二、2007年計算機(jī)病毒/木馬的特點(diǎn)分析
1、病毒“工業(yè)化”入侵凸顯病毒經(jīng)濟(jì)
病毒/木馬背后所帶來的巨大的經(jīng)濟(jì)利益催生了病毒“工業(yè)化”入侵的進(jìn)程。2007年上半年，金山對外發(fā)布了病毒木馬產(chǎn)業(yè)鏈的攻擊特征，在此階段，病毒木馬的攻擊通常是針對單個計算機(jī)的攻擊行為。攻擊的手法，一般利用社會工程欺騙的方式，發(fā)送經(jīng)過偽裝的木馬以及通過網(wǎng)頁掛馬構(gòu)造大面積的陷阱。這種攻擊需要受害者“配合”，比如需要用戶去瀏覽相應(yīng)網(wǎng)頁或接收和執(zhí)行相應(yīng)的程序。
2007年下半年，一種新的病毒木馬攻擊手法被廣泛利用。攻擊過程完全由攻擊者一方發(fā)起，而且能夠獲得很高的成功率。他們利用掃描器發(fā)現(xiàn)開放端口的聯(lián)網(wǎng)主機(jī)，再使用一種被稱為“種植者”的黑客工具，攻擊存在這種漏洞的計算機(jī)，直接獲取遠(yuǎn)程計算機(jī)的管理權(quán)限，命令遠(yuǎn)程主機(jī)下載并執(zhí)行惡意程序。
然而，還不僅僅如此，一種“工業(yè)化”的入侵手段已經(jīng)在黑客圈廣為流傳。攻擊者把上面那些攻擊流程完全自動化，掃描端口、遠(yuǎn)程入侵、下載木馬完全自動化，抓取肉雞效率僅取決于用于發(fā)起攻擊的計算機(jī)性能和網(wǎng)絡(luò)帶寬。（圖5）
對于攻擊者來說，在互聯(lián)網(wǎng)尋找目標(biāo)并非難事——很容易找到?jīng)]有采取任何保護(hù)措施的盜版XP系統(tǒng)，大量只關(guān)心使用不關(guān)心安全的電腦使用者。對于這樣的系統(tǒng)，需要安裝網(wǎng)絡(luò)防火墻來應(yīng)對“工業(yè)化”的病毒攻擊，比如安裝金山網(wǎng)鏢，可以防止本機(jī)被遠(yuǎn)程攻擊成功。這里需要指出的是，windows防火墻的缺省設(shè)置對此類攻擊完全沒有抵抗能力。用戶可以按照金山清理專家打分系統(tǒng)的指導(dǎo)，修補(bǔ)系統(tǒng)漏洞，提升電腦系統(tǒng)的安全性。
2、電腦病毒/木馬傳播的WEB2.0化
Web2.0給網(wǎng)民帶來全新的上網(wǎng)體驗(yàn)，web2.0的內(nèi)容源不再由少數(shù)專業(yè)人士發(fā)布，任何人都可以成為內(nèi)容源的發(fā)布者，這為那些別有用心的攻擊者提供了更多的機(jī)會——各種惡意代碼以熱門事件為幌子被傳輸?shù)骄W(wǎng)絡(luò)上等待被下載。眾多BLOG、論壇、社區(qū)、視頻網(wǎng)站成為病毒泛濫和傳播的溫床。
Web2.0程序本身存在的威脅也是新的安全課題，安全廠商注意到myspace蠕蟲和百度空間蠕蟲是新蠕蟲的代表?？缯军c(diǎn)腳本攻擊，變得越來越普及，因?yàn)楹诳蛡円呀?jīng)發(fā)現(xiàn)了這類攻擊的作用和好處。攻擊者可以在用戶毫不知情的情況下造成許多危害，其中包括強(qiáng)迫PC下載非法內(nèi)容、侵入其他Web站點(diǎn)或發(fā)送電子郵件等。利用AJAX，在后臺無聲無息地傳遞數(shù)據(jù)，很難被發(fā)現(xiàn)，為AJAX蠕蟲隱身傳播帶來了絕佳的便利！其中百度空間蠕蟲源碼已經(jīng)公布。
對于普通的電腦用戶來說，根本無法從眾多內(nèi)容源中區(qū)分威脅。金山毒霸2008和金山清理專家的網(wǎng)頁防掛馬組件，可成功攔截后臺“非法”的下載行為，減少用戶因?yàn)g覽網(wǎng)頁而感染病毒的機(jī)會。
3、黑客技術(shù)與病毒技術(shù)的廣泛協(xié)作
2007年ARP病毒廣為人知，其實(shí)在更早的時候，ARP攻擊行為已經(jīng)令企業(yè)網(wǎng)管頭疼不已。比較常見的是部分“傳奇盜號木馬”，當(dāng)局域網(wǎng)中某臺計算機(jī)中了這個木馬，會向局域網(wǎng)發(fā)送大量ARP數(shù)據(jù)包，該木馬對局域網(wǎng)的影響超出了盜號造成的破壞，表現(xiàn)為網(wǎng)絡(luò)通信時斷時通，網(wǎng)速變慢。07年的ARP欺騙，已經(jīng)不再局限于此，通過劫持網(wǎng)絡(luò)會話，可以在正常計算機(jī)上網(wǎng)時，插入特定惡意代碼，強(qiáng)令未中毒的正常計算機(jī)瀏覽指定網(wǎng)站或下載病毒木馬。
更為嚴(yán)重的是，這種攻擊行為已經(jīng)擴(kuò)散到從客戶端到內(nèi)容源服務(wù)器之間的所有環(huán)節(jié)。攻擊者利用黑客技術(shù)入侵廣域網(wǎng)路由，導(dǎo)致某地區(qū)所有計算機(jī)訪問網(wǎng)站時下載木馬或強(qiáng)行彈出廣告。攻擊者還會攻擊內(nèi)容源服務(wù)器所在的局域網(wǎng)，當(dāng)黑客成功入侵內(nèi)容源服務(wù)器所在網(wǎng)段的某臺主機(jī)后，再利用ARP欺騙劫持會話，造成所有訪問該內(nèi)容源的客戶機(jī)下載病毒木馬或者彈出廣告。（圖6）
ARP攻擊利用的是網(wǎng)絡(luò)傳輸協(xié)議的漏洞，只有修改網(wǎng)絡(luò)協(xié)議才能從根本上解決這一問題，目前情況下只能做到緩解，其中很多工作要靠網(wǎng)管員來解決。普通用戶能做的，是利用現(xiàn)有工具盡可能保護(hù)自身不被攻擊，或者自己不要感染了ARP病毒去攻擊其它計算機(jī)。金山ARP防火墻提供了簡單的解決方案，可在一定程度上應(yīng)對ARP攻擊的挑戰(zhàn)。（圖7）
4、病毒入侵“流程化”
2007年，病毒攻擊手段的流程化跡象日益突出。大量病毒進(jìn)入用戶電腦后首先終止殺毒軟件的進(jìn)程，導(dǎo)致用戶電腦失去任何安全屏障；接下來，病毒將肆無忌憚地下載大量盜號類木馬到用戶電腦內(nèi)；最后駐留在用戶電腦內(nèi)的盜號木馬伺機(jī)作案，盜取用戶的網(wǎng)銀、網(wǎng)游帳號密碼以及其他個人機(jī)密文件。
以AV終結(jié)者為例，該病毒進(jìn)入用戶電腦后，開機(jī)時可自動加載，并“綁架”安全軟件，令大量殺毒軟件、系統(tǒng)管理工具、反間諜軟件不能正常啟動。同時監(jiān)視活動窗口的關(guān)鍵字，發(fā)現(xiàn)帶“殺毒”等字樣的，就立即關(guān)閉窗口。在用戶對其束手無策的情況下，AV終結(jié)者瘋狂下載木馬、后門程序，進(jìn)而竊取用戶相關(guān)資料和帳號信息。
5、病毒傳播突顯“長尾”理論
在2007年度的10大病毒中，幾乎無一例外，具有變種多的特征。很多人以為AV終結(jié)者是一個病毒，實(shí)際上是一大批具備相似現(xiàn)象的病毒集合。下半年很多用戶知道Auto病毒，不少人認(rèn)為這是一種病毒，而事實(shí)上，利用U盤的自動運(yùn)行功能傳播的病毒成百上千，這些病毒還具備Av終結(jié)者的特征。
AV終結(jié)者、Auto病毒、木馬下載器泛濫，和一兩年前相比，病毒傳播的趨勢發(fā)生了巨變?，F(xiàn)在的情況是，每個盜號團(tuán)伙釋放的木馬，只影響或入侵部分網(wǎng)絡(luò)，而不象以前那樣嘗試入侵所有的網(wǎng)絡(luò)終端。因?yàn)槭侨藶獒尫诺慕Y(jié)果，盜號團(tuán)伙可以很容易的控制木馬更新版本，以逃避查殺。位于這個“長尾”下被入侵的計算機(jī)總數(shù)相當(dāng)龐大。
這種狀態(tài)下，對殺毒軟件的挑戰(zhàn)是越來越多的病毒木馬難以被監(jiān)測網(wǎng)捕獲，或者在捕獲這些木馬前，這些木馬有著較長的生存時間。殺毒軟件更快更準(zhǔn)的捕獲這些病毒，將會給用戶提供更多的安全。到目前為止，殺毒廠商和制毒販毒者之間貓捉老鼠的游戲，還遠(yuǎn)未終結(jié)。
如何打破病毒和殺毒的僵局，金山毒霸的研發(fā)人員在探索全新的反病毒方法。首先使用網(wǎng)絡(luò)爬蟲技術(shù)，自動收集互聯(lián)網(wǎng)出現(xiàn)的二進(jìn)制程序；其次，在金山毒霸2008中，獨(dú)有的三維互聯(lián)網(wǎng)防御體系，通過行為攔截技術(shù)，發(fā)現(xiàn)并上報危險程序；通過自動化分析與人工分析相結(jié)合，對收集上來的程序進(jìn)行快速甄別。利用該技術(shù)，縮短了金山毒霸對病毒、木馬的響應(yīng)時間。
6、病毒傳播方式多樣化 相互模仿嚴(yán)重
病毒/木馬制作模仿現(xiàn)象嚴(yán)重，一些病毒制作者將現(xiàn)有的病毒制作技術(shù)進(jìn)行重新的搭配，使其獲得更大的危害程度。2007年公布的10大病毒中，“灰鴿子”對應(yīng)“網(wǎng)絡(luò)紅娘”，“熊貓燒香”對應(yīng)“瓢蟲”，他們只是在出現(xiàn)的時間不同，其傳播和危害的方法都如出一轍。
互聯(lián)網(wǎng)的高速發(fā)展帶來病毒制作技術(shù)的不斷翻新，但制作創(chuàng)意更易被病毒作者所接受。在熊貓燒香出現(xiàn)時間和瓢蟲病毒出現(xiàn)時間之間，也同樣出現(xiàn)了很多相似的病毒，如：“神奇小子”，這說明“熊貓燒香”的病毒制作創(chuàng)意受到了病毒作者的追捧，到年底“瓢蟲”這一“改良”后的“熊貓燒香”差一點(diǎn)就成為毒王。
近年來病毒/木馬泛濫的主要原因是制作門檻的降低，許多的黑客網(wǎng)站提供了相應(yīng)的教學(xué)方法，讓VXer(病毒作者的簡稱)大量出現(xiàn)，而今年這種通過創(chuàng)意模仿并改進(jìn)的病毒的增多更加成為一個較鮮明的特點(diǎn)。相比病毒/木馬的傳播和破壞在技術(shù)上的改進(jìn)，制作病毒的“創(chuàng)意”可能會成為病毒/木馬界新焦點(diǎn)。
除了上述六大特點(diǎn)外，2007年，各類病毒百花齊放，以各種傳播方式不斷進(jìn)攻互聯(lián)網(wǎng)，其中三大類病毒的數(shù)量明顯增多：
1、對抗殺毒軟件和破壞系統(tǒng)安全設(shè)置的病毒明顯增多
對抗殺毒軟件和破壞系統(tǒng)安全設(shè)置的病毒以前也有，但07年從AV終結(jié)者病毒爆發(fā)之后，此類病毒便頻繁出現(xiàn)。主要是由于大部分殺毒軟件加大了查殺病毒的力度，使得病毒為了生存而必須對抗殺毒軟件。這些病毒使用的方法也多種多樣，如修改系統(tǒng)時間、結(jié)束殺毒軟件進(jìn)程、破壞系統(tǒng)安全模式、禁用windows自動升級等功能。
2、利用可移動磁盤傳播的病毒明顯增多
隨著可移動磁盤技術(shù)的不斷發(fā)展，以及可移動磁盤價格下降，擁有可移動磁盤的用戶也大量增加，病毒也開始趁機(jī)作亂，除了蠕蟲，普通的木馬很多也會通過可移動磁盤進(jìn)行傳播，主要方式是復(fù)制一個病毒體和一個Autorun.inf文件到各盤。如果用戶插入可移動磁盤，可移動磁盤將會被感染，然后當(dāng)可移動磁盤插入另一臺機(jī)器，Autorun.inf發(fā)生作用，啟動病毒感染計算機(jī)。
3、感染型病毒持續(xù)增多
感染型病毒曾經(jīng)是Dos時代病毒的特點(diǎn)，進(jìn)入windows之后，感染型病毒的量下降很多。但隨著2006年的維金和2007年初的熊貓燒香病毒“風(fēng)靡”全國之后，從金山毒霸病毒監(jiān)測系統(tǒng)顯示，感染型病毒不斷增多，除了傳統(tǒng)的感染方式，還新增了如瓢蟲、小浩等覆蓋式感染，這種不負(fù)責(zé)任的感染方式將導(dǎo)致中毒用戶機(jī)器上的被感染文件無法修復(fù)，帶來毀滅性的損壞。因此建議用戶使用正版殺毒軟件，并開啟實(shí)時監(jiān)控，能夠在病毒運(yùn)行起來之前將其查殺。
|
