2004年：IT安全最坏的一年 也是最好的一年

　　业界专家一致认为，对于担心IT安全的人士而言，2004年既是最好的一年，也是最坏的一年。在这一年，许多臭名昭著的病毒作者被逮捕，但从电脑敲诈到身份窃贼在内的网络犯罪活动也呈燎原之势；ISP获得了垃圾邮件发送者数以百万计美元的赔偿，但垃圾邮件数量却也增长了40%。

　　据一些知名安全专家称，在2004年，旨在炫耀技术、扬名立万的业余病毒作者让位于职业的电脑犯罪集团，他们利用致命的威胁窃取互联网用户的金钱。

　　钓鱼式攻击数量激增

　　由于钓鱼式攻击的数量激增，利用钓鱼式攻击的网络身份窃贼成为了2004年安全故事中的主角儿。钓鱼式攻击是一种网络犯罪活动，它利用垃圾邮件将用户引导到由窃贼控制的恶意网站，这些网站看起来与正常网站没有什么区别。窃贼通常会以升级帐户信息为幌子要求用户提供机密资料。

　　在2003年9月份，电子邮件安全厂商MessageLabs公司只截获了279封钓鱼式攻击电子邮件，但到2004年9月份，这一数字就增长到了200多万。MessageLabs公司称，它在2004年截获了1800万封钓鱼式攻击电子邮件。反钓鱼式攻击工作组最近表示，在7-11月份期间，钓鱼式攻击网站每个月平均增长了28%。据该组织的秘书长彼特表示，在被关闭前，平均每个网站的运营时间为6天。

　　芬兰安全厂商F-Secure公司的米科表示，钓鱼式攻击数量的增长趋势是爆炸性的，它已经成为我们有史以来遇到的最大问题之一。

　　特洛伊木马成为最流行的话题

　　自古希腊以来，特洛伊木马从来没有象2004年这样成为一个流行话题。特洛伊木马程序的爆炸式增长使得不计其数的与互联网相连接的计算机成为了恶意黑客和国际网络犯罪分子的工具。自2004年1月份以来，躲藏在电子邮件和蠕虫病毒身后的特洛伊木马程序就大举进犯有缺陷的计算机。

　　一个典型的例子是无处不在的RBot，它能够使用多种方法进行传播。RBot能够收集系统信息，下载和执行文件，发动拒绝服务攻击，甚至能够远程地控制与互联网相连接的摄像头。据英国反病毒厂商Sophos公司称，第一种RBot特洛伊木马程序 ━━ RBot-A是在2004年4月份被发现的，最后一种 ━━ RBot RN是在12月份被发现的。在短短9个月的时间里，就出现了480种不同版本的RBot特洛伊木马程序。

　　Frontbridge公司的技术产品经理维拉表示，特洛伊木马程序和后门程序并非什么新东西，但它们在2004年的激增却是病毒作者、网络犯罪分子、垃圾邮件发送者合作的产物。

　　在许多臭名昭著的网络犯罪活动中，特洛伊木马程序一直是一个幕后角色。Sophos公司的高级安全分析师马斯托拉斯表示，Banker-AJ特洛伊木马程序感染计算机后，会潜伏下来，等到用户登陆网上银行网站时，它就会记录用户的击键情况，获得帐户资料。

　　维拉说，更多的特洛伊木马程序也导致了受控计算机网络的增长。他表示，去年底时，受控计算机网络的数量只有3000个，到今年年底前，这一数字已经增长至30万。这些网络的规模从100台被感染的PC到数以千计的PC不等。米科警告说，尽管我们平时不太注意受控计算机网络，但它比病毒要厉害得多。

　　法律打击力度加大，采取更好的安全措施

　　但2004年并非全是坏消息。尽管2004年的网络犯罪活动急剧增长，但也有许多臭名昭著的网络犯罪分子被绳之以法。今年5月份，德国警方逮捕了18岁的斯文，他承认开发和发布了Netsky、Sasser病毒，一名21岁的德国人也承认自己开发了Agobot、Phatbot这二种特洛伊木马程序。另外，偷盗“半条命 2”源代码以及思科公司的网络操作系统的源代码的犯罪分子也落入了法网。10月份，美国司法部逮捕了19名涉嫌参与交易盗窃来的身份资料的犯罪嫌疑人。

　　专家们一致认为，更严厉的执法，再加上更好的安全性将是遏止网络犯罪活动激增的这一趋势的最佳途径。马斯托拉斯说，要彻底消灭身份窃贼，银行、电子商务公司、用户需要使用强用户身份认证技术。在欧盟范围内，银行正在放弃使用静态的密码技术，我认为美国的银行也会采取这种措施。

　　马斯托拉斯表示，Domain Keys、Sender ID等电子邮件发件人身份认证技术也需要广泛普及，这将使犯罪分子更难以发动钓鱼式攻击。维拉说，各ISP还应当共享有关互联网攻击，以及网络上受到感染计算机的资料。

2004年恶意程序走势(二)

　　2004年见证了一场恶意代码编写者之间的争斗。Netsky不是简单的传染给计算机，它会删除已存在的Mydoom，Bagle，Mimail蠕虫。紧接着，Netsky的作者和对手Bagle的作者发动了一次文字战争。在它最猖獗的时候，每天都会出现一些这两个蠕虫的变种。

　　Bagle和Netsky的作者都将染毒附件加密。使其很难被检测到。邮件正文中包含文本或图形式的密码，用户会得到与运行附件有关的一切信息。

　　Mass－mailling是感染附件的技术。它于1999年第一次运用在Melissa上。从那以后已经被大多数攻击使用。无论如何，有两种方法可供选择。一种我们已经讨论过：互联网蠕虫，比如Lovesan,Welchia和Sasser通过系统直接感染。另一种在2004年更常见，它使用户直接连到含有恶意代码的网站。至于Mitgleider木马代理，我们很早就讨论过，不止是这种病毒采用这种技术，许多蠕虫也已经使用了它。

　　Netsky，例如,它会发一封包含一个链接的邮件，使用户的计算机连接到已被感染的计算机上。Bizex是第一个ICQ蠕虫。Bizex进入计算机通过ICQ向所有打开ICQ软件并且被感染的计算机发送链接，该链接包含蠕虫。用户一旦点击了该链接，将会从已被感染的网站下载蠕虫，并且周而复始地形成恶性循环。之后的Snapper和Wallon也使用同样的技术，用它下载被作者放置在网站上的木马。

　　迄今，包含链接的电子邮件还没有被收件者视为可疑对象，与双击一个附件相比，许多人还是很容易点击链接的。另外，这种方法可以有效“逃避”很多企业在互联网网关上部署的防御：它们通常阻止可疑的扩展名(EXE，SCR等等)，但是包含链接的电子邮件通过却未被注意到。无疑，这种方法将被继续使用，直到用户意识到点击恶意链接与点击附件具有相同的危害。

　　我们已经注意到特洛伊木马间谍数量的显著增加，这些木马用于偷取机密金融数据。每周都有许多新变种出现，通常在形式和功能上都不同。其中一些只是键盘纪录，它们通过电子邮件给特洛伊木马作者或者控制者发送全部键盘纪录。更多的说明是特洛伊木马间谍提供对被感染计算机的完全控制，给远程服务器发送数据流并且通过这些服务器接收高级命令。

　　这些被完全控制的计算机经常是木马编写者的目标。被感染的计算机频繁地合成网络蠕虫，经常使用IRC信道或者编写者存放新命令的站点。更复杂的特洛伊木马，像很多Agobot的变种，将全部感染的计算机组成一个独立的点对点网络。一旦建立了蠕虫网络，它们会被用于垃圾邮件分发，或DDoS攻击当中(就像被Wallon，Plexus，Zafi和Mydoom执行的那些一样 ) 。

　　我们也能够看见许许多多的木马下落者和木马下载者。它们的目标都是为了在已感染的计算机上安装其它的恶意代码，不管它是病毒，蠕虫还是其它木马。它们只是使用不同方法来达到它们的目的。

瑞星一周播报(2005.01.31－2005.02.06)

本周热门病毒：

    海啸（ Worm.Zar.a ）：警惕程度 ★★★☆ ，蠕虫病毒，通过邮件传播，依赖系统： WIN9X/NT/2000/XP 。病毒通过假冒的海啸慈善募捐邮件传播。用户运行了病毒邮件里携带的附件后就会被感染。中毒电脑会自动攻击德国的一个黑客网站。

本周发作病毒：

    ① JR 波特（ Backdoor.JrBot.a ）：警惕程度 ★★★☆ ， 后门程序，通过网络传播，依赖系统： WIN9X/NT/2000/XP 。病毒会攻击网上的机器，消耗系统资源，造成用户的电脑运行变慢。同时，病毒试图窃取用户的多种信息，如软件序列号、Yahoo user ID等。

    ② 灰鸽子变种 AC （ BackDoor.Huigezi.ac ）：警惕程度 ★★★☆ ， 后门程序，通过网络传播，依赖系统： WIN9X/NT/2000/XP 。病毒可以绕过防火墙的限制，让黑客远程控制中毒机器，进行获取系统信息、强制中毒电脑重启等危险操作。

本周升级版本：

    瑞星杀毒软件每个工作日常规升级一次，每周升级的新病毒总数不少于400个！遇到重大病毒第一时间提供解决方案。瑞星杀毒软件2005版、瑞星在线杀毒、瑞星杀毒软件2005“下载版”，这三款产品本周将同步升级至17.12版。

破坏不再是惟一目标 病毒开始传播政治观点

    【赛迪网讯】英国杀毒软件公司Sophos日前发现了两种在互联网上缓慢传播的电子邮件病毒“Mirsa-A”和“Mirsa-B”。这两种病毒携带的信息支持英国父权团体“寻求正义的父亲”(Fathers 4 Justice)的政治活动。这一迹象表明，病毒也可以用于政治目的。

    据介绍，这两种蠕虫携带的信息警告英国政府听取这个政治运动的意见。这个运动是为儿童争取看到父母和祖父母的权利，是一种新的民权运动。

    不过，“寻求正义的父亲”组织的发言人称，他们与这个蠕虫毫无关系。他说：“我们对此事毫不知情。这样做不是我们的风格。”

    制作这些蠕虫表明有些人正在利用计算机病毒作为推广他们支持的事业的一种方式，而不是为了引起混乱或者支持在线诈骗等犯罪活动。安全专家认为，以后还会出现专门传播政治信息的病毒。

    这种蠕虫作为电子邮件的附件进行传播并且利用社会工程学技术来吸引用户打开邮件。如果附件文件开始运行，这个蠕虫就会进行复制并且把自己发送到Windows地址簿中存储的邮件人。这种蠕虫还试图关闭鼠标和键盘的功能，并且设法关闭计算机。

    安全人士称，这种病毒是英国一个称做“UK Binary Division”的组织编写的。病毒的名称是根据医学上的一种病毒“MRSA”命名的。