Delphi 編寫蠕蟲病毒技術淺析：原理與防禦

引言

許多開發者誤以為病毒只能用組合語言或腳本編寫，實則高階語言同樣能實現完整惡意功能。本文以 Delphi 為例，拆解蠕蟲病毒的三大核心模組——保護、感染、發作——並說明相對應的檢測與防禦思路。

一、保護模組：持久化與隱藏

1. 系統目錄拷貝與屬性設定

呼叫 GetSystemDirectory 取得系統路徑，使用 CopyFile 將自身複製為 ruin.exe、virus_ruin.exe，再以 SetFileAttributes(FILE_ATTRIBUTE_HIDDEN+FILE_ATTRIBUTE_SYSTEM) 設為隱藏系統檔。

2. 開機自啟與檔案關聯劫持

修改登錄鍵值：

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run 寫入 ruin.exe 實現開機自啟。
• HKCR\txtfile\shell\open\command 關聯至 virus_ruin.exe %1，若 Run 鍵被刪，使用者開啟文字檔仍會觸發病毒。

3. 進程隱藏技巧

Win9x 呼叫 RegisterServiceProcess；NT 系統可採用 DLL 注入、服務安裝或 win.ini 載入等方式。

二、感染模組：傳播向量

典型手法包括：

• 本地磁碟掃描感染 .EXE/.SCR（PE 前綴寫入法）。
• 網頁檔案植入 Base64 編碼病毒碼或惡意 iframe。
• 竊取 .WAB、.ADC、.IND 通訊錄發送帶毒郵件（利用 Outlook COM 或 MAPI）。
• 可移動媒體 autorun.inf 傳播（文中未列但常見）。

三、發作模組：破壞與副作用

常見觸發條件：特定日期、感染數量門檻、偵測特定語言環境（如代碼頁 932）。破壞行為涵蓋：覆寫檔案內容、刪除檔案、格式化磁碟、修改 MBR、下載執行第二階段載荷等。

防禦檢測指標