。这样的行为可以说极为的恶劣，要知道这些老年人本来对于手机就一窍不通，他们通过病毒可以轻易的获取老年机里边儿的一些信息，从而达到为自己获利的目的。
正好这个犯罪团伙已经被全部端掉。在整个的调查过程当中，警方发现这个团伙的人员规模非常大，足足有七十多人参与到了这项案件当中。在最后，法院根据警方提供的一些证据以及被害者的损失，对其主要组织者，判处了四年零六个月的有期徒刑。同时追回了之前大部分的违法所得，同时对组织者处以了60万的罚款。这样的处罚可以说是非常严重的，也希望能够通过这样的处罚。告诫那些蠢蠢欲动的人，千万不要再动坏心思，把自己的想法放在这些老年人身上。
其实他们之所以可以在短时间内谋取这么大量的资金，就是因为利用老年人不懂手机。在大量的老年手机里边儿植入病毒，然后截取他们的手机验证码。这些手机验证码其实都是被放在了一些对码平台里边儿，每一条验证码都有其对应的价格。而这些老年机里边儿是根本收不到验证码的，因为验证码一旦发到手机上就会立刻被屏蔽，同时传输到他们已经准备好的后台里边儿。通过这样的操作，他们在短时间里边儿谋取了大量的利益，但是也给这些老年人造成了很大的困扰，那就是他们没有办法接收短信。
中木马病毒银行卡钱可能被盗吗
手机中了木马病毒，如果没有绑定手机的银行卡不会被盗，如果手机绑定了银行卡也不会被盗刷原因如下：
1.对方无法验证你的身份
2.对方不知道你的支付密码
3.如果钱财被盗，手机是可以收到提示短信的，此时你可以报警
最重要的是，如果手机中病毒了首先应该取消绑定了的银行卡
拓展资料：
科技飞速发展的时代我们应该如何正确使用银行卡，如何防止钱财被盗刷。
1.养成安全用卡习惯
风险提示称，银行卡被盗刷的重要原因之一是持卡人卡片被侧录、个人信息资料泄露或不当用卡。消费者要提高交易安全意识，通过正规渠道办卡用卡，不轻易将个人资料转交他人代办。坚决不向他人转借或出租自己的信用卡、储蓄卡，以免被不法分子利用产生不良后果。在刷卡时，不要让卡脱离视线范围，留意刷卡次数，使用后及时收回。对废旧或不再使用的银行卡，要及时办理销户，不随意丢弃。
2.注意保护个人信息安全
网络支付在给生产生活带来便利的同时，也伴生着一些风险。不法分子非法获取持卡人的网络交易身份识别信息、交易验证信息，就可能实现盗刷。风险提示提醒消费者要保护金融账户的登录密码、取款密码和验证码等个人信息安全，不向第三方提供。同时，注意辨识网络服务渠道的真实性，避免信息被不法分子通过“钓鱼”手段窃取，比如对陌生来电、短信和不明链接保持警惕，不下载非官方APP，不在不安全的网络界面或者网络环境中登记身份证、银行卡、密码、验证码等个人信息。
3.固定证据并及时报案
风险提示建议消费者开通余额变动提醒，及时掌握账户的交易信息。消费者如遭遇银行卡盗刷，应立即向发卡行告知交易异常，及时冻结账户或挂失以防止损失扩大，并立即报案。同时，可通过就近的ATM或POS机刷卡交易，以保存真卡所在地、交易行为地等证据材料，证明卡片在本人手中，盗刷消费非本人所为。
特洛伊木马入通过什么途径入侵电脑,怎么才能彻底的清楚掉?
楼主很遗憾你只有格盘了~~~！
对于用户：
了解病毒及其一般传播方式。在从诸如 Internet、联机公告牌或者电子邮件附件等途径加载程序时，都可能无意地把病毒带入网络。
了解病毒的常见征兆：出现在屏幕上的异常邮件、系统性能降低、数据丢失以及无法访问硬驱动器。如果注意到计算机出现这些问题，应立即运行病毒检测软件以最大程度地减小丢失数据的风险。
软盘上的程序也可能含有病毒。在复制或打开所有软盘上的文件，或者用它们启动计算机之前，应当扫描软盘。
至少备有一个商用病毒检测程序，并用它定期地检查计算机病毒。因为每天都在产生新的病毒，所以请务必获得有效的最新程序病毒签名文件。
对于管理员：
将新程序放在网络上之前，请先把程序安装在未连入网络的计算机上，然后用病毒检测软件进行检查。（尽管建议以用户组成员身份登录到计算机，但是在以本地管理员组成员的身份登录时，还是应该安装程序，因为用户组成员安装程序时并不能保证成功安装全部程序。）
不能让用户以管理员组成员身份在他们自己的计算机上登录，因为一旦通过拥有管理员权限的帐户激活了病毒，病毒将产生更大的损害。用户应以“用户”组成员身份登录，这样他们只有执行自身任务所需的权限。
要求用户创建更保险的密码，使病毒不会轻易推测出密码而获得管理员权限。（可通过“组策略”管理单元设置密码需求。）有关创建安全密码的详细信息，请单击“相关主题”。
定期备份文件，以便最大限度地减小病毒攻击时造成的损害。
特洛伊木马是指隐藏在正常程序中的一段具有特殊功能的程序，其隐蔽性极好，不易察觉，是一种极为危险的网络攻击手段。为了更好地了解木马，我们先从木马的发展历史谈起。
发展历史
木马的发展可谓惊人，功能不断完善，行动更加隐蔽。趋势科技总结原因如下：第一，添加了“后门”功能。所谓后门就是一种可以为计算机系统秘密开启访问入口的程序。一旦被安装，这些程序就能够使攻击者绕过安全程序进入系统。该功能的目的就是收集系统中的重要信息，例如，财务报告、口令及信用卡号。此外，攻击者还可以利用后门控制系统，使之成为攻击其他计算机的帮凶。由于后门是隐藏在系统背后运行的，因此很难被检测到。它们不像病毒和蠕虫那样通过消耗内存而引起注意。第二，添加了击键记录功能。从名称上就可以知道，该功能主要是记录用户所有的击键内容。一定时间后，木马会将击键记录的日志文件发送给恶意用户。恶意用户可以从中找到用户名、口令以及信用卡号。
其中最著名的就是BO2000（BackOrifice）了。它是功能最全的TCP/IP构架的攻击工具，可以搜集信息，执行系统命令，重新设置机器，重新定向网络的客户端/服务器应用程序。感染BO2000后，机器就完全在别人的控制之下，黑客成了超级用户，用户的所有操作都可由BO2000自带的“秘密摄像机”录制成“录像带”。
此外，国产的冰河木马也是一个代表作。它具有简单的中文使用界面，且只有少数流行的反病毒防火墙才能查处冰河的存在。冰河的功能比起国外的木马程序来一点也不逊色。它可以自动跟踪目标机器的屏幕变化，可以完全模拟键盘及鼠标输入，即在使被控制端屏幕变化和监控端产生同步的同时，被监控端的一切键盘及鼠标操作将反映在控制端的屏幕。它可以记录各种口令信息，包括开机口令、屏保口令、各种共享资源口令以及绝大多数在对话框中出现过的口令信息；它可以获取系统信息；还可以进行注册表操作，包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作。
特征和行为
就像电影中展现的一样，特洛伊木马程序表面上是无害的，甚至对没有警戒的用户还是颇有吸引力。趋势科技提醒广大电脑使用者：它们经常隐藏在游戏或图形软件中，但它们却隐藏着恶意。与病毒不同，特洛伊木马不复制自己。一个被木马程序感染的计算机系统将会表现出不寻常的行为或运行得比平时要慢。可能会有一个或多个不寻常的任务在运行（这个症状通常可以通过使用任务管理器或相似的工具查出），或者对计算机的注册表和其他配置文件进行修改。最有，还可能有证据显示，电子邮件信件会在用户不知情的情况下被发送。
传播途径
由于木马是一个非自我复制的恶意代码，因此它们需要依靠用户向其他人发送它们自己的拷贝。木马可以作为电子邮件附件传播，或者它们可能隐藏在用户与其他用户进行交流的文档和其他文件中。它们还可以被其他恶意代码所携带，如蠕虫。最后，木马有时也会隐藏在从互联网上下载的捆绑的免费软件中。当用户安装这个软件时，木马就会在后台被自动秘密安装。
预防
趋势科技安全专家表示，预防其实很简单，就是不要执行任何来历不明的软件或程序，不管是邮件中还是Internet上下载到的。在下载软件时，一定要从正规的网站上下载。针对计算机中的个人敏感数据（口令、信用卡账号等），一定要妥善保护。趋势科技的网络安全个人版防毒软件就针对用户的敏感数据，特别增加了个人私密数据保护功能。利用该功能可将个人重要信息列入保护状态，避免不当外泄。同特洛伊城的人们一样，计算机中了马的人都是自己把马牵回家的，真是“引马入室”。觉得可疑时一定要先检查，再使用。上网的计算机必备防毒软件，一个好的杀毒软件也可以查到绝大多数木马程序，但一定要记得时时更新代码。
特洛译木马病毒的资料
一、初识特洛伊木马
特洛伊木马是一种恶意程序，它们悄悄地在宿主机器上运行，就在用户毫无察觉的情况下，让攻击者获得了远程访问和控制系统的权限。一般而言，大多数特洛伊木马都模仿一些正规的远程控制软件的功能，如Symantec的pcAnywhere，但特洛伊木马也有一些明显的特点，例如它的安装和操作都是在隐蔽之中完成。攻击者经常把特洛伊木马隐藏在一些游戏或小软件之中，诱使粗心的用户在自己的机器上运行。最常见的情况是，上当的用户要么从不正规的网站下载和运行了带恶意代码的软件，要么不小心点击了带恶意代码的邮件附件。
大多数特洛伊木马包括客户端和服务器端两个部分。攻击者利用一种称为绑定程序的工具将服务器部分绑定到某个合法软件上，诱使用户运行合法软件。只要用户一运行软件，特洛伊木马的服务器部分就在用户毫无知觉的情况下完成了安装过程。通常，特洛伊木马的服务器部分都是可以定制的，攻击者可以定制的项目一般包括：服务器运行的IP端口号，程序启动时机，如何发出调用，如何隐身，是否加密。另外，攻击者还可以设置登录服务器的密码、确定通信方式。
服务器向攻击者通知的方式可能是发送一个email，宣告自己当前已成功接管的机器；或者可能是联系某个隐藏的Internet交流通道，广播被侵占机器的IP地址；另外，当特洛伊木马的服务器部分启动之后，它还可以直接与攻击者机器上运行的客户程序通过预先定义的端口进行通信。不管特洛伊木马的服务器和客户程序如何建立联系，有一点是不变的，攻击者总是利用客户程序向服务器程序发送命令，达到操控用户机器的目的。
特洛伊木马攻击者既可以随心所欲地查看已被入侵的机器，也可以用广播方式发布命令，指示所有在他控制之下的特洛伊木马一起行动，或者向更广泛的范围传播，或者做其他危险的事情。实际上，只要用一个预先定义好的关键词，就可以让所有被入侵的机器格式化自己的硬盘，或者向另一台主机发起攻击。攻击者经常会用特洛伊木马侵占大量的机器，然后针对某一要害主机发起分布式拒绝服务攻击（Denial of Service，即DoS），当受害者觉察到网络要被异乎寻常的通信量淹没，试图找出攻击者时，他只能追踪到大批懵然不知、同样也是受害者的DSL或线缆调制解调器用户，真正的
二、极度危险的恶意程序攻击者早就溜之大吉。
对于大多数恶意程序，只要把它们删除，危险就算过去，威胁也不再存在，但特洛伊木马有些特殊。特洛伊木马和病毒、蠕虫之类的恶意程序一样，也会删除或修改文件、格式化硬盘、上传和下载文件、骚扰用户、驱逐其他恶意程序，例如，经常可以看到攻击者霸占被入侵机器来保存游戏或攻击工具，用户所有的磁盘空间几乎都被侵占殆尽，但除此之外，特洛伊木马还有其独一无二的特点——窃取内容，远程控制——这使得它们成为最危险的恶意软件。
首先，特洛伊木马具有捕获每一个用户屏幕、每一次键击事件的能力，这意味着攻击者能够轻松地窃取用户的密码、目录路径、驱动器映射，甚至医疗记录、银行帐户和信用卡、个人通信方面的信息。如果PC带有一个麦克风，特洛伊木马能够窃听谈话内容。如果PC带有摄像头，许多特洛伊木马能够把它打开，捕获视频内容——在恶意代码的世界中，目前还没有比特洛伊木马更威胁用户隐私的，凡是你在PC前所说、所做的一切，都有可能被记录。
一些特洛伊木马带有包嗅探器，它能够捕获和分析流经网卡的每一个数据包。攻击者可以利用特洛伊木马窃取的信息设置后门，即使木马后来被清除了，攻击者仍可以利用以前留下的后门方便地闯入。
其次，如果一个未经授权的用户掌握了远程控制宿主机器的能力，宿主机器就变成了强大的攻击武器。远程攻击者不仅拥有了随意操控PC本身资源的能力，而且还能够冒充PC合法用户，例如冒充合法用户发送邮件、修改文档，当然还可以利用被侵占的机器攻击其他机器。二年前，一个家庭用户请我帮忙，要我帮他向交易机构证明他并没有提交一笔看来明显亏损的股票交易。交易机构确实在该笔交易中记录了他的PC的IP地址，而且在他的浏览器缓冲区中，我也找到了该笔有争议的交易的痕迹。另外，我还找到了SubSeven（即Backdoor_G）特洛伊木马的迹象。虽然没有证据显示出特洛伊木马与这笔令他损失惨重的股票交易直接有关，但可以看出交易发生之时特洛伊木马正处于活动状态。
三、特洛伊木马的类型
常见的特洛伊木马，例如Back Orifice和SubSeven等，都是多用途的攻击工具包，功能非常全面，包括捕获屏幕、声音、视频内容的功能。这些特洛伊木马可以当作键记录器、远程控制器、FTP服务器、HTTP服务器、Telnet服务器，还能够寻找和窃取密码。攻击者可以配置特洛伊木马监听的端口、运行方式，以及木马是否通过email、IRC或其他通信手段联系发起攻击的人。一些危害大的特洛伊木马还有一定的反侦测能力，能够采取各种方式隐藏自身，加密通信，甚至提供了专业级的API供其它攻击者开发附加的功能。由于功能全面，所以这些特洛伊木马的体积也往往较大，通常达到100 KB至300 KB，相对而言，要把它们安装到用户机器上而不引起任何人注意的难度也较大。
对于功能比较单一的特洛伊木马，攻击者会力图使它保持较小的体积，通常是10 KB到30 KB，以便快速激活而不引起注意。这些木马通常作为键记录器使用，它们把受害用户的每一个键击事件记录下来，保存到某个隐藏的文件，这样攻击者就可以下载文件分析用户的操作了。还有一些特洛伊木马具有FTP、Web或聊天服务器的功能。通常，这些微型的木马只用来窃取难以获得的初始远程控制能力，保障最初入侵行动的安全，以便在不太可能引起注意的适当时机上载和安装一个功能全面的大型特洛伊木马。
随便找一个Internet搜索网站，搜索一下关键词Remote Access Trojan，很快就可以得到数百种特洛伊木马——种类如此繁多，以至于大多数专门收集特洛伊木马的Web网站不得不按照字母顺序进行排列，每一个字母下有数打甚至一百多个木马。下面我们就来看看两种最流行的特洛伊木马：Back Orifice和SubSeven。
■ Back Orifice
1998年，Cult of the Dead Cow开发了Back Orifice。这个程序很快在特洛伊木马领域出尽风头，它不仅有一个可编程的API，还有许多其他新型的功能，令许多正规的远程控制软件也相形失色。Back Orifice 2000（即BO2K）按照GNU GPL（General Public License）发行，希望能够吸引一批正规用户，以此与老牌的远程控制软件如pcAnywhere展开竞争。
但是，它默认的隐蔽操作模式和明显带有攻击色彩的意图使得许多用户不太可能在短时间内接受。攻击者可以利用BO2K的服务器配置工具可以配置许多服务器参数，包括TCP或UDP、端口号、加密类型、秘密激活（在Windows 9x机器上运行得较好，在Windows NT机器上则略逊一筹）、密码、插件等。
Back Orifice的许多特性给人以深刻的印象，例如键击事件记录、HTTP文件浏览、注册表编辑、音频和视频捕获、密码窃取、TCP/IP端口重定向、消息发送、远程重新启动、远程锁定、数据包加密、文件压缩，等等。Back Orifice带有一个软件开发工具包（SDK），允许通过插件扩展其功能。
默认的bo_peep.dll插件允许攻击者远程控制机器的键盘和鼠标。就实际应用方面而言，Back Orifice对错误的输入命令非常敏感，经验不足的新手可能会使它频繁地崩溃，不过到了经验丰富的老手那里，它又会变得驯服而又强悍。
■ SubSeven
SubSeven可能比Back Orifice还要受欢迎，这个特洛伊木马一直处于各大反病毒软件厂商的感染统计榜前列。SubSeven可以作为键记录器、包嗅探器使用，还具有端口重定向、注册表修改、麦克风和摄像头记录的功能。图二显示了一部分SubSeven的客户端命令和服务器配置选项。
SubSeven具有许多令受害者难堪的功能：攻击者可以远程交换鼠标按键，关闭/打开Caps Lock、Num Lock和Scroll Lock，禁用Ctrl+Alt+Del组合键，注销用户，打开和关闭CD-ROM驱动器，关闭和打开监视器，翻转屏幕显示，关闭和重新启动计算机，等等。
SubSeven利用ICQ、IRC、email甚至CGI脚本和攻击发起人联系，它能够随机地更改服务器端口，并向攻击者通知端口的变化。另外，SubSeven还提供了专用的代码来窃取AOL Instant Messenger（AIM）、ICQ、RAS和屏幕保护程序的密码。
四、检测和清除特洛伊木马
如果一个企业网络曾经遭受病毒和Email蠕虫的肆虐，那么这个网络很可能也是特洛伊木马的首选攻击目标。由于木马会被绑定程序和攻击者加密，因此对于常规的反病毒软件来说，查找木马要比查找蠕虫和病毒困难得多。另一方面，特洛伊木马造成的损害却可能远远高于普通的蠕虫和病毒。因此，检测和清除特洛伊木马是系统管理员的首要任务。
要反击恶意代码，最佳的武器是最新的、成熟的病毒扫描工具。扫描工具能够检测出大多数特洛伊木马，并尽可能地使清理过程自动化。许多管理员过分依赖某些专门针对特洛伊木马的工具来检测和清除木马，但某些工具的效果令人怀疑，至少不值得完全信任。不过，Agnitum的Tauscan确实称得上顶级的扫描软件，过去几年的成功已经证明了它的效果。
特洛伊木马入侵的一个明显证据是受害机器上意外地打开了某个端口，特别地，如果这个端口正好是特洛伊木马常用的端口，木马入侵的证据就更加肯定了。一旦发现有木马入侵的证据，应当尽快切断该机器的网络连接，减少攻击者探测和进一步攻击的机会。打开任务管理器，关闭所有连接到Internet的程序，例如Email程序、IM程序等，从系统托盘上关闭所有正在运行的程序。注意暂时不要启动到安全模式，启动到安全模式通常会阻止特洛伊木马装入内存，为检测木马带来困难。
大多数操作系统，当然包括Windows，都带有检测IP网络状态的Netstat工具，它能够显示出本地机器上所有活动的监听端口（包括UDP和TCP）。打开一个命令行窗口，执行“Netstat -a”命令就可以显示出本地机器上所有打开的IP端口，注意一下是否存在意外打开的端口（当然，这要求对端口的概念和常用程序所用的端口有一定的了解）。
五、处理遗留问题
检测和清除了特洛伊木马之后，另一个重要的问题浮现了：远程攻击者是否已经窃取了某些敏感信息？危害程度多大？要给出确切的答案很困难，但你可以通过下列问题确定危害程度。首先，特洛伊木马存在多长时间了？文件创建日期不一定值得完全信赖，但可资参考。利用Windows资源管理器查看特洛伊木马执行文件的创建日期和最近访问日期，如果执行文件的创建日期很早，最近访问日期却很近，那么攻击者利用该木马可能已经有相当长的时间了。
其次，攻击者在入侵机器之后有哪些行动？攻击者访问了机密数据库、发送Email、访问其他远程网络或共享目录了吗？攻击者获取管理员权限了吗？仔细检查被入侵的机器寻找线索，例如文件和程序的访问日期是否在用户的办公时间之外？
在安全要求较低的环境中，大多数用户可以在清除特洛伊木马之后恢复正常工作，只要日后努力防止远程攻击者再次得逞就可以了。至于安全性要求一般的场合，最好能够修改一下所有的密码，以及其他比较敏感的信息（例如信用卡号码等）。
在安全性要求较高的场合，任何未知的潜在风险都是不可忍受的，必要时应当调整管理员或网络安全的负责人，彻底检测整个网络，修改所有密码，在此基础上再执行后继风险分析。对于被入侵的机器，重新进行彻底的格式化和安装。
特洛伊木马造成的危害可能是非常惊人的，由于它具有远程控制机器以及捕获屏幕、键击、音频、视频的能力，所以其危害程度要远远超过普通的病毒和蠕虫。深入了解特洛伊木马的运行原理，在此基础上采取正确的防卫措施，只有这样才能有效减少特洛伊木马带来的危害。
参考资料：