計(jì)算機(jī)病毒及釣魚網(wǎng)站攻擊的主要特點(diǎn)

 

1. 釣魚網(wǎng)站一年增長(zhǎng)3.6倍

 

2012年新增釣魚網(wǎng)站163.1萬個(gè)，而這個(gè)數(shù)字在2011年為45萬個(gè)，釣魚網(wǎng)站總量在一年里快速增長(zhǎng)了3.6倍。87.55%的釣魚網(wǎng)站服務(wù)器托管在國(guó)外，互聯(lián)網(wǎng)相關(guān)管理部門只能管理剩下的12.45%。

針對(duì)QQ號(hào)的釣魚攻擊占釣魚網(wǎng)站總量的44.6%，QQ號(hào)成為最大的被攻擊目標(biāo)。由于越來越多的網(wǎng)站服務(wù)支持使用QQ號(hào)登錄，QQ號(hào)已成網(wǎng)民最需要保護(hù)的網(wǎng)絡(luò)名片。因QQ號(hào)被盜導(dǎo)致的系列攻擊，給網(wǎng)民造成的損失難以估量。

 

2. 傳統(tǒng)計(jì)算機(jī)病毒依然活躍

 

2012年金山安全中心共捕獲病毒樣本總量超過4200萬個(gè)，比上一年增長(zhǎng)41.4%，月捕獲病毒樣本數(shù)在300萬至450萬個(gè)之間，日均超過11萬個(gè)。如此之大的病毒樣本量，必須依靠云安全系統(tǒng)才可能做到秒級(jí)響應(yīng)。

2012年統(tǒng)計(jì)到病毒感染超過2.3億臺(tái)次，比2011年下降14%。總感染次數(shù)下降而病毒樣本數(shù)仍然大幅上升，表明從事病毒傳播的黑色產(chǎn)業(yè)仍然非常活躍。隨著安全軟件的不斷普及和性能提升，病毒作者只能增加病毒更新的頻度來達(dá)到牟利的目的。

 

安全風(fēng)險(xiǎn)統(tǒng)計(jì)數(shù)據(jù)

 

1. 病毒感染情況

 

2012年全年捕獲病毒樣本總量為42905082個(gè)(不重復(fù)的病毒樣本數(shù))，比2011年的25137172個(gè)增長(zhǎng)41.4%。2012年各月捕獲數(shù)量如圖1所示，每月捕獲病毒樣本的數(shù)量在300萬至450萬個(gè)之間，4月為最低值(3045253個(gè))，12月為最高值(4570627個(gè))，日平均捕獲病毒樣本超過11萬個(gè)，如此巨大的樣本量，必須依靠強(qiáng)大的云安全系統(tǒng)才有可能對(duì)新危險(xiǎn)程序做到秒級(jí)響應(yīng)。

 

圖1 2012年惡意代碼樣本捕獲月度統(tǒng)計(jì) (來源：金山網(wǎng)絡(luò))

 

按病毒特征統(tǒng)計(jì)，2012年全年捕獲新增病毒特征總量為7067031個(gè)(一個(gè)病毒特征可以匹配若干個(gè)病毒不等)，比2011年的3605628個(gè)特征上升96.2%。2012年各月捕獲數(shù)量如圖2所示，其中2月達(dá)到全年最低值(436725個(gè))，8月達(dá)到全年最高值(813100個(gè))。

 

圖2 2012年惡意程序樣本捕獲月度統(tǒng)計(jì) (來源：金山網(wǎng)絡(luò))

 

2012年監(jiān)測(cè)到惡意程序感染超過2.3億臺(tái)次，比2011年的2.7億臺(tái)次下降14%。其中感染主機(jī)數(shù)量2月為全年最低點(diǎn)(1550萬臺(tái)次)，11月達(dá)到全年最高值(2293萬臺(tái)次)，如圖3所示。病毒感染總次數(shù)下降，說明計(jì)算機(jī)病毒的感染率有下行趨勢(shì)，而捕獲的病毒樣本總量仍在上升，表明病毒產(chǎn)業(yè)鏈的從業(yè)者仍然活躍。

 

圖3 2012年感染主機(jī)數(shù)量月度統(tǒng)計(jì)(來源：金山網(wǎng)絡(luò))

 

2. 釣魚網(wǎng)站統(tǒng)計(jì)

 

2012年反釣魚系統(tǒng)共新增攔截各類釣魚網(wǎng)站163.1萬個(gè)，釣魚網(wǎng)站新增數(shù)量為2011年的3.6倍，2011年全年新增釣魚網(wǎng)站45萬個(gè)。按月統(tǒng)計(jì)可看出釣魚網(wǎng)站數(shù)呈明顯增長(zhǎng)趨勢(shì)。

 

圖4 2012年度每月新增攔截釣魚host數(shù)

 

網(wǎng)購(gòu)類釣魚占釣魚網(wǎng)站總量的16.85%，其中對(duì)用戶影響較大的“淘寶類”和“網(wǎng)游交易類”分別占釣魚網(wǎng)站總數(shù)的9.08%和3.57%。常規(guī)釣魚網(wǎng)站中，假Q(mào)Q空間和假Q(mào)Q安全中心的盜號(hào)類釣魚網(wǎng)站增長(zhǎng)顯著，2012年共攔截此類釣魚網(wǎng)站72.8萬個(gè)，占釣魚網(wǎng)站總數(shù)的44.6%。

釣魚網(wǎng)站的經(jīng)營(yíng)領(lǐng)域在2012年也顯著擴(kuò)大，其業(yè)務(wù)并不局限于與互聯(lián)網(wǎng)服務(wù)，騙子從線上交易擴(kuò)展到線下交易，利用廉價(jià)銷售騙取用戶保證金和中介費(fèi)的釣魚網(wǎng)站蔓延，假服裝銷售，二手車銷售，虛假兼職招聘等也占了釣魚總數(shù)的5%。

 

圖5 2012年度網(wǎng)購(gòu)類釣魚及常規(guī)類釣魚網(wǎng)站構(gòu)成比

 

針對(duì)釣魚網(wǎng)站的新變化，金山毒霸的反釣魚系統(tǒng)也及時(shí)進(jìn)行算法調(diào)整，通過和更多互聯(lián)網(wǎng)企業(yè)合作，在更廣泛的渠道收集可疑網(wǎng)址，金山毒霸對(duì)新釣魚網(wǎng)站的自動(dòng)響應(yīng)時(shí)間從最初的30分鐘縮短到30秒，大大壓縮了釣魚網(wǎng)站的生存時(shí)間。在此基礎(chǔ)上，金山毒霸將網(wǎng)購(gòu)敢賠服務(wù)升級(jí)到額度為8000元的網(wǎng)購(gòu)敢陪險(xiǎn)，最大限度地保障網(wǎng)民購(gòu)物安全。

 

釣魚網(wǎng)址查詢--檢出響應(yīng)速度

 

釣魚網(wǎng)站的流量來源分析：

 

搜索引擎、淘寶二手街、58同城等渠道是釣魚欺詐的高發(fā)地。36.49%的釣魚網(wǎng)站來源于搜索結(jié)果，假淘寶、假58同城釣魚的37%和97%來自于淘寶二手街和58同城。當(dāng)用戶進(jìn)入這些高危場(chǎng)景時(shí)，金山毒霸會(huì)提供安全場(chǎng)景提示及其專家咨詢鑒定入口。

值得警惕的是，微博、聊天工具、短信這類網(wǎng)絡(luò)應(yīng)用是手機(jī)端應(yīng)用的主流，手機(jī)上網(wǎng)的用戶面臨越來越嚴(yán)重的釣魚網(wǎng)站威脅。2012年爆發(fā)的所謂“微信”病毒是釣魚網(wǎng)站攻擊利用社交軟件傳播的一次大爆發(fā)。

 

 

釣魚網(wǎng)站與反釣魚系統(tǒng)的對(duì)抗也在加劇：釣魚網(wǎng)站利用js動(dòng)態(tài)加載、域名泛解析、全圖片、驗(yàn)證點(diǎn)擊reffer、限制IP登陸等招數(shù)欺騙或阻止反釣魚系統(tǒng)抓取釣魚網(wǎng)站內(nèi)容。

 

分析釣魚網(wǎng)站的服務(wù)器分布：

 

87.55%的釣魚網(wǎng)站服務(wù)器托管在國(guó)外，國(guó)內(nèi)只有12.45%。

 

圖6 釣魚網(wǎng)站服務(wù)器托管地統(tǒng)計(jì)(國(guó)內(nèi)外分布)

 

統(tǒng)計(jì)國(guó)內(nèi)釣魚網(wǎng)站服務(wù)器托管地，排名前六的分別是廣東、浙江、北京、河南、江蘇、上海，分布于這6個(gè)省(市)份的釣魚網(wǎng)站占總量的82.20%，其他省份合計(jì)只占17.80%。

 

圖7 釣魚網(wǎng)站服務(wù)器托管地統(tǒng)計(jì)(各省分布)

 

3. 網(wǎng)購(gòu)相關(guān)統(tǒng)計(jì)

金山網(wǎng)絡(luò)于2011年8月提供網(wǎng)購(gòu)敢賠服務(wù)，2012年7月升級(jí)為最高額度8000的網(wǎng)購(gòu)敢賠險(xiǎn)，網(wǎng)民第一次獲得免費(fèi)的網(wǎng)購(gòu)安全賠付承諾。隨著網(wǎng)購(gòu)敢賠險(xiǎn)的認(rèn)知增加，網(wǎng)購(gòu)敢賠險(xiǎn)的申請(qǐng)量呈上升趨勢(shì)。

 

圖8 網(wǎng)購(gòu)被騙后申請(qǐng)網(wǎng)購(gòu)敢賠險(xiǎn)的業(yè)務(wù)量

 

通過用戶主動(dòng)申請(qǐng)的網(wǎng)購(gòu)敢賠險(xiǎn)業(yè)務(wù)，能夠第一時(shí)間掌握網(wǎng)絡(luò)犯罪行為的特點(diǎn)，使金山毒霸能夠先于對(duì)手搶先提供反網(wǎng)絡(luò)釣魚系統(tǒng)和防御網(wǎng)購(gòu)木馬。有力遏制了猖獗的網(wǎng)絡(luò)欺詐犯罪活動(dòng)。

 

網(wǎng)購(gòu)詐騙的主要手法：

 

1. 制造和點(diǎn)對(duì)點(diǎn)傳播網(wǎng)購(gòu)木馬：利用好壓程序存在的DLL文件加載漏洞加載網(wǎng)購(gòu)木馬，通過QQ聊天工具將木馬發(fā)送給對(duì)方運(yùn)行，主要劫持淘寶交易;

2. 大量機(jī)票釣魚網(wǎng)站、假淘寶店使用加密網(wǎng)頁(yè)代碼的手法逃避攔截;

3. 利用58同城擔(dān)保交易釣魚、動(dòng)態(tài)域名網(wǎng)址釣魚。

針對(duì)這些手法，金山毒霸網(wǎng)購(gòu)保鏢根據(jù)購(gòu)物場(chǎng)景，模擬被騙過程，在技術(shù)上實(shí)現(xiàn)對(duì)異常交易行為的智能判斷，及時(shí)給網(wǎng)民提供正確的安全警告，大大降低了被騙概率。

針對(duì)特定的應(yīng)用場(chǎng)景，金山毒霸會(huì)提供相應(yīng)的安全警告，提醒用戶小心上當(dāng)。

1、主流搜索引擎搜索“話費(fèi)充值”、“機(jī)票”、“兼職”等三類關(guān)鍵字，彈出安全提示

 

圖9 特定場(chǎng)景下的安全提示(1)

 

2、淘寶二手街搜索“iPhone”、“兼職”等關(guān)鍵字，彈出安全提示。

 

圖9 特定場(chǎng)景下的安全提示(2)

 

2012年度十大病毒

 

1、鬼影病毒

 

鬼影病毒是當(dāng)之無愧的2012年度毒王，它主要依靠帶毒游戲外掛或色播傳播，年內(nèi)出現(xiàn)數(shù)個(gè)變種：包括鬼影5、鬼影6、鬼影6變種(CF三尸蠱)等，它和殺毒軟件的技術(shù)對(duì)抗也達(dá)到了一個(gè)新的高度，在這一年里，金山毒霸針對(duì)每次截獲的最新鬼影病毒，快速更新和發(fā)布頑固木馬專殺，捍衛(wèi)用戶電腦安全。目前，主流的殺毒軟件均能防御鬼影病毒，經(jīng)常下載使用帶毒游戲外掛的電腦用戶是感染鬼影病毒的高危群體。

鬼影病毒進(jìn)化史：

鬼影1：感染mbr，無加密。

鬼影2：加密感染mbr，并通過diskhook保護(hù)mbr。

鬼影3：感染beep.sys，掛鉤StartIO保護(hù)mbr。

鬼影4：感染特定主板bios，從而保護(hù)感染的mbr不被修復(fù)。

鬼影5：感染atapi+ntfs驅(qū)動(dòng)，反復(fù)回寫保護(hù)mbr。

鬼影6：通過atapi+ntfs+startio+回寫+av技術(shù)保護(hù)mbr不被修復(fù)，最大的亮點(diǎn)是無病毒文件對(duì)抗查殺。

鬼影6變種：替換beep.sys+釋放隱藏的rootkit驅(qū)動(dòng)+safemon.dll保護(hù)MBR不被檢測(cè)和修復(fù)，阻止安全工具使用和殺毒軟件聯(lián)網(wǎng)、強(qiáng)行推廣流氓導(dǎo)航網(wǎng)站。

 

2、AV終結(jié)者末日版

 

AV終結(jié)者末日版是一個(gè)惡意對(duì)抗殺軟的病毒，從整個(gè)手法來看作者是有意在炫耀自己的技術(shù)。它釋放ADS流病毒，原理是利用NTFS數(shù)據(jù)流來隱藏病毒;它釋放3個(gè)驅(qū)動(dòng)破壞殺毒軟件并保護(hù)自身，如隱藏文件、進(jìn)程等;它刷網(wǎng)站流量，在中毒機(jī)器上開啟3389端口用于接受黑客控制;它發(fā)現(xiàn)一旦發(fā)現(xiàn)進(jìn)程中存在“PowerTool.exe”, “XueTr.exe”則通知驅(qū)動(dòng)刪除系統(tǒng)的文件，從而破壞整個(gè)系統(tǒng)。

 

3、網(wǎng)購(gòu)木馬

 

網(wǎng)購(gòu)木馬的全稱是網(wǎng)購(gòu)交易劫持木馬，12年流行網(wǎng)購(gòu)木馬的特點(diǎn)：利用組策略禁止主流安全軟件運(yùn)行，在系統(tǒng)無保護(hù)的情況下，網(wǎng)購(gòu)木馬即可在買家網(wǎng)購(gòu)付款環(huán)節(jié)輕易篡改交易信息。使買家要購(gòu)買的東西沒有支付，卻替病毒作者購(gòu)買了游戲或手機(jī)充值卡。

這種網(wǎng)購(gòu)木馬打劫的過程非常巧妙，就好比你在商場(chǎng)購(gòu)物，在收銀臺(tái)簽單時(shí)，小偷以迅雷不及掩耳之勢(shì)拿小偷的定單替換了你的定單，買家卻在小偷的定單上簽了字。

12年流行網(wǎng)購(gòu)木馬主要利用第三方軟件的安全漏洞加載病毒， 金山毒霸的網(wǎng)購(gòu)保鏢可阻止網(wǎng)購(gòu)木馬的盜竊行為，購(gòu)物時(shí)若發(fā)現(xiàn)殺毒軟件彈出報(bào)警，應(yīng)毫不猶豫終止交易，而不要相信對(duì)方說這是殺毒軟件誤報(bào)。金山毒霸是國(guó)內(nèi)最早承諾網(wǎng)購(gòu)敢賠的殺毒軟件，假如殺毒軟件被病毒巧妙繞過而最終受損，消費(fèi)者即可申請(qǐng)賠付。

網(wǎng)購(gòu)木馬知識(shí)科普 http://bbs.duba.net/thread-22640981-1-1.html

 

4、456游戲木馬

 

456游戲木馬是指捆綁在456游戲大廳中并利用456游戲加載的遠(yuǎn)控木馬或盜號(hào)木馬。年度流行的456游戲木馬變種主要通過捆綁 456游戲大廳傳播， 通過劫持456游戲的dzip32.dll執(zhí)行第三方loader(存在漏洞軟件的exe可執(zhí)行文件)加載啟動(dòng)病毒dll。 然后在內(nèi)存中解密一個(gè)gh0st遠(yuǎn)程控制木馬程序并執(zhí)行。

2012年，金山毒霸截獲的456游戲木馬變種在10個(gè)以上，大部分變種是利用存在安全漏洞的第三方軟件EXE程序加載病毒。金山毒霸對(duì)456游戲木馬加強(qiáng)了查殺和防御，建議廣大用戶下載游戲到官方網(wǎng)站下載，可避免上當(dāng)受騙。

 

5、連環(huán)木馬(后門)

 

這是一個(gè)木馬后門程序，中此木馬的用戶電腦會(huì)成為遠(yuǎn)控者的一個(gè)肉雞，它指受控制端的指令來執(zhí)行各種網(wǎng)絡(luò)攻擊，同時(shí)也具有下載其它程序的功能。

判斷電腦是否感染連環(huán)木馬的方法是查看進(jìn)程中是否存在TPONSCR.exe，如存在，則代表你的電腦可能已經(jīng)感染連環(huán)木馬。金山毒霸無須升級(jí)即防御和查殺連環(huán)木馬。

 

6、QQ粘蟲木馬

 

QQ粘蟲木馬是指以透明窗體覆蓋QQ登錄框或偽造QQ登錄/重新登錄框的盜號(hào)木馬。金山毒霸在2012年截獲的QQ粘蟲木馬主要是偽造QQ登錄/重新登錄框的變種。

2012年流行QQ粘蟲木馬的工作流程是檢測(cè)QQ-干擾QQ(掛起或者關(guān)閉QQ)-假冒QQ窗口-騙取登錄信息-發(fā)送QQ賬號(hào)至病毒服務(wù)器。它使用了社會(huì)工程學(xué)，采用較為簡(jiǎn)單的手段來騙取QQ號(hào)和密碼。金山毒霸針對(duì)流行QQ粘蟲木馬的最新特點(diǎn)，在截獲的同時(shí)加強(qiáng)防御和查殺，可確保廣大毒霸用戶遠(yuǎn)離QQ粘蟲木馬的危害。

 

7、新淘寶客病毒

 

新淘寶客病毒是利用驅(qū)動(dòng)過濾劫持淘寶網(wǎng)搜索結(jié)果的病毒，它使用了游戲捆綁，加數(shù)字簽名，驅(qū)動(dòng)隱藏過濾，驅(qū)動(dòng)切斷云掃描等方法，使得病毒的隱藏能力大大增強(qiáng)。2012年，金山毒霸截獲的該病毒樣本系來自某知名單機(jī)游戲網(wǎng)站，它通過單機(jī)游戲捆綁方式傳播，玩家在運(yùn)行游戲的瞬間激活病毒，由于該病毒偽造成游戲文件并能使游戲正常運(yùn)行，對(duì)玩家很具有迷惑性而認(rèn)為是殺毒軟件誤報(bào)。

新淘寶客病毒在原先淘寶客木馬的基礎(chǔ)上，增添了許多新的功能。但主要的功能仍然不變，仍為淘寶客劫持。大致分為兩個(gè)部分，文件系統(tǒng)過濾和TCP過濾設(shè)備。 這兩部分分別用于文件隱藏、淘寶劫持、切斷安全軟件的云上傳和云查殺的網(wǎng)絡(luò)連接，以達(dá)到逃避查殺的目的。金山毒霸可防御新淘寶客病毒，不慎感染新淘寶病毒的用戶，可下載金山頑固木馬專殺來清除。

 

8、瀏覽器劫持病毒

 

該病毒主要通過互聯(lián)網(wǎng)下載以及局域網(wǎng)和移動(dòng)存儲(chǔ)設(shè)備感染進(jìn)行傳播，會(huì)劫持瀏覽器主頁(yè)和其它網(wǎng)址導(dǎo)航類網(wǎng)站，強(qiáng)制推廣病毒合作網(wǎng)站，以此來提高指定網(wǎng)站流量，讓病毒作者從中獲利。

對(duì)于IE瀏覽器， 病毒會(huì)直接跳轉(zhuǎn)到hxxp://aaa.597ie.com/。而對(duì)于非IE瀏覽器， 病毒會(huì)先關(guān)閉當(dāng)前瀏覽器， 然后重新打開，并且訪問到hxxp://aaa.597ie.com/。

病毒創(chuàng)建一個(gè)定時(shí)器，循環(huán)遍歷磁盤驅(qū)動(dòng)器，如發(fā)現(xiàn)用戶有插入移動(dòng)存儲(chǔ)設(shè)備， 則病毒會(huì)將自身文件拷貝到移動(dòng)設(shè)備的根目錄中，并建立autorun.inf文件，執(zhí)行文件指向病毒文件。 以此來進(jìn)行傳播。

 

9、傳奇私服劫持者

 

該病毒捆綁于傳奇私服登陸器，屬于流量劫持木馬，它通過DNS劫持/hosts劫持/驅(qū)動(dòng)劫持等方式把大量的私服網(wǎng)站解析到固定的一個(gè)私服網(wǎng)站，以達(dá)到流量劫持的目的。

其中，釋放惡意驅(qū)動(dòng)GamesGuardnet.dat的變種在阻止其他私服驅(qū)動(dòng)的加載的同時(shí)存在嚴(yán)重bug，會(huì)導(dǎo)致電腦經(jīng)常藍(lán)屏重啟。

 

10、QQ群蠕蟲病毒

 

QQ群蠕蟲病毒是指利用QQ群共享漏洞傳播流氓軟件和劫持IE主頁(yè)的蠕蟲病毒，QQ群電腦用戶一旦感染QQ群蠕蟲病毒，又會(huì)向其他群QQ群內(nèi)上傳該病毒，以“一傳十，十傳百”式放大效應(yīng)傳播。

QQ群蠕蟲病毒大規(guī)模爆發(fā)于12年8月下旬：大量QQ群的群共享出現(xiàn)可疑文件，分別為“QQ斗地主無限刷豆2012年8月27日更新2.zip"、“QQ農(nóng)場(chǎng)無限刷金幣2012年8月27日更新.zip”、“李宗瑞迷奸60位女明星偷拍視頻流出.zip”等。截止到目前，金山毒霸可防御和查殺QQ群蠕蟲病毒。