金山08中國互聯網安全報告:病毒木馬爆增 云安全勢在必行
【51CTO.com 綜合消息】2008年，中國新增計算機病毒、木馬數量呈爆炸式增長，總數量已突破千萬。病毒制造的模塊化、專業化以及病毒“運營”模式的互聯網化成為2008年中國計算機病毒發展的三大顯著特征。同時，病毒制造者的“逐利性”依舊沒有改變，網頁掛馬、漏洞攻擊成為黑客獲利的主要渠道。
一、2008年中國計算機病毒、木馬整體情況分析
2008年，新增計算機病毒、木馬數量呈幾何級增長。據金山毒霸“云安全”中心監測數據顯示，2008年，金山毒霸共截獲新增病毒、木馬13899717個，與2007年相比增長48倍。下圖為近幾年來的新增病毒、木馬數量對比（圖1）：
 |
| 圖1 |
在新增的病毒、木馬中，新增木馬數為7801911個，占全年新增病毒、木馬總數的56.13%；黑客后門類占全年新增病毒、木馬總數的21.97%；而網頁腳本所占比例從去年的0.8%躍升至5.96%，成為增長速度最快的一類病毒。金山毒霸“云安全”中心統計數據顯示，90%的病毒依附網頁感染用戶。下圖是不同類別病毒、木馬比例圖（圖2）：
 |
| 圖2 |
2008年，據金山毒霸“云安全”中心統計數據，全國共有69738785臺計算機感染病毒，與07年相比增長了40%，全國各省的計算機病毒感染量如下表（圖3）
 |
| 圖3 |
2008年度十大病毒/木馬
根據病毒危害程度、病毒感染率以及用戶的關注度，計算出綜合指數，最終得出以下十大病毒/木馬為2008年最具影響的十大病毒/木馬。
1、 機器狗系列病毒
關鍵詞：底層穿磁盤 感染系統文件
機器狗病毒因最初的版本采用電子狗的照片做圖標而被網民命名為“機器狗”，該病毒變種繁多，多表現為殺毒軟件無法正常運行。該病毒的主要危害是充當病毒木馬下載器，通過修改注冊表，讓大多數流行的安全軟件失效，然后瘋狂下載各種盜號工具或黑客工具，給廣大網民的網絡虛擬財產造成巨大威脅。
機器狗病毒直接操作磁盤以繞過系統文件完整性的檢驗，通過感染系統文件（比如explorer.exe，userinit.exe,winhlp32.exe等）達到隱蔽啟動；通過底層技術穿透冰點、影子等還原系統軟件導致大量網吧用戶感染病毒，無法通過還原來保證系統的安全；通過修復SSDT、映像挾持、進程操作等方法使得大量的安全軟件失去作用；聯網下載大量的盜號木馬。部分機器狗變種還會下載ARP惡意攻擊程序對所在局域網（或者服務器）進行ARP欺騙影響網絡安全。
2、AV終結者病毒系列
關鍵詞：殺毒軟件無法打開 反復感染
AV終結者最大特點是禁用所有殺毒軟件以及大量的安全輔助工具，讓用戶電腦失去安全保障；破壞安全模式，致使用戶根本無法進入安全模式清除病毒；強行關閉帶有病毒字樣的網頁，只要在網頁中輸入“病毒”相關字樣，網頁遂被強行關閉，即使是一些安全論壇也無法登陸，用戶無法通過網絡尋求解決辦法；在磁盤根目錄下釋放autorun.Inf，利用系統自播放功能，如果不加以清理，重裝系統以后也可能反復感染。
2008年年末出現的“超級AV終結者”結合了AV終結者、機器狗、掃蕩波、autorun病毒的特點，是金山毒霸“云安全”中心捕獲的新型計算機病毒。它對用戶具有非常大的威脅。它通過微軟特大漏洞MS08067在局域網傳播，并帶有機器狗的穿還原功能，下載大量的木馬，對網吧和局域網用戶影響極大。
3、onlinegames系列
關鍵詞：網游 盜號
這是一類盜號木馬系列的統稱，這類木馬最大的特點就是通過ShellExecuteHooks啟動，盜取流行的各大網絡游戲（魔獸，夢幻西游等）的帳號從而通過買賣裝備獲得利益。這類病毒本身一般不會對抗殺毒軟件，但經常伴隨著超級Av終結者、機器狗等病毒出現。
4 、HB蝗蟲系列木馬
關鍵詞：網游盜號
HB蝗蟲病毒新型變種是金山毒霸“云安全”中心截獲的年末最“牛”的盜號木馬病毒。該系列盜號木馬技術成熟，傳播途徑廣泛，目標游戲非常的多（存在專門的生成器），基本囊括了市面上大多數的游戲，例如魔獸世界、大話西游onlineII、劍俠世界、封神榜II、完美系列游戲、夢幻西游、魔域等等。
該類木馬主要通過網頁掛馬、流行病毒下載器傳播。而傳播此盜號木馬的的下載器一般會對抗殺毒軟件，造成殺毒軟件不能打開、電腦反映速度變慢。
5 、掃蕩波病毒
關鍵詞：新型蠕蟲 漏洞
這是一個新型蠕蟲病毒。是微軟“黑屏”事件后，出現的最具攻擊性的病毒之一。“掃蕩波”運行后遍歷局域網的計算機并發起攻擊，攻擊成功后，被攻擊的計算機會下載并執行一個下載者病毒，而下載者病毒還會下載“掃蕩波”，同時再下載一批游戲盜號木馬。被攻擊的計算機中“掃蕩波”而后再向其他計算機發起攻擊，如此向互聯網中蔓延開來。據了解，之前發現的蠕蟲病毒一般通過自身傳播，而掃蕩波則通過下載器病毒進行下載傳播，由于其已經具備了自傳播特性，因此，被金山毒霸反病毒工程師確認為新型蠕蟲。
微軟宣布“黑屏”后的第3天，緊急發布了MS08-067安全公告,提示用戶注意一個非常危險的漏洞，而后利用該漏洞發動攻擊的惡意程序不斷涌現；10月24日晚，金山發布紅色安全預警，通過對微軟MS08-067漏洞進行詳細的攻擊原型模擬演示，證實了黑客完全有機會利用微軟MS08-067漏洞發起遠程攻擊，微軟操作系統面臨大面積崩潰威脅；11月7日，金山再次發布預警，“掃蕩波”病毒正在利用該漏洞進行大面積攻擊；11月7日晚，金山已證實“掃蕩波”實為一個新型蠕蟲病毒，并發布周末紅色病毒預警。
6、QQ盜圣
關鍵詞:QQ盜號
這是QQ盜號木馬系列病毒，病毒通常釋放病毒體（類似于UnixsMe.Jmp,Sys6NtMe.Zys,）到IE安裝目錄（C:\Program Files\Internet Explore\），通過注冊表Browser Helper Objects實現開機自啟動。當它成功運行后，就把之前生成的文件注入進程，查找QQ登陸窗口，監視用戶輸入盜取的帳號和密碼，并發送到木馬種植者指定的網址。
7、RPC盜號者
關鍵詞：不能復制粘貼
該系列木馬采用替換系統文件，達到開機啟動的目的，由于替換的是RPC服務文件rpcss.dll ，修復不當，會影響系統的剪切板、上網等功能。部分版本加入了反調試功能，導致開機的時候系統加載緩慢。
8、偽QQ系統消息
關鍵詞：QQ系統消息，殺毒軟件不能使用
經金山毒霸“云安全”檢測為釣魚程序，病毒最大的特點是偽裝QQ系統消息，用戶一旦點擊，錢財及電腦安全將面臨巨大威脅。
該病毒的綜合破壞能力比較強，它利用AUTO技術自動傳播，當進入電腦后就運行自帶的對抗模塊，嘗試映像劫持或直接關閉用戶系統中的安全軟件。病毒還帶有下載器的功能，可下載其它木馬到電腦中運行。
9、QQ幽靈
關鍵詞：QQ 木馬下載器
此病毒查找QQ安裝目錄，并在其目錄釋放一個精心修改psapi.dll，當QQ啟動的時候將會將這個dll文件加載（程序加載dll文件的順序1：應用程序的安裝目錄2：當前的工作目錄3：系統目錄4：路徑變量），從而執行惡意代碼下載大量病毒到用戶電腦。
10、磁碟機
關鍵詞：無法徹底清除 隱蔽
磁碟機與AV終結者、機器狗極為相似。最大特點是導致大量用戶殺毒軟件和安全工具無法運行，進入安全模式后出現藍屏現象；而且更為嚴重的是，由于Exe文件被感染，重裝系統仍無法徹底清除。
磁碟機病毒主要通過網站掛馬、U盤、局域網內的ARP傳播等方式進行傳播，而且非常隱蔽，病毒在傳播過程中，所利用的技術手段都是用戶甚至殺毒軟件無法截獲的。病毒一旦在用戶電腦內成功運行后，會自動下載自己的最新版本以及大量的其他一些木馬到本地運行，盜取用戶虛擬資產和其他機密信息；同時該病毒會感染用戶機器上的exe文件，包括壓縮包內的exe文件，并會通過UPX加殼，導致用戶很難徹底清除。
#p#
二、2008年計算機病毒、木馬的特點分析
2008年是病毒、木馬異常活躍的一年。從病毒傳播的角度看2008年大量的病毒通過網頁掛馬方式進行傳播，主要利用的是realplay，adobe flash和IE漏洞進行傳播。從病毒的運作模式看2008年大量病毒采用的方式是下載器對抗安全軟件，關閉安全軟件然后下載大量盜號木馬到用戶電腦－－盜取用戶網游的賬號發送到黑客的數據庫。從病毒的危害來看2008年絕大多數流行的病毒都為網游盜號類木馬，其次是遠程控制類木馬。
1、病毒制造進入“機械化”時代
由于各種病毒制作工具的泛濫和病毒制作的分工更加明細和程式化，病毒作者開始按照既定的病毒制作流程制作病毒。病毒制造進入了“機械化”時代。
這種“機械化”很大程度上得益于病毒制作門檻的降低和各種制作工具的流行。“病毒制造機”是網上流行的一種制造病毒的工具，病毒作者不需要任何專業技術就可以手工制造生成病毒。金山毒霸全球反病毒監測中心通過監測發現網絡上有諸多此類廣告，病毒作者可根據自己對病毒的需求，在相應的制作工具中定制和勾選病毒功能。病毒傻瓜式制作導致病毒進入“機械化”時代。
病毒的機械化生產導致病毒數量的爆炸式增長。反病毒廠商傳統的人工收集以及鑒定方法已經無法應對迅猛增長的病毒。金山毒霸2009依托于“云安全”技術，一舉實現了病毒庫病毒樣本數量增加5倍、日最大病毒處理能力提高100倍 、緊急病毒響應時間縮短到1小時以內，給用戶帶來了更好的安全體驗。
2、病毒制造的模塊化、專業化特征明顯
病毒團伙按功能模塊發外包生產或采購技術先進的病毒功能模塊，使得病毒的各方面功能都越來越“專業”，病毒技術得以持續提高和發展，對網民的危害越來越大，而解決問題也越來越難。例如年底出現的“超級AV終結者”集病毒技術之大成，是模塊化生產的典型代表。
在專業化方面，病毒制造業被自然的分割成以下幾個環節：病毒制作者、病毒批發商、病毒傳播者、“箱子”批發商、“信封”批發商、“信封”零售終端。病毒作者包括有“資深程序員”，甚至可能有逆向工程師。病毒批發商購買病毒源碼，并進行銷售和生成木馬。病毒傳播者負責將病毒通過各種渠道傳播出去，以盜取有價值的QQ號碼、游戲帳號、裝備等。
“箱子”批發商通過出租或者銷售“箱子”（即可以盜取虛擬資產的木馬，可以將盜取的號碼收集起來）牟利，他們往往擁有自己的木馬或者木馬生成器。“信封”批發商通過購買或者租用“箱子”，通過出售收獲的信封牟利。“信封”零售終端負責過濾“信封”中收集到的有價值的虛擬資產并進行銷售。每個環節各司其職，專業化趨勢明顯。
3、病毒“運營”模式互聯網化
病毒團伙經過2008一年的運營已經完全轉向互聯網，攻擊的方式一般為：通過網站入侵--->寫入惡意攻擊代碼-->利用成為新型網絡病毒傳播的主要方式,網民訪問帶有掛馬代碼的‘正常網站’時，會受到漏洞攻擊而‘不知不覺’中毒。這種傳播方式的特點是快速、隱敝性強、適合商業化運營（可像互聯網廠商一樣精確統計收益，進行銷售分成）。
例如 “機器狗”病毒，“商人”購買之后，就可以通過“機器狗”招商。因為機器狗本身并不具備“偷”東西的功能，只是可以通過對抗安全軟件保護病毒，因此“機器狗”就變成了病毒的渠道商，木馬及其他病毒都紛紛加入“機器狗”的下載名單。
病毒要想加入這些渠道商的名單中，必須繳納大概3000塊錢左右的“入門費”。而“機器狗”也與其他類似的“下載器”之間互相推送，就像正常的商業行為中的資源互換。這樣，加入了渠道名單的病毒就可以通過更多的渠道進入用戶的電腦。病毒通過哪個渠道進入的，就向哪個渠道繳費。
此外，病毒的推廣和銷售都已經完全互聯網化。病毒推廣的手法包括通過一些技術論壇進行推廣，黑客網站也是推廣的重要渠道，此外還包括百度貼吧、QQ群等渠道進行推廣。其銷售渠道也完全互聯網化，銷售的典型渠道包括：公開拍賣網站，比如淘寶、易趣等。還有通過QQ直銷，或者通過專門網站進行銷售。
4、病毒團伙對于“新”漏洞的利用更加迅速
IE 0day漏洞被利用成2008年最大安全事件。當ms08-67漏洞被爆光后部分流行木馬下載器就將此漏洞的攻擊代碼集成到病毒內部實現更廣泛的傳播。而年底出現的IE0day漏洞，掛馬集團從更新掛馬連接添加IE 0day漏洞攻擊代碼到微軟更新補丁已經過了近10天。期間有上千萬網民訪問過含有此漏洞攻擊代碼的網頁。
此外，2008年Flash player漏洞也給諸多網民造成了損失。由于軟件在自身設計、更新、升級等方面的原因，存在一些漏洞，而這些漏洞會被黑客以及惡意網站利用。在用戶瀏覽網頁的過程中，通過漏洞下載木馬病毒入侵用戶系統，進行遠程控制、盜竊用戶帳號和密碼等，從而使用戶遭受損失。
金山毒霸團隊密切關注windows系統軟件漏洞和第三方應用軟件漏洞信息，及時更新漏洞庫信息，同時金山清理專家采用P2SP技術，大大提高了補丁下載的速度，減少了用戶電腦的風險暴露時間。
5、 病毒與安全軟件的對抗日益激烈
在病毒產業鏈分工中，下載器扮演了‘黑社會’的角色，它結束并破壞殺毒軟件，穿透還原軟件，‘保護’盜號木馬順利下載到用戶機器上，通過‘保護費’和下載量分臟。下載者在2008年充當了急先鋒，始終跑在對抗殺毒軟件的第一線，出盡風頭且獲得豐厚回報。
從‘AV終結者’的廣泛流行就不難看出，對抗殺毒軟件已經成為下載者病毒的‘必備技能’。
縱觀08年的一些流行病毒，如機器狗、磁碟機、AV終結者等等，無一例外均為對抗型病毒。而且一些病毒制作者也曾揚言“餓死殺毒軟件”。對抗殺毒軟件和破壞系統安全設置的病毒以前也有，但08年表現得尤為突出。主要是由于大部分殺毒軟件加大了查殺病毒的力度，使得病毒為了生存而必須對抗殺毒軟件。這些病毒使用的方法也多種多樣，如修改系統時間、結束殺毒軟件進程、破壞系統安全模式、禁用windows自動升級等功能。
病毒與殺毒軟件對抗特征主要表現為對抗頻率變快,周期變短,各個病毒的新版本更新非常快,一兩天甚至幾個小時更新一次來對抗殺毒軟件。
金山毒霸通過強化自保護功能，提高病毒攻擊的技術門檻。目前，金山毒霸云安全體系可以做到病毒樣本的收集、病毒庫更新測試和升級發布全無人值守，自動化的解決方案以應對病毒傳播制作者不斷花樣翻新的挑戰。
#p#
三、2009年計算機病毒、木馬發展趨勢預測
1、0Day漏洞將與日俱增
2008年安全界關注的最多的不是Windows系統漏洞,而是每在微軟發布補丁隨后幾天之后,黑客們放出來的0Day 漏洞,這些漏洞由于處在系統更新的空白期,使得所有的電腦都處于無補丁的可補的危險狀態。
黑客在嘗到0day漏洞攻擊帶來的巨大感染量和暴利以后會更加關注于0day漏洞的挖掘，2009年可能會出現大量新的0day漏洞（含系統漏洞及流行互聯網軟件的漏洞），病毒團伙利用0day漏洞的發現到廠商發布補丁這一時間差發動漏洞攻擊以賺取高額利潤。
2、網頁掛馬現象日益嚴峻
網頁掛馬已經成為木馬、病毒傳播的主要途徑之一。入侵網站，篡改網頁內容，植入各種木馬，用戶只要瀏覽被植入木馬的網站，即有可能遭遇木馬入侵，甚至遭遇更猛烈的攻擊，造成網絡財產的損失。
2008年，網站被掛馬現象屢見不鮮，大到一些門戶網站，小到某地方電視臺的網站，都曾遭遇掛馬問題。伴隨著互聯網的日益普及，網頁掛馬已經成為木馬、病毒傳播的主要途徑之一的今天，金山毒霸反病毒工程師預測2009年網絡掛馬問題將更加嚴峻，更多的網站將遭遇木馬攻擊。
3、病毒與反病毒廠商對抗將加劇
隨著反病毒廠商對于安全軟件自保護能力的提升，病毒的對抗會越發的激烈。病毒不再會局限于結束和破壞殺毒軟件，隱藏和局部‘寄生’系統文件的弱對抗性病毒將會大量增加。
4、新平臺上的嘗試
病毒、木馬進入新經濟時代后，肯定是無孔不入；網絡的提速讓病毒更加的泛濫。因此在2009年，我們可以預估vista系統，windows 7系統的病毒將可能成為病毒作者的新寵；當我們的智能手機進入3G時代后，手機平臺的病毒/木馬活動會上升。軟件漏洞的無法避免，在新平臺上的漏洞也會成為病毒/木馬最主要的傳播手段。
#p#
四、2009年反病毒技術發展趨勢
在病毒制作門檻的逐步降低，病毒、木馬數量的迅猛增長，反病毒廠商與病毒之間的對抗日益激烈的大環境下，傳統“獲取樣本->特征碼分析->更新部署”的殺毒軟件運營模式，已無法滿足日益變化及增長的安全威脅。在海量病毒、木馬充斥互聯網，病毒制作者技術不斷更新的大環境下，反病毒廠商必須要有更有效的方法來彌補傳統反病毒方式的不足，“云安全”應運而生。
金山毒霸“云安全”是為了解決木馬商業化的互聯網安全形勢應運而生的一種安全體系結構。它包括智能化客戶端、集群式服務端和開放的平臺三個層次。“云安全”是現有反病毒技術基礎上的強化與補充，最終目的是為了讓互聯網時代的用戶都能得到更快、更全面的安全保護。
首先穩定高效的智能客戶端，它可以是獨立的安全產品，也可以作為與其他產品集成的安全組件，比如金山毒霸 2009和百度安全中心等，它為整個云安全體系提供了樣本收集與威脅處理的基礎功能；
其次服務端的支持，它是包括分布式的海量數據存儲中心、專業的安全分析服務以及安全趨勢的智能分析挖掘技術，同時它和客戶端協作，為用戶提供云安全服務；
最后，云安全需要一個開放性的安全服務平臺作為基礎，它為第三方安全合作伙伴提供了與病毒對抗的平臺支持，使得缺乏技術儲備與設備支持的第三方合作伙伴，也可以參與到反病毒的陣線中來，為反病毒產業的下游合作伙伴提供商業上的激勵，擺脫目前反病毒廠商孤軍奮戰的局面。
金山毒霸“云安全”未來趨勢
（1）安全中心（更開放的平臺）
向公眾開放水銀平臺所儲存的文件、軟件、病毒等各類樣本信息。同時，水銀內部的掃描分析等流程也可對外公開，為用戶提供樣本鑒定服務。
（2）充分引入用戶交互
對于惡意軟件以及惡意網站等沒有明確的技術標準可以判定的內容，將引入用戶評價體系，通過用戶的深度參與，充分的利用互聯網的力量，來決定最終的結果。
（3）“云安全”在金山安全類產品中的深度應用
“云安全”將全面應用到金山毒霸、金山清理專家、金山網鏢等金山安全類產品之中。
（4）更充分的合作
合作讓用戶對網絡安全有更進一步的了解和體驗。病毒傳播通道的徹底變化，各種主流應用軟件的漏洞也開始被黑客和病毒制造者所利用，互聯網將推動反病毒軟件市場全新的變革。我們會加快向互聯網轉型的步伐，借助互聯網實現軟件發行和銷售只是軟件互聯網化的第一步，深入了解網民的需求，了解網民上網的困惑，研發運營基于互聯網的服務，才是軟件互聯網化的處理。互聯網改變世界，軟件推動互聯網。
金山毒霸“云安全”在毒霸2009中的應用
基于“云安全”三大平臺，金山毒霸2009成功實現了從樣本收集、樣本處理、安全應用覆蓋面等方面對整個互聯網安全體系的全面部署。
基于云安全，每個用戶都是金山毒霸云安全龐大的安全網絡的節點，都能受益于金山毒霸2009可信認證的龐大知識庫及強大的后臺樣本分析服務。
截止到10月份數據，金山毒霸2009病毒庫病毒樣本數量增加5倍、日最大病毒處理能力提高100倍 、緊急病毒響應時間縮短到1小時以內。
“云安全”理念已全面應用到了金山毒霸2009：
源頭攔截惡意網址 先發制“毒”
目前，利用在網頁上種植木馬下載器，盜取用戶游戲賬號及銀行密碼、偷窺用戶隱私，已經成為黑客們慣用的手法，同時黑客利用這種手段的攻擊范圍之廣前所未有，金融類網站、銀行網站、門戶網站、熱門社區網站幾乎無一幸免，全都成為黑客們躍躍欲試的目標。
由于這類網站每天的瀏覽量非常大，如果不幸被黑客攻破種植上木馬、病毒，所造成的影響無論是從范圍上，還是從破壞性上都是巨大的。
針對病毒傳播的這一主要途徑，金山毒霸2009基于全新的網址認證技術，對用戶的上網安全進行雙重防護。當一個程序試圖訪問一個網址時，金山網鏢會截獲這一訪問請求，首先判斷網址的可靠性，然后使用網址認證功能進行網址安全性分析，“先發制毒”，從源頭上截斷病毒的入侵途徑，確保用戶上網瀏覽網頁安全。有效遏制了木馬下載器的入侵及網頁掛馬行為的侵害。
網鏢智能化 無痕保護
傳統網絡防火墻不可避免將各種安全難題留給用戶，頻繁彈出警告窗口，讓用戶進行安全決策“選擇題”。對于普通用戶來說，此種模式嚴重打擾用戶正常操作，又留下安全隱患，非常缺乏實用性。
金山毒霸2009將金山“云安全”中互聯網可信認證技術引入金山網鏢中，采用金山獨有的可信認證服務對程序的安全性進行自動分析、處理，智能幫助用戶作出正確安全決策。有效減少了用戶使用網鏢時的困擾。用戶仿佛置身于看不見的“云安全”的保護傘下，讓防火墻的使用更顯簡單實用。
【編輯推薦】
