2007年安天实验室信息安全威胁综合报告

2007年安天实验室信息安全威胁综合报告\2007年安天实验室信息安全威胁综合报告安天实验室2007年安天实验室信息安全威胁综合报告安天实验室一、摘要安天实验室对2007年度计算机病毒疫情进行了全方位的分析与统计，病毒的发展态式呈稳定上升的趋势，在原有病毒种类上，不断的出现新的分类。

U盘传播病毒，ARP病毒，机器狗病毒，盗号木马，web脚本木马，利用漏洞的病毒等，给个人用户，大型企业，学校，政府部门等都带来了不同程度的经济损失。

地下经济体系成长已经成熟，向传统的安全防御发出了挑战，由黑客单独行动提升为黑客团队协同作战。

二、2007年度计算机病毒疫情统计与分析2.1计算机病毒综合统计分析由于互联网络的迅速发展、病毒源代码的公开、病毒自动生成机的泛滥、病毒制作技术的成熟、以及利益的驱使，病毒制作技术平民化等诸多因素致使病毒泛滥，病毒数量不断增加。

另一方面计算机网络用户不断的增加，但是对网络安全意识却没有形成足够的重视；以至于使得受感染用户的不断增加、病毒的数目、同类家族病毒等呈现迅猛的增长。

下图为05年到07年度新增病毒的数量统计：©安天实验室版权所有第2页 / 共18页下图为2006年与2007年新截获各类病毒对比，从图中可以看出来主要病毒种类的数目与之上年同期相比都有所增长，和我国网络用户的增长是有直接关系关系，导致病毒数目的增长。

其中木马和广告插件增长的速度最快，木马的增长速度已经超出控制能力。

由于受利益的驱使，以及以利益为目的黑客的快速转型致使x-file（广告插件）的增长速度也不断的攀升。

其中木马类增长68.8%、后门类增长14.5%、广告插件增长49.9%、黑客工具增长24.5%。

从以上可以看出07年病毒增长主要以木马和广告插件增长最为突出。

下图为07年度新截获各类病毒比例，其中以木马为主，木马75.42%、后门6.77%、蠕虫7.53%、病毒3.40%、黑客工具0.71%、X-FILE(广告插件)6.23%。

07年木马数量占比超过以往任意一年。

如果说06年的x-file是一个新兴的转型类病毒超赶以往年度蠕虫和后门，那么07年的x-file已经和蠕虫、后门并驾齐驱。

©安天实验室版权所有第3页 / 共18页©安天实验室 版权所有 第4页/ 共18页下图为2007年度各月病毒总数走势。

整体来说07年的病毒走势是在后期体现急速增长。

从单一的方面是很难分析出其原因的。

系统漏洞的频繁出现、各种应用软件的源代码的逆向、以及网络群体的迅速扩大没有足够的安全意识等因素，使得病毒制造者有机可乘，病毒数目增长迅速。

下图为07年新增家族各月数量统计。

纵观07年新增家族数量呈现平缓增长速度。

新的娱乐游戏的出现以及新的软件漏洞、系统漏洞，导致病毒家族随之更新变化。

下图为2007年各月的各类病毒数目，可以看出木马在07年的增长走势一直处于遥遥领先，后门和x-file （广告插件）呈现持续增长。

后门、蠕虫在后半年总体为平缓上升。

黑客工具07年度呈现平缓上升趋势。

图一©安天实验室版权所有第5页 / 共18页图二2.2典型病毒排名与分析2007年年度十大病毒排名：©安天实验室版权所有第6页 / 共18页07年度以A V终结者居首位。

机器狗为07年末新兴病毒种类，虽然没有在十大病毒排名上但是其危害远远超过其排名。

机器狗是一种病毒下载器，它可以下载大量的木马、病毒、恶意软件、插件。

它可以穿透多种还原卡及还原软件，给中国网络造成极大的破坏。

2.307年具有影响病毒技术:2.3.1漏洞利用技术“0Day漏洞”是软件厂商未发现或未发布修补补丁的漏洞。

迅雷、Realpaly、百度搜霸等漏洞，给网络造成了一定的影响。

2.3.2ARP欺骗技术局域网在2007年大受这类网络蠕虫的攻击， ARP欺骗病毒爆发后便立刻导致全网中毒，病毒数据侵占网络带宽，网络通信阻塞、直至崩溃，在病毒爆发的高峰期只能采取大面积断网隔离的处理措施。

2.3.3映像劫持技术映像劫持技术是使病毒不再是被动的躲避杀毒软件的查杀。

病毒窜改注册表中的Image File Execution Options项后将包括杀毒软件、防火墙等众多安全工具重新定向，使得安全软件无法运行。

2.3.4Rootkits技术内核驱动级Rootkits，使得病毒成功躲避安全软件的检测。

内核驱动级Rootkits可隐藏自身进程及动作、嵌入操作系统内核、劫持系统文件调用过程，获得对系统底层的完全控制权，使得检测、清除这些代码成为当今反病毒界的公认难题。

2.3.5过主动防御技术病毒通过更改系统时间使安全软件失去保护作用，通过加花等一些技术来定位修改特征码，躲避杀软的查杀。

2.3.6穿透还原卡及还原软件技术此种技术被应用于07年末的机器狗病毒中，可以穿透多种还原卡和还原软件，据有超强的破坏力。

©安天实验室版权所有第7页 / 共18页三、网站挂马安全与危害挂马就是黑客入侵了一些网站后，将自己编写的网页木马嵌入被黑网站中，利用被黑网站的流量将自己的网页木马传播开去，以达到自己不可告人的目的。

例如很多游戏网站被挂马，黑客的目的就是盗取浏览该网站玩家的游戏账号，而那些大型网站被挂马，则是为了搜集大量的肉鸡。

网站被挂马不仅会让自己的网站失去信誉，丢失大量客户，也会让我们这些普通用户陷入黑客设下的陷阱，沦为黑客的肉鸡。

下面就让我们来了解这种时下最流行的黑客攻击手段。

3.1网页挂马的危害网页被挂马，在一定程度上可以说是网页被篡改，但是比较隐蔽。

危害很大。

对服务器端来说，一方面是系统资源，流量带宽资源的巨大损失，另一方面也成为了传播网页木马的“傀儡帮凶”，严重影响到网站的公众信誉度；对客户端来说，很多网页木马都是利益驱动，偷盗各类帐号密码，如电子银行帐户和密码、游戏帐号和密码、邮箱帐户和密码、QQ/MSN 帐号和密码等；另外，使得客户端被安装恶意插件，强迫浏览黑客指定的网站；或者被利用攻击某个站点等。

目前流行的OnLineGames木马是依靠网页挂马攻击来实现的。

在主动攻击越来越困难的情况下，利用网页木马进行攻击已经成为目前最为流行的黑客攻击手段，所以应引起足够重视！3.2网站挂马方式网站挂马已经流行多时，攻击方法层出不穷，在众多的使用方法中无外乎利用和用手段来得到webshell，来达到个人的目的。

常用的方法有html挂马，js挂马，css挂马，swf挂马等以及利用网站漏洞。

危害性比较大的是注入漏洞，和跨站漏洞。

如图：©安天实验室版权所有第8页 / 共18页3.2.1注入是程序开发人员在开发网站和搭建服务器时对输入的字符串过滤不严造成的，其有固定的注入点，那么如果我们在网址的后面加上逻辑为正确的语句，在服务器逻辑上是正确的可以正常显示页面，如果加的是逻辑非的语句，就会不符合逻辑关系，那么在检索的时候是没有页面的，这个时候就会暴出数据库的一些相应的信息，给入侵带来方便。

3.2.2跨站也叫一句话代码漏洞，这个完全是后程序员在开发的时候安全意识不健全造成的，例如，我们的网站有搜索的输入栏或者是一个可回复的，那么如果对回复的内容不做过滤就会出现挂马事件了。

3.2.3旁注选择一个好的服务器是是很重要的，服务器的安全与否直接关系到网站的安全，如果把自己的网站做的是坚如铁壁，但是在同一个服务器上的网站并不是没个都坚如铁壁，入侵者会通过其他的网站入侵来控制服务器以此来达到目的来控制其他网站。

3.2.4html语言挂马在网页中插入一个框架，来构造自动打开一个网站或者下载地址的目的。

3.2.5js挂马向.js文件里写入如恶意代码在src后指向连接恶意网站，使用户访问后会自动连接恶意网站。

3.2.6swf挂马在.swf文件代码中利用getURL命令使其连接恶意网址。

3.2.7css中挂马利用css代码命令background-image:url打开一个.js文件或者直接打开恶意网站，形成隐藏极深的挂马方式。

©安天实验室版权所有第9页 / 共18页3.2.8利用软件漏洞挂马目前比较流行常用的软件漏洞： realpaly漏洞；Microsoft.XMLHTTP漏洞；迅雷漏洞；暴风影音漏洞；PowerPlayerDVD播放器漏洞；超星阅览器漏洞；联众大厅漏洞；百度超级搜霸漏洞等。

黑客故意制造恶意代码，诱惑用户进行木马传播。

其中以软件漏洞为挂马攻击的主体，这是由于网民对网络安全知识不足；对软件的漏洞公布，版本的更新意识不足造成的。

3.3网站挂马预防3.3.1及时安装微软Windows和IE的最新补丁由于漏洞不断地被发现，而一些严重性较高的漏洞在发现后不久就会有相应的病毒出现。

所以即时安装补丁可以降低病毒入侵的可能性。

可以通过Windows Update获取最新的补丁包，对于浏览器来说，可禁用部分控件和脚本等安全性设置。

3.3.2安装杀毒软件，及时升级病毒库较新的病毒库可以识别出部分木马，并阻断恶意代码在本地运行，可大大降低感染木马的可能性。

3.3.3养成良好的上网习惯网络上的各种网站鱼目混杂，有很多陷阱等着浏览者上钩。

3.3.4尽量在知名网站下载软件或浏览图片很多网站由于利益的驱动，有的在软件中捆绑了广告软件，有的甚至在软件中直接加入木马。

更有甚者，黑客在成功入侵了一个软件下载网站后，很可能替换人们最为常用的软件，危害很大，影响面更广。

3.3.5及时更新软件版本及补丁病毒传播借助软件漏洞传播是挂马的以个主要方式，及时的升级软件版本，关注最新软件漏洞信息。

©安天实验室版权所有第10页 / 共18页四、互联网的威胁在这一年里中国互联网的飞速发展，全国网络已经接近2亿，平均不足10人中就有一位网民。

然而在取得这一成就时，网络安全也就成了一个不可忽视的问题。

4.1恶意行为威胁在网页上挂马、强行终止杀毒软件、恶意下载站等行为，这与逐年倍增的恶意网页不无关系，今年出现的大批假冒知名网站的下载网站，用户登录后会自动下载大量病毒、木马、恶意插件。

给用户带来了极大的伤害。

根据安天实验室抽样的1000个下载网站调查发现，居然有近三分之二属于恶意下载站，照此发展形式，下载行业的信誉将面临严峻挑战。

其中流行恶意行径有：4.1.1网页挂马在网页中加入恶意地址，使浏览的用户自动下载并运行病毒，盗取用户信息。

4.1.2恶意下载欺骗行为用户所信任的网站或者是所需求的软件等为诱饵使用户自行下载。

4.1.3弹出广告在用户浏览其网站的过程当中不多的弹出广告页面。

4.1.4终止杀毒软件进程，阻止登陆安全网站禁用注册表等利用脚本自动终止反病毒进程，阻止用户登陆反病毒网站进行修复。

4.1.5后台下载木马病毒自动无界面的在后台下载病毒文件的行为。