瑞星一周播报（2005.03.21—2005.03.27）

本周热门病毒：

　　MSN 木马变种P/Q/R/S/T/U（Worm.MSN.Bropia.p/q/r/s/t/u）：警惕程度★★★★，蠕虫病毒，通过MSN传播，依赖系统：WIN9X/NT/2000/XP。中毒电脑向MSN好友自动发送病毒文件，用户运行这些文件之后就会中毒。病毒还会造成杀毒软件以及一些常用工具软件出现异常无法使用。

本周发作病毒：

　　①　SCO炸弹变种AR（Worm.Novarg.ar）：警惕程度★★★★，蠕虫病毒，通过电子邮件传播，依赖系统：WIN9X/NT/2000/XP。病毒会盗取“淘宝网”、“工商银行”、“招商银行 ”、“农业银行”、“建设银行”等网上拍卖网站、网上银行及其它一些网上支付系统的账号和密码，给用户的财产带来损失。

    ②　好友盗号器变种R（Trojan.QQPSW.EasyGet.r）：警惕程度★★★☆，木马病毒，通过网络传播，依赖系统：WIN9X/NT/2000/XP。病毒运行后会自动用IE浏览器显示一张美女图片。病毒会不断记录用户的键盘操作，从而窃取用户的QQ号、密码等信息，并发送到黑客指定的信箱中。

本周升级版本：

　　瑞星杀毒软件每个工作日常规升级三次，每周升级的新病毒总数不少于400个！遇到重大病毒第一时间提供解决方案。瑞星杀毒软件2005版、瑞星在线杀毒、瑞星杀毒软件2005“下载版”，这三款产品本周将同步升级至17.19版。

出处：瑞星公司

瑞星发布2004年度报告 病毒、黑客威胁呈四大趋势

　　近日，国内知名信息安全厂商瑞星公司发布《2004年度中国大陆地区计算机病毒、黑客疫情报告及发展趋势分析》( 以下简称《瑞星报告》)，该报告显示，2004年中国大陆地区计算机被病毒感染数量呈上升趋势，“网络天空”病毒排在年度十大恶性病毒之首。

　　《瑞星报告》指出，本年度计算机病毒和黑客攻击呈现出四大发展趋势，以骗取电脑用户网络虚拟财产、信用卡、证券资料等赤裸裸的利益诉求为目的病毒和黑客攻击将愈演愈烈。瑞星反病毒专家将这些趋势归纳为：一、造病毒越来越容易，病毒变种越来越多；二、漏洞病毒出现的越来越快；三、病毒和黑客越来越贪婪；四、病毒和黑客越来越聪明，骗术越来越高。

　　根据瑞星全球病毒监测网(国内部分)、瑞星客户服务中心、全国反病毒服务网以及“在线查毒和杀毒”等多个部门联合监测统计，2004年对用户造成破坏最大的十大病毒排行分别如下：

浅谈关于Unix系统下的病毒特点

　　ELK CLONER：第一个计算机病毒，它将会得到你磁盘上所有的东西，它甚至将渗透到芯片内部，这就是Cloner!它会象胶水一样粘住你，它还会修改内存!

　　计算机病毒是一种在大量的电子破坏技术手段中最著名的成员。他们实际上就是一些非常危险的恶意程序，他们是丑陋的，不过在我看来他们很可爱，原于我对Internet的驾驭和对计算机程序的探索。他们会复制自己并且可以传染其它文件，直至现在，这些被传染的文件甚至包括了那些很清白的文档文件。而且他们很容易获得，他们可以随处传播，任何时间，任何地点。实际上，没有一个OS可以完全抵御病毒的。一个病毒可以完全依靠系统本身进行复制，比如利用Windows系列操作系统的pe格式的可执行文件，利用类unix操作系统的elf格式。所以任何计算机病毒都依附于OS的体系结构，各种OS的病毒的写法都不一样，但任何OS也逃避不了病毒，包括Linux。

　　正如以上所说，Linux也可以被感染。就象Windows NT或者Mac OS这样的操作系统。不论是PC机上的DOS或Windows，或者是Amiga，都可以创造出病毒代码。那么，我们为什么不来看看在Windows NT或Linux系统上的一些病毒呢？

　　你也许会奇怪，事实上第一个计算机病毒是Unix病毒。FredCohen在4BSD的VAX系统上编写了一些非常早的Unix病毒，一年以后Elk Cloner就诞生了。由于Unix系统具有内存保护机制，所以人们不太相信Unix系统上的病毒的危害性会超过Windows和DOS系统，但他们错了。

    一些公共的误区

    一个最大的误区就是很多高性能的安全系统对病毒蔓延的预防。因为我们是利用DOS系统和它本身并不存在任何内存保护机制和数据保护机制，我们认为病毒可以完全控制计算机的所有资源。是的，他们会很轻易的称为DOS和简单的Windows操作系统的完全控制用户，没有内存保护机制和数据保护机制，计算机病毒可以夺取所有的计算机控制权。相对来说，Windows NT 和Unix系统是非常高级的保护机制的系统。这可以预防大多数的病毒的传染，但不是所有的。当一个用户以root或administrator的身份来操作的时候，这些系统的保护机制实际上是停止了的。一个设计的很巧妙的病毒可以利用自己的方法来找到文件系统上的每个文件，NT ownership或者ACL机制都没有很好的重视这个问题。

　　另一个误区就是认为Linux系统尤其可以防止病毒的感染，因为Linux的程序都来自于源代码，不是二进制格式。这才应该值得重视，因为毕竟只有极少数的人(甚至管理员)才有足够的能力来从源代码中发现病毒代码，而且这是一个相当耗费时间和精力的工作。一般的用户习惯于用二进制格式的文件来交流，因为他们不想在使用这些程序的时候还要很繁琐的执行诸如 make config，make之类的命令。他们喜欢很简单的运行程序。所有的这些原因就给了Unix系统上的病毒有足够的空间来访问和操控系统。

    第三个误区就是认为Unix系统是绝对安全的，因为它具有很多不同的平台，而且每个版本的Unix系统有很大的不一样。但是现在不能这样看了。现在的病毒都用标准C来编写，以适应任何类Unix操作系统，并且他们可以用make程序来跨平台编译。想想那个Morris写的 Internet的蠕虫病毒利用的就是这项技术，并且拥有标准的ELF二进制格式和库文件。

    Shell 脚本

    我们面临的第一个问题就是如何传播的问题，这是天生具有的问题，至少在Unix系统上是如此，我们需要想办法使各个平台兼容。所以我们首先想到的是：shell脚本语言，shell在不同的Unix系统上面的差别很小。所以FredCohen在他的书《入侵者，蠕虫和病毒》(发表于1990 年)里写到：“在Unix的命令解释语言中，病毒代码可以被写到200个字节之内”也许我们可以根据他的话来写一个man page的病毒脚本，可以用来操作文件和可执行程序。这和宏病毒非常相像man page的病毒不会蔓延到别的系统上，除非你有为别的用户改变man page的格式的习惯。无论如何，这种病毒都是一个公共的跨系统的病毒。同样，也可以写另个一个脚本病毒来控制mail的阅读者。

    书写shell脚本病毒是一个很简单的制造Unix病毒的方法。我知道肯定会有很多同行会说，脚本病毒怎么会是真正的病毒呢？它只是用脚本语言来书写的而不是用汇编。但是实际上，我们评定一个病毒是病毒本身可以在系统上任意感染传播，而不是这个病毒的大小或者用什么语言来写的。在USENIX1989卷2上你可以看到Tom Duff和M.Douglas McIlroy的脚本病毒代码。 shell脚本病毒的危害性不会很大，并且它本身极易被破坏，因为它是以明文方式编写并执行的，任何用户和管理员都可以发觉它的代码。但是，我想大多数的用户都不会理解以下代码：

    for %%f in (*.bat) do copy %%f + bfv.bat

    通常一个用户会深信不疑的去执行任何脚本，而且不会过问该脚本的由来。这样，这些用户都成为病毒的目标了，这些都是用户的意识问题，这样是没办法避免病毒的入侵的，所以我们的用户需要大大加强对这些病毒的防范意识。

    蠕虫

    另外的一个影响广泛的技术就是蠕虫，想象一下Morris蠕虫：利用攻击程序 — 一般这些攻击程序都是已经存在的技术。这个蠕虫利用一个sendmail程序已存在的一个漏洞来获取其它机器的控制权。病毒一般会利用rexec，fingerd或者口令猜解来尝试连接。在成功入侵之后，会编译在目标机器上编译源代码并且执行它。而且会有一个程序来专门负责隐藏自己的脚印。 Internet的蠕虫病毒一般都是利用已知的攻击程序去获得目标机的管理员权限，但是蠕虫的生命也是很短暂的，当该病毒所利用的漏洞被修补的话，那么该蠕虫也就失去它的作用了，因为他们需要利用exploit这个媒介来进行自身的复制。而exploit又是只针对特定版本的特定程序才会有效的，所以蠕虫的跨平台能力很差，时效性也很弱。

    欺骗库函数

    我们可以愚弄那些比较傻的用户。如果你利用LD_PRELOAD环境变量来捉弄他，你可以让他执行你自己的代码，你已经利用LD_PRELOAD环境变量把标准的库函数替换成了你自己的程序。挺有意思吧？LD_PRELOAD并不是linux系统特有的，并且它一般用在一些应用程序(比如老版本的StarOffice需要运行在较新版本的Redhat系统上)，必须用他们自己的(或者比较老的版本，或者修改过的)库函数，因为在安装的时候没有满足他们的需求。

　　内核级的传播

　　这里我们称作"内核级别的病毒"，病毒可以传染内核映像，这样病毒可以控制系统的方方面面。但是这种病毒技术目前尚处于理论阶段，并没有真正实现，但并不代表以后都不会出现。

    与平台兼容的病毒

　　如果我们用标准C来书写病毒代码的话，各种不同体系的Unix系统对于我们来说变化不大。我们只需要对方计算机有一个C编译器，这样的病毒可以很轻易的扩散，利用普通用户的 。.rhosts文件这种小技俩就可以做到。假如没有exploits(是有可能的，因为病毒是跨平台的，因而它可以不借助Exploit来四处扩散)，这种可以跨平台的病毒的传染面是非常广的，而且似乎根本没有结束的时候。

　　当然，很多病毒都还是用汇编来编写的。有很多著名的病毒，但不是第一个Linux病毒 Bliss，第一次发表于1997年。Bliss传染ELF格式的二进制文件，但是并没有太多的伤害。它甚至可以利用被感染文件的--bliss-disinfect-files-please参数来卸载。假如你需要在你的文件里查找Bliss，注意以下字段：

　　E8ABD8FFFFC200003634 65643134373130363532

    最早的Linux病毒是Staog，比Bliss早半年。它用汇编书写并且利用三个/dev/kmem的 exploits来获得的特权，它可以感染任何文件并且可以传播。它的关键字段：

　　215B 31C 966B9FF 0131C 0 884309884314B00FCD80

    当我们利用ELF格式的二进制文件来做病毒，这种病毒被誉为计算机病毒中的标准模式—他们用汇编编写并且它们通过可执行程序感染，很象典型的DOS下的病毒。可以通过往elf文件的文本段之后的填充区增加代码来感染ELF文件，搜索目录树中文件的ET_EXEC和ET_DYN标记看看是否被隐藏(这些依靠管理员自身的经验)。

    当然，在Linux系统下实现这种病毒并不太容易。如果一个病毒感染的文件属于是普通用户权限的话，那么病毒所得到的权限当然也就只有普通用户权限(并且病毒不会利用Exploit 来提升权限)，只能对该用户权限级别的文件和数据造成危害。但是当一个病毒感染了一个 root 权限的文件的话，那么它就可以控制系统的一切了。

    我们安全么?

　　一个很实际的问题。现在我们的Linux系统还可能比较安全，但以后不代表一直这样。 Linux系统越来越流行，这将引来一大批的病毒制造者的目光。很多用户都有可能是潜在的病毒制造者，而且如果把Unix的很多用户对Unix本身的了解正在减少算在内的话，我们就麻烦了。现在已经有了一些Linux系统上的反病毒程序。现在甚至包括我还有很多Unix的系统管理员在内都对制造反病毒程序非常感兴趣。在一个蠕虫出现之后，我们可以查阅各种文档，甚至书籍，所以我们都一直也在努力着。

经验之谈 — 判断电脑是否感染了病毒

    我的电脑经常出现死机、运行速度慢等异常情况，使用了多种杀毒软件也不见效，如何判断电脑异常是否是病毒在作怪？

　　这样的例子并不少见，特别是对于一些初级电脑用户。下面我就结合个人电脑使用及企业网络维护方面的防毒经验从以下几个方面给大家介绍介绍如何判断是否中了病毒，希望对帮助识别"真毒"有一定帮助！

    病毒与软、硬件故障的区别和联系

　　电脑出故障不只是因为感染病毒才会有的，个人电脑使用过程中出现各种故障现象多是因为电脑本身的软、硬件故障引起的，网络上的多是由于权限设置所致。我们只有充分地了解两者的区别与联系，才能作出正确的判断，在真正病毒来了之时才会及时发现。下面我就简要列出了分别因病毒和软、硬件故障引起的一些常见电脑故障症状分析。

    症状、被入侵的可能性 软、硬件故障的可能性

　　经常死机：病毒打开了许多文件或占用了大量内存；不稳定（如内存质量差，硬件超频性能差等）；运行了大容量的软件占用了大量的内存和磁盘空间；使用了一些测试软件（有许多 BUG ）；硬盘空间不够等等；运行网络上的软件时经常死机也许是由于网络速度太慢，所运行的程序太大，或者自己的工作站硬件配置太低。

　　系统无法启动：病毒修改了硬盘的引导信息，或删除了某些启动文件。如引导型病毒引导文件损坏；硬盘损坏或参数设置不正确；系统文件人为地误删除等。

    文件打不开：病毒修改了文件格式；病毒修改了文件链接位置。文件损坏；硬盘损坏；文件快捷方式对应的链接位置发生了变化；原来编辑文件的软件删除了；如果是在局域网中多表现为服务器中文件存放位置发生了变化，而工作站没有及时涮新服器的内容（长时间打开了资源管理器）。

    经常报告内存不够：病毒非法占用了大量内存；打开了大量的软件；运行了需内存资源的软件；系统配置不正确；内存本就不够（目前基本内存要求为128M）等。

    提示硬盘空间不够：病毒复制了大量的病毒文件（这个遇到过好几例，有时好端端的近 10G硬盘安装了一个WIN 98或WIN NT4.0系统就说没空间了，一安装软件就提示硬盘空间不够。硬盘每个分区容量太小；安装了大量的大容量软件；所有软件都集中安装在一个分区之中；硬盘本身就小；如果是在局域网中系统管理员为每个用户设置了工作站用户的"私人盘"使用空间限制，因查看的是整个网络盘的大小，其实"私人盘"上容量已用完了。

　　软盘等设备未访问时出读写信号：病毒感染；软盘取走了还在打开曾经在软盘中打开过的文件。

　　出现大量来历不明的文件：病毒复制文件；可能是一些软件安装中产生的临时文件；也或许是一些软件的配置信息及运行记录。

    启动黑屏：病毒感染（记忆最深的是98年的4.26，我为CIH付出了好几千元的代价，那天我第一次开机到了Windows画面就死机了，第二次再开机就什么也没有了）；显示器故障；显示卡故障；主板故障；超频过度；CPU损坏等等。

　　数据丢失：病毒删除了文件；硬盘扇区损坏；因恢复文件而覆盖原文件；如果是在网络上的文件，也可能是由于其它用户误删除了。

出处：黑客基地