本周关注的被挂马网站

　　“智联招聘”、“爱车网”、“邯郸市居民卡服务中心”、“中央民族大学党校”、“浙江省发展和改革委员会”的部分页面被黑客挂马。黑客利用被挂马网站的服务器漏洞和不安全设置进行入侵。用户访问这些页面后，可能会感染蠕虫下载器和大量木马病毒。

本周关注病毒：“NS蠕虫下载器变种AU（Worm.Win32.NSDownloader.au）”警惕程度 ★★★

　　该病毒运行后会通过多种方式关闭大量杀毒软件和安全工具，以躲避对其的查杀。并且会隐身自身，最后会直接访问黑客指定的木马网站下载大量木马，给用户电脑安全带来严重威胁。

防范方法

　　1、使用全功能安全软件，有效阻挡通过网页挂马方式传播的病毒；

　　2、安装上网安全助手，自动修复漏洞。

　　近日，卡巴斯基实验室呼吁全球用户警惕一种名为Kido（又叫 Conficker 或 Downadup）的蠕虫病毒。该蠕虫病毒具有极强的破坏能力，不仅能够创建十分强大的僵尸网络，还可以通过本地网络和可移动存储介质进行传播。经统计，世界上因为被Kido感染而沦为“肉鸡”的计算机数量已经达到了500万至600万之多。

　　根据卡巴斯基实验室的报告，早在2008年11月，卡巴斯基就已经发现kido蠕虫的第一个版本。研究显示，使用了非常高端的病毒技术，包括：能够从不停变换的在线资源中下载其更新，使用P2P网络作为额外的下载源，使用强加密技术来防止其和其命令控制中心之前的通讯被干扰，试图阻止反病毒软件进行反病毒数据库更新。更可怕的是，如果局域网中有一台计算机被Kido所感染，那么这个局域网中的其他计算机都有随时被“攻陷”的危险，因为被Kido感染的计算机会尝试对其他的计算机发起网络攻击。

　　 根据卡巴斯基实验室对Kido蠕虫的追踪研究，由其创建的、强大的僵尸网络，覆盖了大量的受感染计算机，其最新的变种能够通过随机算法生成高达50,000个域名，并从中选择500个以供该僵尸网络中的大量“肉鸡”进行在线更新。通过被Kido感染的计算机“肉鸡”所组成的巨大僵尸网络，网络罪犯便有能力对任何的网络资源发起致命的DDoS攻击，从“肉鸡”中盗取大量的隐私数据，并大范围发布垃圾数据（如垃圾邮件等）。

　　目前，可以确定的是，Kido利用微软的MS08-067漏洞对计算机进行感染。虽然微软已经在2008年10月发布了相应的补丁，但是根据卡巴斯基的统计数据表明，直到2009年1月Kido蠕虫大规模爆发时，仍有大量的计算机未打补丁。

　　病毒类型：木马病毒 病毒名称：Backdoor.Tidserv

　　受影响的操作系统：Windows 95/98/2000/Me/XP/Vista/NT，Windows Server 2003

　　病毒分析：

　　Backdoor.Tidserv通常将自己伪装成一个“电影场记板”图样的文件，作为垃圾邮件的附件进入用户计算机。由于文件图标很新奇，用户很可能被此诱导而点击并触发该病毒的执行。另外，Backdoor.Tidserv也可能通过偷渡式下载的方式，在用户浏览某些不安全网页时自动载入用户计算机中。Backdoor.Tidser会释放并运行以UAC开头的病毒文件，同时释放一个驱动程序将这些UAC开头的文件隐藏。更“奇妙”的是， 受感染的计算机中其他以UAC开头的文件也同样会被隐藏—即使它们是与该病毒无关的干净文件。病毒如此谨慎得不留一点蛛丝马迹，是为了更好地躲避防病毒软件的检测。另外值得注意的是，为了更好的隐藏病毒，

　　Backdoor.Tidserv通常会被加壳，如Packed.Generic.200等。而且这个“壳”变种迅速，增加了防病毒软件查杀该病毒的难度。

　　当计算机被Backdoor.Tidserv木马病毒感染后，用户会发现计算机中莫名其妙地跳出窗口播放“奇怪”的广告。另外，计算机的运行也可能会变慢，因为Backdoor.Tidserv会在被感染的计算机中运行一些其他用户未知的程序，并打开一个后门。

　　据国外媒体报道，网络安全公司Finjan公布的数据显示，通过欺骗用户购买假杀毒软件，黑客每日可获利1万美元。

　　Finjan称，通过关键词优化，黑客首先网民吸引到一些网站上，然后提示用户电脑中毒，建义安装杀毒软件。之后，黑客将用户重新指向销售假安全软件的网站，诱骗用户购买。

　　据Finjan连续16天的监控数据显示，有180万网民被重新定向到假杀毒软件网站，12%下载安装了该软件，1.79%以50美元的价格购买了该软件，黑客每日可获利1万多美元。

　　木马家族又添新成员“菠萝穴”变种kl。它实际上是经过特殊处理的“黑防专版”灰鸽子远程控制木马，有多层加壳保护。一旦入侵计算机，它会自我复制到“%SystemRoot%\”目录下,重新命名“twunk_31.exe”，并把文件属性设置为“系统、只读、隐藏”再把原文件删除。

　　它会将恶意代码注入新创建的“iexporer.exe”进程中隐秘运行，并在被感染计算机后台不断尝试与控制端链接。一旦链接成功，被感染的计算机便会沦为黑客的“傀儡”主机。黑客可通过该病毒向被感染的计算机发送恶意指令，包括文件管理、进程控制、注册表操作、远程命令执行、键盘监听、鼠标控制、视频监控等。

　　黑客还会向“傀儡”主机发送大量病毒、木马、流氓软件等恶意程序。此外，病毒会通过在系统注册表启动项中添加键值，实现木马的开机自启。