2007年中国电脑病毒疫情及互联网安全报告（全文）

    2007年，互联网迅猛发展，网络应用日益广泛与深入，网络炒股、网络游戏、网银用户大幅增长；与此同时病毒的“工业化”入侵以及“流程化”攻击等特点越发明显，以熊猫烧香、灰鸽子、AV终结者为代表的恶性病毒频繁出现，广大用户对互联网安全问题的关注日益增强。在2008年开始之初，我们一同来回顾一下2007年中国互联网的安全情况。

    一、 2007年中国互联网安全情况整体分析

    2007年，计算机病毒/木马仍处于一种高速“出新”的状态。2007年，金山毒霸共截获新病毒/木马283084个，较06年相比增长了17.88%，病毒/木马增长速度与06年相比有所放缓，但仍处于大幅增长状态，总数量还是非常庞大的。下图为近几年来的新增病毒/木马数量对比（图1）：

    在新增的病毒/木马中，盗号木马仍然首当其冲，新增数量多达118895个，黑客/后门病毒、木马下载器紧随其后，这三类病毒构成了互联网黑色产业链的中流砥柱。下图是不同类别病毒/木马比例图（图2）：

    2007年，据金山毒霸全球反病毒监测中心统计数据，全国共有49,652,557台计算机感染病毒，与去年同期相比增长了18.15%，互联网用户遭受过病毒攻击的比例占到90.56%。全国各省的计算机病毒感染量如下表（图3）：

    2007年十大病毒/木马

    根据病毒危害程度、病毒感染率以及用户的关注度，计算出综合指数，最终得出以下十大病毒/木马为2007年最危险的病毒/木马。

    危害程度：分5级，最高级为5。我们将危害的种类分为：A破坏用户系统，B盗取用户信息，C能进行自我传播 D广告行为 E下载其它木马

    5级：具有上述四种及以上行为的病毒/木马

    4级：具有述任意三种行为的病毒/木马

    3级：具有C行为加任意一种行为的病毒/木马

    2级：具有A B C任意一种行为的病毒/木马

    1级：具D E任意一种行为的病毒/木马

    病毒感染：对于广义的病毒定义来讲，本文所指感染包括病毒感染或木马入侵。

    病毒感染率：该病毒感染或入侵的计算机台数占总感染（或入侵）台数的比率，为方便统计，统称为感染率，下同。

    用户关注度：我们收集用户对病毒的关注数据，如：论坛讨论热度的评估，新闻及病毒分析报告的点击率或关键字热度，将其分为3级，热门、高度、普通。

    1、网游盗号木马

    这是一类盗取网游账号密码或装备的木马。这些木马具有高度的代码相似性，并且变种繁多，盗取各种网络游戏的帐号密码，这是木马产业化的一个产物。这类木马会在系统目录下释放一个exe文件和dll文件，后期的变种会在“%windir%Fonts”目录下释放一个dll文件和一个fon文件，同时关闭常用杀毒软件和windows自动更新。

    2、AUTO病毒

    该病毒在各磁盘分区根目录中生成AUTO病毒，分别是一个exe文件和autorun.inf辅助文件，它们都具有隐藏属性。当用户鼠标左键双击打开有AUTO毒的盘符时，病毒随即触发。随后病毒就修改注册表，创建服务，达到开机自启动的效果。

    当系统重新启动后，病毒便可自动运行起来，很多这类病毒会修改系统时间，使得某些根据系统时间判断软件有效期的杀毒软件停止工作。导致系统安全防护能力丧失，更容易被其它病毒侵入。

    随后，该病毒会尝试感染、阻止或干扰已安装的杀毒软件正常运行比如用户使用金山毒霸的反间谍隐蔽软件扫描时，病毒会突然弹出大量关于伪装成与金山毒霸相关的网页。由于这些病毒网页打开的的速度极快、数量繁多，系统资源将会被严重占用，最后甚至会死机。

    3、灰鸽子

    这个木马黑客工具大体于2001年出现在互联网上，当时被判定为高危木马。2004年的感染统计表现为103483人，而到2005年数字攀升到890321人。该病毒从2004年起连续三年荣登国内10大病毒排行榜，至今已经衍生出超过6万个变种。

    灰鸽子病毒的文件名由攻击者任意定制，病毒还可以注入正常程序的进程隐藏自己， Windows的任务管理器看不到病毒存在，需要借助第三方工具软件查看。中灰鸽子病毒后的电脑会被远程攻击者完全控制，黑客可以轻易的复制、删除、上传、下载保存在你电脑上的文件，还可以记录每一个点击键盘的操作，用户的QQ号、网络游戏帐号、网上银行帐号，可以被远程攻击者轻松获得。更有甚者，远程攻击者可以直接控制摄像头，远程攻击者在窃取资料后，还可以远程将病毒卸载，达到销毁证据的目的。灰鸽子自身并不具备传播性，一般通过捆绑的方式（包括：网页、邮件、IM聊天工具、非法软件）进行传播。

    4、熊猫烧香

    “熊猫烧香”是由Delphi语言编写的蠕虫，终止大量的反病毒软件和防火墙软件进程。病毒会删除扩展名为gho的文件，使用户无法使用ghost软件恢复操作系统。“熊猫烧香”感染系统的.exe、.com、.pif、.src、.html、.asp文件，添加病毒网址，导致用户一打开这些网页文件，IE就会自动连接到指定的病毒网址中下载病毒。在硬盘各个分区下生成文件autorun.inf和setup.exe，还会通过QQ最新漏洞、网络文件共享、默认共享、系统弱口令、U盘及移动硬盘等多种途径传播。而局域网中只要有一台机器感染，就可以短时间内传遍整个网络，感染严重时可以导致网络瘫痪或系统崩溃。

    5、AV终结者

    AV终结者集目前最流行的病毒技术于一身，而且破坏过程经过了严密的“策划”，普通用户一旦感染该病毒，从病毒进入电脑，到实施破坏，四步就可导致用户电脑丧失安全防护能力。

    1）禁用所有杀毒软件以相关安全工具，让用户电脑失去安全保障；

    2）破坏安全模式，致使用户根本无法进入安全模式清除病毒；

    3）强行关闭带有病毒字样的网页，只要在网页中输入“病毒”相关字样，网页遂被强行关闭，即使是一些安全论坛也无法登陆，用户无法通过网络寻求解决办法；

    4）在各磁盘根目录创建可自动运行的exe程序和autorun.inf文件，一般用户重装系统后，会习惯性的双击访问其他盘符，病毒将再次被运行。

    摧毁用户电脑的安全防御体系后，“AV终结者”自动连接到指定的网站，大量下载各类木马病毒，盗号木马、广告木马、风险程序接踵而来，使用户的网银、网游、QQ帐号密码以及机密文件都处于极度危险之中。

    6、艾妮

    艾妮是一个Win32平台下的感染型蠕虫，可感染本地磁盘、可移动磁盘及共享目录中大小在10K---10M之间的所有.exe文件，感染扩展名为.ASP、.JSP、PHP、HTM、ASPX、HTML的脚本文件，并可连接网络下载其他病毒。

    “艾妮”病毒集熊猫烧香、维金两大病毒危害于一身，传播性与破坏性极强，不但能疯狂感染用户电脑中的.exe文件，而且还可导致企业局域网大面积瘫痪。更为严重的是，“艾妮”利用微软最新发现的动画指针漏洞进行传播，几乎就在微软最新的动画光标漏洞发现的同时，就开始利用该漏洞进行传播，而且隐蔽性更强，用户很难察觉。

    7、MSN机器人

    这是一个通过MSN传播的病毒，该病毒有很多变种。该病毒的主要特点是通过MSN发送消息+病毒文件给好友。好友接收运行文件后，就会感染病毒。最新截获的变种为圣诞节变种，该变种会向msn好友随机发送“Christmas photo! :D”、“xmas photo!: D”等消息，并同时发送“Chirstmas-2007.zip”文件，解压后的文件名为img2007-12.JPEG.scr，用户运行该文件就会中毒。

    该病毒会连接IRC聊天室，由IRC聊天室接受黑客指令进行远程控制，使用户文件、资料、信息等面临被盗；并且用户主机可能成为“肉鸡”。

    8、维金变种

    2006年在互联网上疯狂肆虐的“维金”又出现了新的变种，危害更加严重。该病毒运行后，会在电脑系统里释放WebTime.exe病毒文件，并把自身注入到IEXPL0RE.EXE,连接到指定站点并搜寻电脑硬盘中的所有扩展名为.exe的文件，进行感染。某些变种还会在每个磁盘的根目录下生成病毒文件，使当用户点击磁盘盘符时，便可立即激活病毒。

    它还会把自身注入到用户电脑的IE进程里，同时终止多个杀毒软件的监控进程，并连接到指定的恶意站点，下载盗号木马或者其他感染型病毒，进一步侵害用户的电脑系统，不但导致用户的系统硬盘的资料和数据文件被损坏,而且有可能出现用户的电脑资料外泄和网络虚拟财产被盗等现象。

    9、瓢虫病毒

    “瓢虫”病毒与熊猫烧香类似，感染性极强，用户电脑一旦感染该病毒，除系统盘外，被感染后的exe文件图标将变成绿色的“小瓢虫”；同时，用户电脑内的浏览器、任务管理器、文件夹选项、系统时间等项目都将遭受破坏。该病毒还会打开各盘共享，使得计算机资源可以被随意访问下载。最主要的是，“瓢虫”病毒使用覆盖式感染文件，被感染后的文件将无法被恢复。

    10、网络红娘

    网络红娘是一个远程控制的木马，网络红娘可以轻易盗取被入侵者计算机上的信息。如：网游帐号，银行帐号等。常被用于网络游戏中盗取装备。首先，持有病毒服务端的人会在网络游戏中以女性角色“色诱”玩家，然后通过及时聊天工具(如QQ等)进行视频聊天，等玩家的戒备心理降低时，发送“我的照片”给对方，当玩家打开病毒伪装的“照片”时，病毒开始运行。该木马运行后会监视键盘和鼠标动作，收集客户端计算机的信息。然后，将这些信息发送给盗号者或黑客。盗号者可以发送命令查看他的桌面、当前运行的窗口的标题、文件的列表、文件的内容以及键盘记录等等。当发现了有用的信息之后，盗号者就趁机盗取。

    2007年其他值得特别关注的恶性病毒/木马

    “色戒”病毒

    “色戒”病毒并不是特指某个一病毒。而是借助电影《色戒》热播进行传播的病毒。病毒在一些网站上以“色戒”或“色戒完整版”的名义供用户下载。当用户下载完双击运行时，则病毒爆发，并下载执行大量其它病毒，如盗号木马等。

    因此，用户在下载电影后，如果字节数很小的话，往往只有几K的大小，则很有可能是病毒。而电影一般都有几百兆的大小。

    8749恶意软件

    2007年7月以来，8749的恶意软件在互联网上大肆传播，大量用户的IE浏览器首页被篡改为www.8749.com。由于8749采用了今年上半年的“毒王”AV终结者最新的病毒攻击技术，故普通用户很难彻底清除。

    8749不但具备流氓软件的一些基本特性，而且采用了删除系统文件、破坏安全模式等最流行的病毒攻击手段。与AV终结者相似，用户一旦中招，不但相关的修复工具、杀毒软件被禁用，而且只要用户打开带有“8749病毒”、“清除8749”字样的窗口，窗口即刻被关闭。