中国大陆地区07年 电脑病毒疫情和互联网安全报告
　　
　　《中国大陆地区2007年电脑病毒疫情和互联网安全报告》统计显示黑客利用加壳等手段“产业化、自动化生产病毒”成为趋势，使得电脑病毒数量暴增。2007年瑞星截获病毒样本数高达917839个，比去年增加70%。其中木马和后门病毒占总体病毒的84.5%，总数约为77万。

　　2007年出现的新病毒，不但数量上突增，传播手段也日益创新，这表现在四个方面：加壳病毒泛滥，病毒数呈现指数级增长；百度搜霸、realplayer等流行软件的漏洞被频繁利用；U盘病毒泛滥，U盘、mp3等移动介质成为病毒传播的重要渠道；黑客和杀毒厂商的技术对抗日趋激烈。

　　瑞星公司的统计表明，今年全国约有7300多万台电脑（包含企业用户）曾经被病毒感染，中国大陆地区已经成为全球电脑病毒危害最严重的地区。其中，以盗取网络游戏帐号为目的编写的“网游盗号木马”病毒成为新的毒王，“QQ通行证”病毒和“灰鸽子”分列第二、第三位。在各省疫情方面，广东省以911余万台次的数量领先，江苏、浙江等省市紧随其后。本次统计的前五个省市，染毒计算机都超过了350万台次。
　　值得注意的是，2007年新的安全热点是恶意网站，包括网页挂马（木马病毒）、钓鱼网站、流氓网站等成为新的最大的威胁来源。通过在网页内嵌入木马病毒进行传播，已经成为黑客传播病毒的主要渠道，而国内大量存在安全缺陷的网站，则给黑客提供了便利条件。所谓“流氓网站”，则介于以往的钓鱼网站和正常的商业网站之间，他们利用网站注册、网络交友等流程上的设计，以欺骗的手段获取用户隐私资料，强迫、骚扰用户及其好友，获取了大量有商业价值的用户隐私，成为近期发展最快的灰色网络行业

　　针对严峻的安全形势，瑞星等主流安全厂商都在产品技术和功能上做出了相应的调整。例如，“智能主动防御”技术被应用在瑞星杀毒软件2008版之中，它不仅通过“行为分析”技术有效地对未知病毒进行判别，同时还对系统中存在的易被病毒、木马攻击的脆弱点进行保护，这样就可以通过“先防后杀”的策略，有效保护用户的电脑安全。

　　报告关键词：

　　病毒加壳

　　2007年，黑客利用加壳等技术手段“工业化生产病毒”成为趋势，任何具备基础电脑知识的人，只要从网上下载加壳工具，就可以自动生产出病毒。因此，2007年瑞星截获病毒样本数高达917839个，比去年增加70%。其中木马病毒580992个，后门病毒194581个，两者相加约为77万，占总体病毒的84.5%

　　流氓网站

　　2007年，与流氓软件类似的“流氓网站”给用户带来极大安全隐患，他们利用网站注册、网络交友等流程上的设计，以欺骗的手段获取用户隐私资料，强迫注册、骚扰用户及其好友，获取了大量有商业价值的用户隐私，成为近期发展最快的灰色网络行业。

　　技术对抗

　　黑客与反病毒厂商之间的技术对抗发展到新阶段，从原来单纯的逃避追杀，发展到利用加壳、变形、结束杀毒软件等技术手段进行全面的对抗。病毒数量的暴增就是这个对抗过程的表现之一，这也给厂商带来了比较大的压力。而且，有的黑客组织甚至开始进行“前瞻性的研究”，针对瑞星最新采用的“主动防御”来研究反杀毒软件措施。

　　新的漏洞王

　　以往漏洞最多的是Windows系统，但在2007年，百度搜霸、暴风影音、realplayer等流行软件的漏洞成为病毒利用的新对象，本年度新出现的网页木马中，利用百度搜霸漏洞的占据总体比例的39%。未来的安全防护措施，已经不仅仅限于“打好windows补丁”，用户还要时刻注意常用软件的补丁更新。

　　U盘、ARP和网页挂马

　　2007年大多数病毒会同时利用多种方式传播，其中感染U盘、利用ARP方式感染局域网和网页挂马，成为其中最流行的三种途径。而且，这三者往往位于同一病毒的不同传播环节，有相互补充的作用，可以有效提高病毒的传播范围和能力。

　　2007年病毒形势小结：

　　应用软件漏洞增多使黑客侵入用户电脑更容易，加壳技术的应用导致病毒数量暴增，U盘等传播途径的利用使病毒传播更广泛，而本地化病毒的增多，使得某些国外厂商在技术上面临很大的压力。

　　针对上述问题，瑞星等杀毒软件在本年度做出多项技术应对，包括虚拟机脱壳技术、主动防御技术等，都在实际应用中取得了良好的效果，在可以预计的未来，病毒与反病毒之间的对抗将日趋激烈。

　　免责声明：

　　该报告综合瑞星新病毒快速响应部门、瑞星客户服务中心、瑞星互联网攻防实验室等部门的统计、研究数据和分析资料，仅针对中国大陆地区2007年电脑病毒疫情和近年来黑客攻击/病毒发展趋势进行统计、研究和分析。本报告提供给媒体、公众和相关政府及行业机构、厂商作为互联网信息安全状况的介绍和研究资料，请相关单位酌情使用，如若本报告阐述之状况、数据与其它机构研究结果有差异，请使用方自行辨别，瑞星公司不承担与此相关的一切法律责任。


[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

第一节 2007年电脑病毒疫情统计和分析

　　一、2007年电脑病毒数量统计

　　2007年瑞星公司共截获新病毒样本917839个（注1），比去年增加70.7%。其中木马病毒580992个，后门病毒194581个，两者之和超过77万，占总体病毒的84.5%。这两类病毒都以侵入用户电脑，窃取网游账号、银行和股票账号等信息为目的，带有直接的经济利益特征。





　　注1：关于调整本报告病毒数统计口径的说明：

　　关于新增病毒的数目，本报告采用“病毒样本数”，2007年上半年及以前的报告为“病毒记录数”。

　　病毒样本数：指的是瑞星公司收到的病毒文件数，包括而不限于exe、dll、com等类型文件。这些文件的大小、MD5值等都不相同，但文件名可能相同。

　　病毒记录数：指的是瑞星杀毒软件病毒库内的特征码条数，每条特征码可以查杀一个到多个病毒样本。

　　影响病毒记录数的因素：由于每个杀毒软件的核心引擎、使用技术不同，查杀同等数量病毒样本需要的病毒记录数不同，这样的差别，甚至存在于杀毒软件的不同版本上。例如，2007年上半年瑞星在病毒库中13万条记录，随后对其进行优化，优化后仅需11万。

　　这样，病毒记录数已经不能客观的反应病毒疫情状况，因此本报告采用“病毒样本数”作为统计依据。

二、毒王、十大病毒和疫情介绍

　　根据瑞星公司的统计分析，今年全国约有7300多万台电脑（包含企业用户）曾经被病毒感染，中国大陆地区已经成为全球电脑病毒危害最严重的地区。

　　其中，以盗取网络游戏帐号为目的编写的“网游盗号木马”病毒成为新的毒王，“QQ通行证”病毒和“灰鸽子”分列第二、第三位。在各省疫情方面，广东省以911余万台次的数量领先，江苏、浙江等省市紧随其后。本次统计的前五个省市，染毒计算机都超过了350万台次。

　　十大病毒排名如下：

　　1、网游盗号木马（Trojan.PSW.Win32.OnlineGames）
　　2、QQ通行证（Trojan.PSW.QQPass）
　　3、灰鸽子（Backdoor.Win32.Gpigeon）
　　4、魔兽世界木马（Trojan.PSW.Win32.WoWar）
　　5、威金（Worm.Viking）
　　6、尼姆亚（熊猫烧香Worm.Nimaya）
　　7、泽拉丁（Worm.Mail.Win32.Zhelatin）
　　8、AUTO蠕虫（Trojan.IMMSG.Win32.TBMSG）
　　9、传奇终结者（Trojan.PSW.Win32.Lmir）
　　10、帕虫（Worm.Win32.Pabug）



　　在2007年，黑客集团利用加壳手段“工业化生产病毒”成为趋势，他们只要从网上下载加壳工具，就可以自动生产出病毒。这使得新病毒样本的数目疯狂增长，从2006年的53万暴增到2007年的91万，同比增长70%，其中绝大部分是工具自动生产的加壳病毒。

　　同时，病毒传播手段的改进，包括U盘传播、ARP局域网传播、网页挂马等促使病毒传播能力强化。同时，一些广泛使用的流行软件，如百度搜霸等安全漏洞被利用，上述因素的综合作用，给中国大陆地区的互联网和电脑用户造成巨大的威胁。

三、2007年病毒趋势分析

　　1、加壳病毒泛滥，病毒样本暴增。

　　2007年，互联网上出现许多自动给病毒加壳的工具，黑客只要下载这些工具，就可以改变已有病毒的“面貌”，使得杀毒软件无法识别，网上已有近千种加壳工具，黑客们利用这些工具，“批量生产”出大量恶性病毒。在今年的90余万新样本中，有相当大的部分属于这类“变脸” 病毒。

　　如此巨量的病毒样本，给反病毒厂商带来了很大的处理压力。针对此种情况，瑞星公司采用了多种技术方式综合使用的办法，包括虚拟机脱壳引擎的改进和优化，木马强杀技术、主动防御技术等等。

　　技术上的改进，大大增强了瑞星杀毒软件对加壳病毒的处理能力。例如：瑞星2007年截获病毒样本91万，而实际加入病毒库中的记录为27万条，平均每条记录可以查杀3.3个病毒样本。



　　2、U盘病毒肆虐

　　随着网络视频、音乐、手机与电脑文件交换发展，U盘、MP3等可移动介质被黑客广泛利用来传播病毒。只要U盘在中毒电脑上使用过，就会被植入病毒，当它被拿到别的电脑上使用时，就会感染更多的机器。

　　目前通过U盘传播的病毒占据总病毒数的比例，从2006年的不足10%，上升到2007年的32%左右。而且，该传播方式往往和其它方式结合，以取得更好的传播效果。在瑞星杀毒软件2008版中，专门加入了“U盘病毒免疫”功能，只要用户安装之后，就会自动启动，使U盘病毒无法侵入用户电脑。

　　3、ARP局域网攻击

　　ARP地址解析协议是一种常用的网络协议，每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址一一对应，如果这个表被修改，则会出现网络无法连通，或者访问的网页被劫持。黑客利用ARP协议存在的缺陷，侵入某台电脑之后发送ARP欺骗攻击数据包，造成局域网内所有用户在访问网络时，收到的都是带毒的网页。


　　如果中毒电脑是位于数据中心内的服务器，则其所在vlan内的其他网站服务器在响应用户的http请求时，返回的页面也将带毒，这样遭受危害的客户端机器会以几何级数迅速增多，危害极为严重。2007年，使用ARP攻击感染局域网的病毒，在企业局域网、校园网络等特殊环境下造成了很大威胁。

　　4、网页挂马的流行



　　2007年，很多流行应用软件，包括百度搜霸、realplayer、Qvod等都曾出现安全漏洞。对于很多用户来讲，只要这些软件能够正常使用，就不会去升级新版本，这样使得很多用户的电脑都存在漏洞。这些用户去访问带毒网站的时候，很容易就会被感染。




　　同时，现在黑客们往往会利用社会热点来实施网页挂马攻击，例如电影《色戒》、贝布托夫人遇刺等，都曾被黑客利用来传播病毒。由于通过“网页挂马”可以快速的批量入侵大量计算机，获取经济利益，因此“网页挂马”成为黑客常用的攻击手段。

四、典型病毒现象、原因和解决措施

　　2007年新增的病毒中，绝大部分是木马和后门病毒，感染电脑后一般不会出现很典型的病毒现象。但是，由于其要想达到自己的破坏目的，一般会破坏杀毒软件、正常应用程序等。病毒产生的常见破坏现象有下列七种，普通用户可以根据列表来发现病毒的蛛丝马迹，并采用针对性的防护措施来防止：

　　1、网游、网银、QQ等密码账号被盗。

　　2007年，瑞星截获窃取用户的账号木马和后门病毒共计77万，占据总体比例的84.5%，病毒数量暴增，用户电脑存在漏洞的现象也愈加严重，这就造成盗号现象高居不下的严峻局面。

　　对于这些盗号病毒，瑞星在2007年推出了“账号保险柜”技术，它是主动防御技术的延伸，集成在瑞星杀毒软件2008版中。只要用户安装了瑞星杀毒软件，电脑上重要的网游、网银等程序就会被自动放入“账号保险柜”，阻止未知木马的侵袭。

　　2、经常收到QQ、MSN好友发来的带毒网站。

　　MSN蠕虫、QQ尾巴病毒，仍然是黑客喜欢的病毒传播方式之一。瑞星杀毒软件2008版中的主动防御功能，可以阻止未知程序注入内存、阻止模拟键盘输入等，从根本上阻止病毒向外滥发消息。用户只要把QQ、MSN加入“账号保险柜”，就可以阻止病毒向外发送消息。

　　3、软件运行异常，任务管理器等常用软件不能运行。

　　任务管理器、softice等专业软件，往往被用来手工清除病毒。为了对抗清除，大多数病毒会强行终止这些软件的进程，使其无法运行或者功能不全。针对此类威胁，用户可以采用主动防御里的“应用程序”保护，把易受攻击的程序保护起来。

　　4、电脑运行变慢。

　　很多病毒会启动多个进程，进行多种危险操作，大量耗用系统资源，使电脑运行变慢。当然，流氓软件、系统垃圾等等也可能造成同样的现象。用户可以先对电脑进行全面的病毒扫描，再利用卡卡上网安全助手清除系统垃圾和流氓软件，这样既可以使电脑的运行速度大大加快。

　　5、电脑无故弹出黄色暴力网页，或频繁弹出广告。

　　这是由于木马病毒潜伏在后台，强行把用户引导到不良网站上。用户可以先对电脑进行全面的病毒扫描，再利用卡卡上网安全助手清除流氓软件。

　　6、IE浏览器首页被修改。

　　很多木马会频繁修改系统设置，强行把浏览器的首页锁定为商业网站或不良网站。用户可以先对电脑进行全面的病毒扫描，再利用卡卡上网安全助手清除流氓软件。（一定要先杀毒，因为病毒会锁定系统设置，不清除的话无法改回原样）

　　7、系统时间被修改。

　　由于一些国外杀毒软件在系统时间的处理上存在瑕疵，当系统时间异常时会失效，无法正常运行。很多病毒利用了这一点，把系统时间修改之后使其关闭，然后再侵入用户系统进行破坏。用户可以利用瑞星杀毒软件对电脑进行全面扫描，清除病毒后即可手工设置回来。

第二节、互联网用户安全威胁分析

　　一、流行应用软件成为黑客/病毒的攻击重点

　　以前，wndows系统的脆弱被大家公认，但是由于微软会定时发布相应的系统补丁，用户只要即使弥补，就不会造成太大的危害。在2007年中，这种情况有了巨大的改变，百度搜霸、暴风影音、Qvod（Q播）、realplayer等流行软件取代了windows的“漏洞王”地位。

　　它们不但有着巨大的用户群体，而且没有固定的补丁发布期限；很多用户只要能正常使用，就不会因为安全问题而去安装更新的版本，这样的话，数千万存在漏洞的软件就被安装到用户的电脑之中，用户去浏览带毒网站时很容易被病毒感染。

　　根据瑞星的统计，2007年中，被黑客利用的应用软件漏洞如下图所示：

二、windows系统漏洞

　　Windows系统漏洞可能给系统造成非常大的安全损害。2007年4月，微软浏览器的“动画图标文件栈溢出漏洞”被曝光，其影响包括vista在内的windows主流操作系统产品。在微软发布补丁之前，利用该漏洞的攻击方法已经在互联网上传播，并且出现了利用该漏洞的“ANI蠕虫”病毒。

　　“ANI蠕虫”病毒的传播手段和危害方式和臭名昭著的“熊猫烧香”病毒类似，但是由于其使用的是微软尚未发布补丁的漏洞进行传播，具有更强的危害性，瑞星为此发出2007年第一个“橙色安全警报”（二级）。

　　相对来讲，弥补系统漏洞的工具和技术都比较成熟。如瑞星杀毒软件2008中集成的“漏洞扫描”，完全采用了傻瓜化的操作模式，用户可以很轻松的弥补系统里所有的漏洞。同时，瑞星主动防御技术中也包含了“系统加固”功能，针对容易遭到病毒攻击的注册表、系统驱动等脆弱点进行保护，可以在很大程度上阻止漏洞型病毒对系统的危害。

三、流氓网站的兴起

　　2007年，以强迫（诱骗）注册、骗取用户的各种隐私资料为特征的“流氓网站”开始兴起。与传统的钓鱼网站、挂马网站不同，这些“流氓网站”往往是正规的商业公司，他们甚至拥有海外投资背景，有着完备的组织团队。

　　这些流氓网站往往会抄袭某个国外热门网站的商业模式，例如facebook、youtube等，但是在关键性的环节上采用类似病毒、木马的技术手段，以损害用户的隐私安全、使用感受为代价，取得最大的商业利益。

　　流氓网站的典型表现包括：

　　1、强制（诱骗）用户注册，而且用户注册后的帐号无法顺利注销。例如，有的网站在用户要求注销自己的帐户时，不但要求其回答各类复杂的问题，甚至会要求用原始注册邮箱提供注销激活码等。

　　2、网站要求用户填入QQ号、MSN密码、手机号等隐私资料，而用户只要提供这些资料，网站就会以用户的名义，在MSN上骚扰其好友，要求好友注册网站、提供手机号等隐私资料。

　　3、擅自出售用户的隐私资料获利。例如，有的网站注册之后，就会把用户的手机号、QQ号等出售给需要的商家，于是用户就会不断收到推销保险、推销炒股软件的垃圾短信。

　　4、有的网站，为了提高自己的浏览量，甚至开发了专门的强制浏览插件，当用户上网时，会在后台偷偷打开自己的网页，借以获取大量广告收入。

四、小结：互联网安全趋势恶化

　　随着网络炒股、网络视频等新兴应用的火爆，用户与网络之间需要越来越多的交互，这就给黑客带来了攻击的机会。而一些基础性程序、应用软件存在漏洞，使得木马病毒、下载器、钓鱼网站等攻击越来越泛滥，整个互联网的安全形势不容乐观。

　　在日常的安全防护中，不但要重视Windows系统漏洞的弥补，还要注意防范应用软件的漏洞。例如某些IE浏览器的插件、输入法、影音播放等应用软件，都可能成为病毒攻击的对象。用户使用这些软件时不要仅仅关注他们的功能，还要注意其安全性能，并使用最新版本的软件。

第三节 主动防御：有效解决三大安全问题

　　安全厂商在与病毒的对抗中，面临着众多的问题，包括反病毒产品的普遍适用性、用户的薄弱安全意识如何用技术弥补、流氓软件（灰色软件）与病毒的模糊辨别等一系列问题。但是在2007年中，有三大问题特别值得重视，它给整个安全行业带来了巨大的压力：

　　这三个问题是：

　　第一、如何发现判定未知病毒（未知威胁）。
　　第二、针对未知病毒（威胁）的泛滥，怎样增强计算机系统的主动防御能力；
　　第三、如果有些未知病毒的侵入不能完全避免，怎样才能降低它们所带来的损失；

　　一、如何发现（判定）未知威胁

　　从2007年的发展状况看，新增病毒数量仍然呈现爆炸式增长，这给病毒分析人员带来越来越大的压力。根据专家介绍，一个熟练的病毒工程师，每天可以分析40-50个样本，而现在每天出现在网络上的病毒样本平均为3000—4000个，这样的产生速度，几乎已经到了厂商捕获和分析能力的极限。

　　如果不能在技术上遏制这个趋势，那就会产生两个后果：传统的病毒采集渠道不堪重负，在短时间内收集不到必须的样本；而限于现有的病毒分析能力，即使收集到足够的病毒样本，海量的病毒也会让病毒分析人员无所适从。这就导致杀毒软件赖以生存的“特征码扫描”技术面临严峻的挑战。

　　因此，越来越多的安全厂商开始研究如何快速的发现（判别）未知（威胁），行为分析被认为有效解决这一问题的手段之一。
　　
　　目前，行为分析主要分为虚拟机方式和监控方式。虚拟机行为分析是模拟操作系统环境，把程序放入虚拟机中“运行”观察程序的系统动作模式（行为）进行判定；而监控行为分析方式是指在真实操作系统环境中拦截（观察）程序的系统动作模式（行为）进行判定。

　　基于虚拟机的行为分析

　　瑞星很早就开始对基于虚拟机的行为分析技术进行研究，并在2003年底将该技术应用到瑞星杀毒软件2004版当中。当时的扫描引擎不仅可以有效地发现DOS及Win9X下的感染型未知病毒，并且还能够安全地清除掉这些未知病毒。

　　由于技术的发展，使得Windows系统越来越复杂，要想模拟出较为“完美”的系统环境需要占用较大的系统资源，这使虚拟机行为分析变得较为困难。尽管如此，虚拟机技术仍然在反病毒领域有着较高的地位，瑞星也没有放弃对虚拟机技术的研究。比如，瑞星杀毒软件2007版采用的虚拟机脱壳引擎就是通过制造一个虚拟的运行环境，对一些加壳加密的病毒进行脱壳，查杀病毒。由于虚拟机脱壳不需要创造一个完整的运行环境，因此对系统资源占用很小，速度也较快。



      随着计算机硬件技术的不断发展，Intel、AMD的CPU直接支持虚拟机指令，使得虚拟机的执行效率得到很大改善，虚拟机行为分析将会成为未来反病毒软件查杀未知病毒的重要技术手段之一。

　　基于监控的行为分析技术

　　基于监控的行为分析技术，瑞星杀毒软件2007版也已经开始采用。IE执行保护是针对目前网络挂马现象严重而开发的功能，它会自动对程序的动作进行判断。当发现带毒网站有试图利用用户计算机漏洞自动下载运行病毒的动作时，自动将其阻止。

      瑞星杀毒软件2008中引入的恶意行为检测是一套较为成熟的基于监控的行为分析。它完全模拟反病毒专家分析病毒的过程，先对程序动作进行观察，然后分析程序动作之间的逻辑关系，并使用预装的病毒模式特征库进行判断，进而检测出病毒。

     

      由于行为分析技术是基于程序的行为特征进行判断，属于一种模糊判别。因此，行为分析不可避免的会遇到误判的问题。某个主动防御软件的做法是引入白名单进制，发现有误判的就加白名单，致使软件要像升级病毒库一样升级白名单库，同时会造成白名单数据库庞大，对系统资源占用较高的问题。同时，当一个正常软件升级后，必须将其升级版本也加入白名单，否则就会再次发生误判。

      为了解决这一问题，瑞星杀毒软件采用了病毒的家族特征判别技术，有效的提高了行为分析的准确率。