http://www.rising.com.cn/http://www.rising.com.cn/

互联网病毒互联网病毒传播和攻击行为的新趋势传播和攻击行为的新趋势瑞星公司 2008 年 11 月

病毒如何感染计算机

用户浏览挂马网站，导用户浏览挂马网站，导致严重感染病毒，程序致严重感染病毒，程序被破坏，最终系统瘫痪被破坏，最终系统瘫痪

演示演示 11 演示演示 22

用户访问挂马网站，致用户访问挂马网站，致使后台下载并自动运行使后台下载并自动运行大量的木马病毒程序大量的木马病毒程序

视频截图视频截图 视频截图视频截图

反病毒行业应对“无力”

病毒为何这么厉害病毒为何这么厉害 ??病毒技术更牛了病毒技术更牛了 ??

制作病毒的人更多了制作病毒的人更多了 ??

… … … … ??

计算机病毒的发展简史

计算机病毒已经实现互联网化计算机病毒已经实现互联网化1998 2006 20082000 2002 2004

CIHCIH 病病毒毒

1998 年盗版光盘破坏硬盘数据

爱虫病毒爱虫病毒2000 年电子邮件传播自身并破坏数据文件

SQLSQL 蠕虫蠕虫王王2003 年

利用 SQL server 2000 远程堆栈缓冲区溢出漏洞通过网络传播公用互联网络瘫痪

2004 年利用 windows 的LSASS 中存在一个缓冲区溢出漏洞进行传播传播自身，瘫痪网络，破坏计算机系统

震荡波震荡波2006 年利用所有成熟的网页挂马、 U 盘ARP 欺骗、网络共享传播自身，破坏用户数据，组建僵尸网络

熊猫烧香熊猫烧香 2008 年利用 flash 漏洞等第三方应用程序漏洞挂马传播传播自身，攻击安全软件，组建僵尸网络，盗取账号牟利

木马群木马群

计算机病毒的过去与现在

目的目的 从炫技、恶作剧、仇视破坏到贪婪 依托互联网，集团化运作，

以经济利益作为唯一目标

自我复制和传播，破坏电脑功能和数据，甚至破坏硬件，影响电脑正常使用

病毒技术本身没有突破，和以前的病毒没有本质区别

通过磁盘、光盘、电子邮件、网络共享等方式传播危害的表象：一个电脑病毒感染数千万台电脑，横行全球，破坏用户系统(CIH 、梅丽莎、冲击波、尼姆达等等 )

生产、传播、破坏的流程完全互联网化，组成分工明确、日趋成熟的病毒产业链；各种基础互联网应用都成为病毒入侵通道，其中“网页挂马”最常见，占总量 90% 以上。

技术技术

传播途径

传播途径

互联网病毒产业链

病毒销售人

木马病毒木马病毒的制造的制造

盗号人( 病毒购买

人 )

病毒持有人

病毒制作人

漏洞挖掘人

流量商( 病毒植入者 )

网站( 病毒传播者 )

网民( 病毒受害者 )

木马病毒木马病毒的传播的传播

分工明确，制造、传播、贩卖、获利环环相扣，非常成熟分工明确，制造、传播、贩卖、获利环环相扣，非常成熟

木马病毒的制造

单纯的漏洞挖掘已经成为病毒产业链中的一环（黑客发现漏洞后无需编写病毒即能挣钱）

安全漏洞安全漏洞挖掘挖掘

网页木马网页木马制作制作

盗号木马盗号木马制作制作

病毒下载器病毒下载器制作制作

各种基础互联网应用都成为病毒入侵通道，其中“网页挂马”最常见占总量 90% 以上

病毒程序的模块化使得病毒制作门槛大大降低 ,带来网上木马制作工具泛滥 ,进而使病毒制作呈现出商业化运作模式

按照“客户”需求批量定制盗号木马，去窃取客户指定的有价值的信息

流水线式的工业化生产流水线式的工业化生产

软件漏洞挖掘

软件漏洞被公开或地下出售软件漏洞被公开或地下出售（某黑客网站截图）（某黑客网站截图）

挖掘漏洞挖掘漏洞 挖掘漏洞挖掘漏洞

报告软件厂商报告软件厂商厂商修复漏洞厂商修复漏洞提供安全更新提供安全更新

公开或地下出公开或地下出售获利售获利

用户安装补丁用户安装补丁0day0day

攻击出现攻击出现

木马制作模板

网页木马制作模板网页木马制作模板 盗号木马制作模板盗号木马制作模板某网页木马制作的模板粉红色区域可以定制式地填入所利用的漏洞、攻击功能等要素

只需要填入、勾选所要盗取的网络游戏的名称

互联网化病毒组成

漏洞信息漏洞信息 网页木马网页木马

盗号木马盗号木马 病毒下载器病毒下载器

超级病毒组合超级病毒组合

完全区别于以往的单个病毒，完全区别于以往的单个病毒，现在的病毒，更多的通过模现在的病毒，更多的通过模块清晰、分工明确的一个超块清晰、分工明确的一个超级组合，利用互联网像工业级组合，利用互联网像工业流水线那样的制造和传播病流水线那样的制造和传播病毒，使得其传播速度和破坏毒，使得其传播速度和破坏能力急剧增强。能力急剧增强。

木马病毒传播流程

病毒制作 病毒销售 病毒购买

收购流量挂马收购流量挂马 雇佣黑客入侵网站挂马

雇佣黑客入侵网站挂马

利用 SEO 技术优化欺骗性挂马网站搜索排名

利用 SEO 技术优化欺骗性挂马网站搜索排名

利用 P2P 网络欺骗性传播

挂马网页

利用 P2P 网络欺骗性传播

挂马网页

病毒传播病毒传播各种基础互联网应用都成各种基础互联网应用都成为病毒入侵通道，其中为病毒入侵通道，其中“网页挂马”最常见，占“网页挂马”最常见，占总量总量 90%90% 以上。以上。

传统杀毒软件面临的困境

A.A. 漏洞攻击防不胜防漏洞攻击防不胜防

B.B. 通过加密变形躲避查杀通过加密变形躲避查杀

C.C. 利用利用 ARPARP 欺骗扩大攻欺骗扩大攻击击

D.D. 挂马威胁无处不在挂马威胁无处不在

漏洞攻击防不胜防

70% 2%

63%63%

35%

流行漏洞利用率流行漏洞利用率

其他其他

常用应用软件常用应用软件

微软操作系统和微软操作系统和OFFICEOFFICE

通过加密变形躲避查杀加密前网页木马加密前网页木马 加密后网页木马加密后网页木马

利用 ARP 欺骗扩大攻击

挂马威胁无处不在

并非只在浏览网页的时候并非只在浏览网页的时候

并非只在使用浏览器的时候并非只在使用浏览器的时候

总结

计算机病毒已经互联网化计算机病毒已经互联网化

网页挂马是计算机病毒的主要传播源，牟取一网页挂马是计算机病毒的主要传播源，牟取一定的经济利益是其根本目的定的经济利益是其根本目的

普通用户仅依靠自身安全意识普通用户仅依靠自身安全意识 ,, 很难应对复杂很难应对复杂多变多变 ,, 花样翻新的病毒入侵渠道花样翻新的病毒入侵渠道

网页木马可以任意变形加密，传统的依赖特征网页木马可以任意变形加密，传统的依赖特征码的查杀方法失去原有威力码的查杀方法失去原有威力

计算机只要被感染一次，就有可能长期成为多计算机只要被感染一次，就有可能长期成为多种病毒和恶意程序破坏的目标种病毒和恶意程序破坏的目标

问题

反病毒厂商是否真的在病毒面前无可奈何？反病毒厂商是否真的在病毒面前无可奈何？是否真的会节节败退，无法抵御？是否真的会节节败退，无法抵御？

计算机病毒呈现爆发性的增长，广大的用户如何才计算机病毒呈现爆发性的增长，广大的用户如何才能获得一个安全和谐的上网环境？能获得一个安全和谐的上网环境？

面对挑战，我们如何应对面对挑战，我们如何应对

http://www.rising.com.cn/http://www.rising.com.cn/

谢谢！