瑞星一周播报（2007.5.28—2007.6.3）

“网银间谍”出变种 网上炒股需小心

　　随着中国股市的火爆，很多股民开始青睐网上炒股。专家提醒，网上炒股存在安全隐患，用户需注意杀毒防黑。本周有一个病毒特别值得注意，该病毒试图窃取多家网上银行的帐号和密码，给用户带来经济损失。

本周关注病毒： 网银间谍变种FMC（Trojan.Spy.Banker.fmc） 警惕程度 ★★★☆

　　这是“网银间谍”的最新变种，它是能在Win9X/2000/XP等系统上运行的木马病毒，主要通过恶意网站传播。它会在系统后台隐藏运行，一般用户根本不会发现感染该病毒。它会自动检测用户是否登陆各大银行的网上银行系统，然后记录用户的键盘输入的信息，并将这些信息通过电子邮件、网页提交等方式发送给黑客。从而窃取用户的银行卡帐号、密码，给用户带来较大经济损失。

专家建议

　　专家提醒用户，网上炒股一定要注意：

　　一、安装并升级杀毒软件到最新版本，同时打开实时监控功能防止病毒的入侵；

　　二、采用带有“木马墙”的个人防火墙保护您的帐号、密码安全。

出处：瑞星公司

专家提醒利用数码相机传播的病毒不容小视

　　金山毒霸反病毒监测中心的统计数据显示，“五一”长假期间，国内有1421198台电脑感染病毒，仅5月1日当天，就有465733台电脑遭遇病毒攻击。

　　网络病毒往往利用网民节假日疏于防范的心理大肆作案。据这一中心初步统计，今年“五一”假期与上年同期相比，感染电脑病毒的台数提高了三成。其中，1日是一个高峰期；2日感染数量递减；3日－6日感染数量相对平稳；而7日感染病毒的数量又呈上升趋势。

　　金山毒霸反病毒专家戴光剑说，“五一”期间的电脑病毒主要以木马为主。这些木马病毒主要以盗取用户的网络游戏、网络银行的账号和密码为主，给用户的网络财产带来了极大威胁。

　　当前，用户除了首先更新电脑中的杀毒软件外，还要警惕带毒的垃圾邮件以及利用数码相机传播的病毒。长假结束，大量用户将长假期间拍摄的照片从数码相机中导出，也将给一些利用移动存储进行传播的病毒以可乘之机。所以，反病毒专家提醒广大用户在导出照片时，切记开启杀毒软件实时监控以及防火墙等功能，以防感染病毒。

P2P蠕虫开始肆虐网络

　　P2P（peer to peer）蠕虫正在网络空间到处肆虐。当人们享受着P2P带来的便捷时，病毒也乘机将它作为一种全新的传播通道和生存空间。

　　一年多来最大规模的电子邮件病毒Storm在4月12日开始爆发，它通过垃圾邮件进行大量发送，这次攻击中还出现了新型的转变，垃圾邮件以提醒用户小心检测到的虚假病毒（例如，“Trojan Detected!”，“Virus Activity Detected!”）为标题，从而引诱用户打开Zip文件。用户Storm蠕虫电子邮件中的可执行文件会在系统上安装带有反安全措施的rootkit恶意代码，使病毒扫描引擎无法发现恶意代码的存在，并关闭正在运行的安全软件。然后，该病毒会访问一个秘密的P2P网络，下载新的升级包，从被感染的计算机中上传用户的个人资料，同时扫描被感染PC的硬盘，查找可供发送电子邮件的地址。最终，被感染的PC将成为一个僵尸网络（BotNet）中的僵尸。

　　据研究人士称，Storm蠕虫迅速流行起来可能意味着得到受控制机器支持的犯罪活动将开始迎来新高峰。这种攻击又因为能够使用专用的对等网络来联系外部的控制服务器，最近得到了P2P蠕虫这一名称。P2P蠕虫的出现印证了后病毒时代的病毒发展趋势：在传播方面新病毒无孔不入，只要哪个互联网应用被广泛普及，哪个应用就会被病毒利用。

　　对新一代所谓的P2P蠕虫而言，由攻击者控制的被感染计算机组成大规模网络，并将成为强大引擎，使P2P蠕虫得以在网络空间到处肆虐。当人们享受着P2P带来的便捷时，病毒也乘机将它作为一种全新的传播通道和生存空间。

　　安全专家们预测：由于犯罪分子发现了新的方式，即利用被劫持的PC组成的僵尸网络来发动攻击，这种僵尸网络将成为IT界面临的最艰巨的挑战之一。

　　僵尸网络环环扣成产业链

　　网络安全专业公司Arbor Networks的高级软件工程师Jose Nazario认为，更高明的僵尸网络技术加上一群更广泛的破坏者企图利用被攻破的计算机谋利，这两个因素共同催生了一个繁荣的病毒产业，要迅速消灭威胁就更难了。

　　据专家们称，由于恶意软件编写者、广告软件发布者及行骗分子汇集了僵尸网络使用资源，并寻找利用系统的新方法，类似Storm的大规模P2P攻击会浮出水面。Storm攻击可以通过垃圾邮件进行迅速传播，这一特点类似比较传统的蠕虫活动。

　　Nazario介绍：“网络僵尸技术越来越容易使用，因为构建僵尸网络的人企图获得更广泛的客户，所以他们势必会把系统做得更容易使用。他们还找到了出于多种目的来销售僵尸网络的途径，随着我们看到僵尸网络在市面上大量涌现，几家主要的犯罪组织似乎也会相互勾结。 ”

　　Nazario近期受邀参加了在波士顿举行的名为HotBots的大会。他说，研究人员在会上得出结论，随着洗钱本领高超的犯罪团伙参与进来，并推动这个非法行业发展，规模较大的僵尸网络操纵者正变得更加恣意妄为。由于垃圾邮件发送者和广告软件公司的加入，像Storm这些蠕虫的发作可能会更加频繁。

　　Nazario说：“大家都想从中渔利，有许多新人进来，其中一些人的骗术比较高明。加上许多人使用僵尸网络提高欺诈性广告的收入，许多下一代垃圾邮件发送者充分利用这些僵尸网络，到处是贪婪的目光，结果也就可想而知。”

　　跟踪僵尸网络操纵者的研究人员面临的一个问题是，他们能不能渗入这个不法社区，又不会暴露身份。Nazario介绍说，这也是HotBots大会上激烈讨论的一个话题。另一个难题则是僵尸网络行业呈现出国际化的特性，因为许多不法分子来自东欧和亚洲。

　　Storm在2006年12月以大量的相关垃圾邮件拥塞网络，当时它还只是一种比较简单的特洛伊木马程序，不过已首次开始拉响警报。这种最新的攻击今年4月已衍化成极其邪恶的版本：把自己隐藏在受口令保护的ZIP文件里面，四处分发，从而避开反病毒系统，并且在被感染系统上安装root kit。

　　警惕僵尸网络变种

　　研究人士发现，实施攻击的不法分子显得越来越专业化，这是僵尸网络产业在不断成熟的另一个标志。另一个迹象是越来越多的僵尸网络只被每个攻击团伙使用一次，然后就弃之不用。Mcafee公司Avert实验室的安全研究和通信经理Dave Marcus分析，这一方面是由于攻击者更狡猾了，但另一方面是由于人们改进了防御机制。

　　Marcus说：“我们看到许多僵尸网络只有一个目的，就是获取经济利益。以前，你会看到大多数僵尸网络用于拒绝服务、垃圾邮件、广告软件和间谍软件，而现在越来越多的僵尸网络似乎是为了一个目的而构建的。显然，攻击者目的明确，只盯住最有利可图的方法，比较狡猾的攻击者还尽量不露出马脚。”

　　虽然2001年到2004年间传统的自我复制型蠕虫是攻击者的首选方式，但研究人士认为，来自僵尸网络的新型蠕虫会成为大规模攻击的一种流行平台，直到它们遭到阻拦，对此IT安全界应当有所防备。

　　专家们坚持认为，针对特定人群实施的有目标、小范围的攻击可能会让恶意软件编写者和网络犯罪分子获得最大的经济回报。不过近期袭击互联网的新病毒可能比较容易被发现，相对来说危害不大。

　　圣何塞软件开发商Secure Computing的首席研究科学家Dmitri Alperovitch说：“我们对基于电子邮件的蠕虫见怪不怪，但蠕虫基于Web进行传播的途径确实没有得到充分利用，所以这应当不足为奇。Storm只是早期利用这个机会的重大攻击之一，不过完全有理由相信：由于僵尸网络问题的严重性，我们可能还会看到更多的攻击。”

谨防“网游大盗”变种和“神秘鬼”变种

　　病毒名称： Trojan/PSW.GamePass.fbv

　　中 文 名：“网游大盗”变种 fbv

　　病毒长度： 32664 字节

　　病毒类型：木马

　　危害等级： ★★

　　影响平台： Win 9X/ME/NT/2000/XP/2003

　　Trojan/PSW.GamePass.fbv“网游大盗”变种 fbv是“网游大盗”木马家族的最新变种之一，由Delphi工具编写，经过tElock工具加壳处理。“网游大盗”变种 fbv运行后，在%WinDir%目录下释放病毒文件ms1ca853.dll，文件大小为32664字节。修改注册表，实现开机自启动。“网游大盗”变种 fbv会盗取包括“传奇世界”、“魔兽世界”、“完美世界”、“ 征途”、“武林外传”等多款网络游戏的帐户和密码，玩家计算机一旦中毒，就可能导致游戏帐号、装备等丢失，给玩家带来损失。

　　病毒名称： TrojanDownloader.Cryptic.gv

　　中 文 名： “神秘鬼”变种 gv

　　病毒长度：可变

　　病毒类型：木马下载器

　　危害等级： ★★

　　影响平台： Win 9X/ME/NT/2000/XP/2003

　　TrojanDownloader.Cryptic.gv“神秘鬼”变种gv是一个木马下载器，采用加密壳压缩保护，以躲避杀毒软件查杀。“神秘鬼”变种gv运行后，在后台秘密下载指定网址中的盗号木马，并且在被感染的计算机上自动运行。盗号木马秘密窃取用户网络游戏帐号和密码，给玩家带来损失。

“黑炸弹”病毒来袭 能删除硬盘文件

　　“黑炸弹”病毒就是这样一个例子，它采用与“熊猫烧香”类似的网页传播方式，传播迅速，并会破坏硬盘上的文件。

　　“熊猫烧香”之后，有多种恶性病毒模仿其传播和破坏方式，试图进行更严重的破坏。“ 黑炸弹”病毒就是这样一个例子，它采用与“熊猫烧香”类似的网页传播方式，传播迅速，并会破坏硬盘上的文件。

　　这是一个可以在Win9X/2000/XP等操作系统上运行的蠕虫病毒。运行后会把D盘到Z盘上所有的小于自身文件长度的文件删除，然后把自己伪装成目标文件。对于大于自身文件长度的文件，该蠕虫将用自己的文件内容覆盖目标文件，目标文件长度不发生改变。被破坏的文件的文件名不会发生改变。被该病毒“感染”的文件，图标会变成一个“黑炸弹”。

　　专家建议：安装专业的杀毒软件升级到最新版本，上网时打开杀毒软件的所有监控功能；不要浏览不良网站。