【安全教育】Visual Basic 病毒編寫原理解析：認識威脅才能更好防禦

聲明：本文僅供安全研究與防禦教育用途，嚴禁用於編寫、傳播惡意程式碼。任何製作、散布電腦病毒的行為均違反《刑法》第 285 條等法律法規，將承擔刑事責任。

了解病毒運作機制，有助於開發更有效的防護策略。本文以 Visual Basic 6 為例，解析傳統檔案感染型病毒的核心邏輯模組，幫助讀者建立威脅模型認知。

病毒核心功能模組解析

1. 感染宿主——檔案存在性檢查與自我複製

病毒啟動時首先判斷目標系統是否已感染（避免重複感染導致系統不穩）。典型邏輯：

• 檢查特徵檔案（如 C:\Windows\System\Killer.exe）是否存在。
• 不存在 → 將病毒本體（如 game.exe）複製至目標路徑（FileCopy）。
• 存在 → 跳過複製，直接進入下一階段。

VB 關鍵技術： FileExists 函數（嘗試開啟檔案捕捉錯誤碼）、FileCopy 陳述式。

2. 開機自啟動——登錄表持久化

將病毒路徑寫入下列登錄表鍵值，實現隨系統啟動自動執行：

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• 或透過 Winlogon、Scheduled Tasks、服務註冊等更隱蔽方式。

實現： VB 呼叫 Win32 API（RegOpenKeyEx、RegSetValueEx）操作登錄表。

3. 進程隱藏——規避工作管理員偵測

• VB 內建屬性： App.TaskVisible = False 可從「應用程式」頁籤隱藏。
• 進階手法： API Hooking、DKOM（Direct Kernel Object Manipulation）、Rootkit 技術隱藏進程物件（EPROCESS 鏈表解鏈）。

4. 觸發條件——邏輯炸彈

依時間、日期、系統事件、網路狀態等條件決定是否發動破壞行為：

If Day(Date) = 16 Then ' 每月 16 號觸發
    ' 破壞性程式碼：格式化磁碟、刪除特定副檔名檔案、發送封包癱瘓網路
End If

5. 破壞性載荷

輕度：消耗 CPU/記憶體導致死機（分叉炸彈 Fork Bomb）；重度：覆寫 MBR、加密檔案（勒索軟體前身）、破壞韌體、格式化硬碟。

6. 繁殖傳播

• 檔案感染： 將病毒碼插入 PE 檔案節區（Prepending/Appending/Cavity Infection）。
• 郵件傳播： 透過 MAPI/Outlook Object Model 讀取通訊錄，發送帶毒附件郵件（如 ILOVEYOU、Melissa）。
• 網路蠕蟲： 掃描弱點（如 MS08-067）自動滲透擴散。

防禦對策啟示

總結

病毒編寫本質是對作業系統機制的濫用。現代惡意軟體已演變為模組化、無檔案、供應鏈攻擊等高階形態，但核心邏輯——持久化、隱藏、觸發、破壞、傳播——始終未變。深入理解這些原理，才能在藍隊防禦、威脅狩獵、應急響應中佔據主動。

再次提醒： 知識服務於防禦，切勿踐踏法律紅線。若發現系統異常，請立即斷網、全盤掃毒、尋求專業協助。