2007年度病毒疫情及互联网安全报告(4)

    2007年计算机病毒/木马的特点分析

    1、病毒“工业化”入侵凸显病毒经济
 
    病毒/木马背后所带来的巨大的经济利益催生了病毒“工业化”入侵的进程。2007年上半年，金山对外发布了病毒木马产业链的攻击特征，在此阶段，病毒木马的攻击通常是针对单个计算机的攻击行为。攻击的手法，一般利用社会工程欺骗的方式，发送经过伪装的木马以及通过网页挂马构造大面积的陷阱。这种攻击需要受害者“配合”，比如需要用户去浏览相应网页或接收和执行相应的程序。

    2007年下半年，一种新的病毒木马攻击手法被广泛利用。攻击过程完全由攻击者一方发起，而且能够获得很高的成功率。他们利用扫描器发现开放端口的联网主机，再使用一种被称为“种植者”的黑客工具，攻击存在这种漏洞的计算机，直接获取远程计算机的管理权限，命令远程主机下载并执行恶意程序。

    然而，还不仅仅如此，一种“工业化”的入侵手段已经在黑客圈广为流传。攻击者把上面那些攻击流程完全自动化，扫描端口、远程入侵、下载木马完全自动化，抓取肉鸡效率仅取决于用于发起攻击的计算机性能和网络带宽。（图5）

图5 某黑客工具

    对于攻击者来说，在互联网寻找目标并非难事——很容易找到没有采取任何保护措施的盗版XP系统，大量只关心使用不关心安全的电脑使用者。对于这样的系统，需要安装网络防火墙来应对“工业化”的病毒攻击，比如安装金山网镖，可以防止本机被远程攻击成功。这里需要指出的是，windows防火墙的缺省设置对此类攻击完全没有抵抗能力。用户可以按照金山清理专家打分系统的指导，修补系统漏洞，提升电脑系统的安全性。

    2、电脑病毒/木马传播的WEB2.0化

    Web2.0给网民带来全新的上网体验，web2.0的内容源不再由少数专业人士发布，任何人都可以成为内容源的发布者，这为那些别有用心的攻击者提供了更多的机会——各种恶意代码以热门事件为幌子被传输到网络上等待被下载。众多BLOG、论坛、社区、视频网站成为病毒泛滥和传播的温床。

    Web2.0程序本身存在的威胁也是新的安全课题，安全厂商注意到myspace蠕虫和百度空间蠕虫是新蠕虫的代表。跨站点脚本攻击，变得越来越普及，因为黑客们已经发现了这类攻击的作用和好处。攻击者可以在用户毫不知情的情况下造成许多危害，其中包括强迫PC下载非法内容、侵入其他Web站点或发送电子邮件等。利用AJAX，在后台无声无息地传递数据，很难被发现，为AJAX蠕虫隐身传播带来了绝佳的便利！其中百度空间蠕虫源码已经公布。

    对于普通的电脑用户来说，根本无法从众多内容源中区分威胁。金山毒霸2008和金山清理专家的网页防挂马组件，可成功拦截后台“非法”的下载行为，减少用户因浏览网页而感染病毒的机会。

    3、黑客技术与病毒技术的广泛协作

    2007年ARP病毒广为人知，其实在更早的时候，ARP攻击行为已经令企业网管头疼不已。比较常见的是部分“传奇盗号木马”，当局域网中某台计算机中了这个木马，会向局域网发送大量ARP数据包，该木马对局域网的影响超出了盗号造成的破坏，表现为网络通信时断时通，网速变慢。07年的ARP欺骗，已经不再局限于此，通过劫持网络会话，可以在正常计算机上网时，插入特定恶意代码，强令未中毒的正常计算机浏览指定网站或下载病毒木马。

    更为严重的是，这种攻击行为已经扩散到从客户端到内容源服务器之间的所有环节。攻击者利用黑客技术入侵广域网路由，导致某地区所有计算机访问网站时下载木马或强行弹出广告。攻击者还会攻击内容源服务器所在的局域网，当黑客成功入侵内容源服务器所在网段的某台主机后，再利用ARP欺骗劫持会话，造成所有访问该内容源的客户机下载病毒木马或者弹出广告。（图6）

图6 黑客入侵示意

    ARP攻击利用的是网络传输协议的漏洞，只有修改网络协议才能从根本上解决这一问题，目前情况下只能做到缓解，其中很多工作要靠网管员来解决。普通用户能做的，是利用现有工具尽可能保护自身不被攻击，或者自己不要感染了ARP病毒去攻击其它计算机。金山ARP防火墙提供了简单的解决方案，可在一定程度上应对ARP攻击的挑战。（图7）

图7 金山ARP防火墙