【赛迪网独家报道】五一黄金周第一天，一种新的蠕虫病毒“震荡波”（Worm.Sasser）开始在互联网肆虐。该病毒利用Windows平台的LSASS漏洞进行传播，可造成机器运行缓慢、网络堵塞，并让系统不停地重启。

　　网络安全人士指出，所有的网络用户、PC使用者都要有足够的思想准备，信息社会将与各种病毒长期共存。现有的安全防护策略和技术只能在一定程度上遏制病毒传播、扩散

多媒体互动学英语 张国荣风采依旧一周年 金犊奖大陆初审揭晓 AC-尼尔森互联网调查

，尚无法制约病毒的源头传播。

　　魔高一丈：“震荡波”威力胜过“冲击波”

　　我们与病毒的抗争“道高一尺，魔高一丈”。比起“病毒前辈”来，新生物“震荡波”的威力和对PC世界的破坏程度都要远远胜出。

　　对于借助网络传播的蠕虫病毒，过去我们印象最深的是“冲击波”病毒（Worm.Blaster）。该病毒于2003年8月12日在全球爆发，它利用系统漏洞进行传播，没有打补丁的电脑都会感染该病毒，从而使电脑出现系统重启、无法正常上网等现象，这种特征与震荡波非常相似。

　　但是从技术上看，这两大恶性病毒有很多不同，属于“不同的分支门派”。首先，两种蠕虫病毒利用了不同的系统漏洞。冲击波病毒利用的是系统的RPCDCOM漏洞，RPC是Windows操作系统使用的一种远程过程调用协议，病毒攻击系统时会使RPC服务崩溃；震荡波病毒利用的是Windows系统的LSASS服务，该服务是操作系统的使用的本地安全认证子系统服务。

　　其次，病毒传播利用的端口不同。冲击波病毒会监听端口69，并模拟出一个TFTP服务器。病毒程序会启动一个攻击传播线程，不断地随机生成攻击地址，尝试用有RPC漏洞的135端口进行传播。震荡波病毒则会在本地开辟后门，然后自己作为FTP服务器等待远程控制，并疯狂地试探连接445端口。中毒后的PC系统将开启128个线程去攻击其他网上的用户，严重消耗资源并埋下网络安全隐患，可谓是“超级恐怖”。

　　再次，不同的病毒似乎对攻击目标都有不同的偏好。冲击波病毒攻击所有存在有RPC漏洞的电脑和微软升级网站，而震荡波攻击的是所有存在有LSASS漏洞的电脑，到目前还未发现有攻击其它网站的现象。

　　目前有90%以上的Windows2000／XP／2003用户没有给一个系统漏洞打上补丁程序，此前在微软MS04-011号安全公报中公布的这个漏洞被定为最高级。由于危险的系统漏洞，大多数电脑用户面对来势汹汹的“震荡波”措手不及。震荡波病毒自5月1日在网络上开始传播以来，全球已有约1800万台电脑感染。

　　据有关部门估计，5月1日～3日第一次震荡波病毒暴发在全国造成了10万～20万用户感染；从5月8日开始的第二次病毒暴发，给全国用户造成的损失已远远超过上一次，截至发稿前，业内估计全国约有至少55万台PC被感染，相关的经济损失已经超过8000万。

　　六个“孪生兄弟”：病毒变种善伪装

　　据专业病毒防治实验室的数据分析，导致震荡波疫情不断爆发的原因是除了蠕虫病毒本身的网络复制特性外，各种变种病毒的出现加速了震荡波的感染速度。迄今为止，“震荡波家族”已经有了六个变种病毒。

　　第一代震荡波（病毒A型）运行时会在内存中产生名为avserve.exe的进程，在系统目录中产生名为avserve.exe的病毒文件。

　　病毒B型将产生avserve2.1.exe进程，会导致无法打开网页；病毒C型产生avserve2.1.exe进程，将导致防火墙端口无法启动。5月8日以来肆虐网络导致大量PC瘫痪的元凶主要是C型震荡波。专家指出，C型病毒的网络传播速度是A型整整8倍！而且还具备一定反病毒侦察功能，是一个典型的改进型病毒，属于高危险病毒。

　　5月10日，病毒D型和E型相继问世，两种病毒分别产生skynetave.exe和lsasss.exe两种进程。5月11日，家族中最新的F型病毒也被截获。D型病毒很容易让人联想起“网络天空”病毒，而E型、F型两个新变种在技术上毫无创新，

　　其中F型变种将病毒进程伪装成napatch.exe，不会出现系统重启或关机的特征感染现象，但当它侦测到被感染电脑成功连接到其他电脑上时，就疯狂地将病毒传播给更多PC。

　　更有趣的是，由于病毒本身源代码存在漏洞（F型病毒变种是德国少年病毒制造者在被捕前仓卒完成的），它在运行一段时间后，会导致系统文件LSASS.EXE崩溃，再次造成系统不断重新启动。专家认为，F型震荡波变种所造成的影响应该不会超过C型变种。

　　相对来讲，5月11日出现的“震荡波杀手”病毒造成的危害可能会更大。“震荡波杀手”，顾名思义，它能清除震荡波病毒，但是这位“杀手”也不是什么善男信女——该病毒还是利用微软的LSASS漏洞进行传播，同样会造成网络堵塞和系统异常重启，传播感染速度也不逊于震荡波。

　　另外，据专家介绍，病毒在预定的时间到来时，还会对BBC.COM、BBCNEWS.com和IRNA.com（伊斯兰共和新闻社）等网站进行拒绝服务攻击。从病毒攻击的奇异行为看，病毒作者的目的很可能是以病毒攻击的方式来发泄不满。

　　经济现象：IT社会与病毒长期共存

　　时至今日，令人谈虎色变的病毒已经成了IT新经济不可或缺的要素了。因为有形形色色的网络安全需求，所以就有了网络安全市场。因为有了网络安全，病毒与反病毒之间的斗争构成了信息时代一道独特的风景。

　　一方面是各种病毒粉墨登场。“本来全球每天新增病毒10种左右，而2003年以来我们侦测的新病毒上升到了每天15～20种，较过去有所增加。”熊猫软件的CEO何支涛介绍说。海外有关数据显示，全球每月产生新病毒300种，一年就达到了4000～5000种。

　　2001年，全球因计算机病毒泛滥而遭受了129亿美元的经济损失，2002年这个数字上升到了160亿美元。著名的尼姆达病毒在全球感染了80万台PC，造成直接经济损失6350万美元，然而它还不算什么“毒霸”，“毒”步天下的病毒一数一大串。

　　1998年3月是美丽莎（Melissa）病毒，这是第一个大规模通过电子邮件传染PC的病毒；后来爆发于我国台湾省的CIH。Sircam病毒造成了11.5亿美元的损失，全球为“红色代码”买单达到26.2亿美元。

　　另一方面，网络的出现，尤其是宽带网络的广泛应用使得蠕虫病毒“群魔乱舞”。最早出现的以磁盘为介质的病毒传播形式在1997年达到高峰，之后便步步下滑，以网络传播为主的电子邮件病毒和包括即时通讯病毒在内的非邮件网络病毒比例日升，总数几乎达到九成多。互联网不像我们想象中的那么安全，病毒肆虐的网络天空不总是蔚蓝的。

　　过去病毒入侵的手段很有限，后来出现了猜密码的程序，有了密码攻击、分组窃听、IP地址欺骗等技巧。进入新世纪，又发展出了拒绝服务（DoS）、中间攻击、应用层面攻击、未授权访问、特洛伊木马（Trojan）等多种方式。

　　“2002年冒出了利用微软SQL服务器缺陷，采用病毒加黑客的混合手段攻击网络服务协议的方式，安全问题层出不穷，真是防不胜防。”思科公司安全事业部的总裁王兵评论说。

　　信息时代，我们发展出了一种战略优势，同时也必须承担由于这种战略优势所带来的战略劣势。我们总是幻想拥有完全的战略优势，并丝毫不承担的战略劣势，这样理想化的组合在现实世界不存在。

　　业内有种观点认为，人类的信息时代将与计算机病毒长期共存。“病毒就像老鼠和蚊子，寄生在人类社会中。”防范病毒，既要战略上重视也要战术上重视，“藐视病毒肯定要吃苦头。”

　　行业内对病毒制造者低龄化和病毒源代码的地下传播感到忧心忡忡，呼吁广大传媒和社会公众重视科技人才的人文教育，不要宣言被少数技术精英误导的“黑客文化”，更不要盲目崇拜。“中国不需要‘黑客帝国’。”人们戏称。

　　中国第一个五一黄金周，红色代码突然爆发，几乎让高速行驶的中国经济快车停驶，同时全球有5％的PC被感染。中国市场就存在一个疑问：是不是所有的高危险蠕虫病毒都在黄金周后爆发？专业人士认为，病毒爆发的时间存在一定偶然性，蠕虫病毒并非针对中国“特制”，但长假期间企业、个人用户疏于病毒防范，高危险病毒容易乘虚而入。

　　专家推荐三大防范措施：第一是及时关注微软官方网站公布的系统漏洞，下载正式补丁（有些非正式的补丁是伪装过的病毒）；第二，是购买专业杀毒软件厂商的软件及其后台服务，及时升级。“过去我们是买软件，现在要提倡买服务，定制服务。用户按一个按钮，网络后台千万个用户共享专业人士提供的网络安全服务。”网络安全要转型成IT服务，目前市场还有不少空白点；第三，也是最为实用的办法，就是定期备份PC上的重要文件。

　　（责编：王琳）

　　作者：金凡

　　（来源：赛迪网）