如何保护您的 PC 免受 XWorm 和 NotDoor 等隐形恶意软件的侵害

网络安全已成为日常问题，然而， 许多威胁仍然未被注意到 针对用户和防御工具的攻击。这些威胁中包括所谓的“隐形恶意软件”，这是一套目标很简单的技术： 隐藏在显眼的地方并掩盖他们的踪迹 尽可能长时间保持活跃。

我们讨论的方法远非科幻小说，而是已经在流传的方法： 混入系统的 rootkit 直到 移动木马 能够模拟银行屏幕或进行监视，而无需我们接触任何东西。当然，还有 零点击攻击 以及在操作系统重新安装后仍能继续使用的固件中的极端情况。

“隐形恶意软件”是什么意思？

当我们谈论“隐形”时，并不是说代码实际上不可能被看到，而是 采用了隐藏技术 旨在掩盖恶意软件在受感染系统上的变化和活动。例如，此定义包括： rootkit，它操纵系统来隐藏文件、进程、注册表项或连接。

实际上，这些菌株可以 接管系统任务 并降低性能而不会引起怀疑。即使杀毒软件检测到异常行为，隐身机制也能 逃避或推迟检测例如，暂时远离受污染的文件，将其克隆到另一个驱动器，或者 隐藏文件大小 改变。所有这些都使行动变得复杂 检测引擎 和法医分析。

它如何渗透以及如何隐藏

“隐形病毒”，或者更广泛地说，使用隐形技术的恶意软件，可以以多种形式出现： 恶意附件 在电子邮件、可疑网站的下载、软件中 未经核实，伪装成流行实用程序或安装的欺诈性应用程序 社交网络和消息传递上的链接.

一旦进入内部，他的策略就很明确了： 坚持不被发现一些变体在怀疑有扫描时会“移出”受感染的文件，将自己复制到另一个位置并留下 清洁替代品 以避免引发警报。其他一些系统会隐藏元数据、文件大小和系统条目，使 检测引擎 以及 文件恢复 感染后。

Rootkit：定义、风险和合法用途

起源于环境 UNIX，rootkit 是系统本身的一组工具（例如 ps、netstat 或 passwd) 被入侵者修改为 保持 root 访问权限而不被发现超级用户“root”这个名称的由来。如今，在 Windows 和其他系统中，这个概念依然保持不变： 旨在隐藏元素的程序 （文件、进程、注册表项、内存甚至连接）到操作系统或安全应用程序。

隐形技术的使用本身并非恶意。它可以用于以下合法目的： 企业监控、知识产权保护或防止用户错误。当这些功能应用于 掩盖恶意软件、后门和犯罪活动这与当前的网络犯罪动态相一致，即寻求在不引起注意的情况下最大限度地延长正常运行时间。

如何检测和缓解 rootkit

没有哪一种技术是万无一失的，所以最好的策略是 结合方法 和工具。经典和先进的方法包括：

• 签名检测：扫描并与已知的恶意软件目录进行比较。它对以下情况有效： 已编目的变体，未发表的除外。
• 启发式或基于行为：识别 正常活动偏差 该系统对于发现新的或变异的家族很有用。
• 比较检测：将系统报告与读数进行对比 低级；若有矛盾，则有隐瞒行为的嫌疑。
• 正直：检查文件和内存 可靠参考状态 （基线）显示改变。

在预防层面，建议部署 优秀的反恶意软件 激活并更新，使用 防火墙， 保持 系统和应用程序保持最新 使用补丁程序，并限制权限。有时，为了检测某些感染，建议 从外部媒体启动 并从受感染系统的“外部”进行扫描，尽管即使这样，一些家庭还是设法 重新整合 在其他系统文件中。

两起隐形恶意软件案例：XWorm 和 NotDoor

这些可能是目前最危险的隐形恶意软件威胁。要了解如何保护自己免受其害，最好先充分了解它们：

X蠕虫

X蠕虫 这是一种众所周知的恶意软件，最近通过使用看似合法的可执行文件名进行了令人震惊的演变。这使得它能够 伪装成无害的应用程序，赢得了用户和系统的信任。

攻击始于 隐藏的.lnk文件 它通常通过网络钓鱼活动进行分发，执行恶意 PowerShell 命令，将文本文件下载到系统的临时目录，然后从远程服务器启动名为 discord.exe 的虚假可执行文件。

一旦渗透到我们的电脑中，XWorm 就可以 执行所有类型的远程命令， 从文件下载和 URL 重定向到 DDoS 攻击。

不门

目前最严重的隐形恶意软件威胁之一是 不门俄罗斯黑客开发的这种复杂病毒的目标是 Outlook 用户窃取机密数据。它还能完全控制受感染的系统。它的开发归功于俄罗斯著名网络间谍组织 APT28。

NotDoor 是 用 Visual Basic for Applications (VBA) 编写的隐藏恶意软件，能够监控传入电子邮件中的特定关键词。它实际上利用程序自身的功能来激活自身。然后，它会创建一个隐藏目录来存储由攻击者控制的临时文件。

保护自己的最佳做法（以及如果已经被感染该如何应对）

有效的防御需要习惯和技术的结合。除了“常识”，你还需要 程序和工具 降低 PC 和移动设备上的实际风险：

• 仅安装来自官方来源的应用程序 并检查开发者、权限和评论。警惕消息、社交媒体或未知网站上的链接。
• 使用可靠的安全解决方案 在移动设备和 PC 上；它们不仅可以检测恶意应用程序，还可以提醒您 可疑行为.
• 保持所有信息最新：系统、浏览器和应用程序。补丁已剪切 开采路线 在攻击者中非常受欢迎。
• 启用两步验证 在银行、邮政和关键服务领域。它并非万无一失，但它增加了 额外障碍.
• 监控可访问性权限和通知；如果一个简单的实用程序要求完全控制， 出问题了.
• 定期重启或关闭手机；每周彻底关闭可以消除 记忆植入物 并使坚持变得困难。
• 激活并配置防火墙，并限制使用具有管理员权限的帐户，除非绝对必要。

如果您怀疑存在隐形恶意软件感染（手机运行缓慢、不合理的发热、奇怪的重启、 你不记得安装过的应用程序 或异常行为）： 删除可疑应用程序，以安全模式启动手机并通过完整扫描，更改密码 另一个设备，通知您的银行并评估 恢复出厂设置 如果症状仍然存在，请考虑从 PC 上的外部媒体启动进行扫描，而不会受到恶意软件的控制。

请记住，隐形恶意软件会干扰我们的节奏： 噪音极小 外科手术式打击。这不是一个抽象的威胁，而是一系列 隐藏技巧 这些漏洞可以实现其他所有攻击：银行木马、间谍软件、身份盗窃或固件持久化。如果你强化自己的习惯，并合理选择工具，你就能 领先一步 看不见的事物。