安全关注：电脑病毒互联网化的后果

　　近年来，随着“病毒互联网化”的深入发展，黑客采用大量病毒洪水式攻击用户电脑的例子也越来越多，所谓“洪水战术”，就是指黑客通过对盗号木马的频繁升级，试图以数量来拖垮杀毒软件。

　　一、互联网化制造病毒的三大手段

　　病毒产业的互联网化，使得黑客可以利用互联网来加速病毒的制造，提高制造病毒的效率。黑客采用的三大手段手段包括：

　　A、采用效率更高的病毒生产软件，这些软件可以通过加壳、加花等方式，把已有病毒改造成杀毒软件无法识别的版本，从而可以自动生产出大量新木马病毒。这类机器自动制造的病毒，占据了新增病毒的很大部分。

　　B、租用更好的服务器、更大的带宽，为“木马下载器”下载病毒提供硬件上的便利。由于黑客产业的丰厚利润，黑客团伙有经济条件改善自己的“生产环境”，以求更丰厚的利润。

　　C、利用互联网论坛、博客等，雇佣“软件民工”来编写更强的驱动，加入木马中与杀毒软件对抗。现在很多木马病毒都会自带Rootkits驱动，这些驱动可以关闭杀毒软件、修改系统设置和文件，使木马更容易入侵用户电脑。而编写Rootkits在很大程度上属于“体力劳动”，普通计算机专业大学生经过几个月的编程训练即可胜任此工作。大量软件民工的加入，使得黑客产业链条更趋向“正规化、专业化”，效率也更高。

　　二、病毒制造的互联网化，带来三大后果

　　病毒制造的互联网化，使得整个黑客产业制造病毒的效率大大提高，从而给反病毒厂商带来如下问题：

　　1、新病毒巨量增加、单个病毒的生存期缩短，现有病毒监测技术无法及时截获新样本。

　　2、即使能够截获，则每天高达数十万的新样本数量，也在严重考验着反病毒厂商对于病毒的分析、处理能力。

　　3、即使能够分析处理，则如何能够让用户在最短时间内获取相应的病毒库，成为一个重要的问题。

　　上述问题的出现，其实是受到了杀毒软件传统设计思想的局限——“传统杀毒软件的立足点都在于：如果电脑已经被病毒侵入，杀毒软件如何干净彻底的清理病毒”。在这个设计思想的影响下，杀毒软件和病毒把用户的电脑当作了“战场”，即使杀毒软件获胜，也可能给“战场”带来巨大的损害。

　　即使是近期热捧的主动防御技术，在本质上也属于“事后防御”的范围，当主动防御启动的时候，木马病毒已经侵入用户电脑，只是还没有成功运行。因此，主动防御只能成为杀毒软件整体防御体系的一个重要部分，而不能单独成为应对电脑病毒的解决方案。

　　综上所述，杀毒软件的设计思想、设计初衷就面临巨大的改变：我们应该把病毒阻挡在电脑之外，在盗号木马、病毒刚刚出现在互联网上，还没有来得及对客户端（用户电脑）发动攻击时即将其屏蔽。这种技术的实现，需要杀毒软件的完全互联网化，让互联网本身成为一个巨大的杀毒软件

　三、病毒互联网化的直接后果，侵蚀互联网经济的根基

　　随着黑客产业链的完善，很多黑客试图以操作木马病毒的手法来介入正常的互联网商业领域，包括搜索引擎、网址站、视频网站等，都已遭到此类恶性行为的“感染”，严重影响了用户对于整个互联网行业的信心。

　　A、木马点击器侵袭搜索引擎

　　2008年年初以来，互联网上的Clicker（木马点击器）类病毒出现异常增长，今年1月至10月，瑞星病毒监测网络共截获单纯性Clicker病毒19万个，包含Clicker功能的复合型木马将近100万。如此巨量的病毒出现，意味着其背后拥有丰厚的黑色收益。

　　据某国外机构统计，目前互联网上广告总点击率的35％来自于“点击欺诈”，该机构警告说，“点击欺诈”甚至会摧毁这一热门的网络商业模式。而按照点击效果付费，正是百度、谷歌等互联网搜索引擎生存的基础。

　　所谓“Clicker病毒”中文名叫做木马点击器，它们侵入用户电脑后，会根据病毒编写者预先设定的网址，去点击网上的广告，如百度竞价排名、Google AdSense等，让广告主支付更多的广告费，而病毒犯罪团伙及其合作伙伴则会分享这些额外的“利润”。

　　这只是“点击欺诈”最简单的牟利方式，还有其它各种各样的黑色商业模式，包括有的公司向黑客团伙购买中毒机器的使用权，对竞争对手的“竞价排名”广告进行恶意点击，从而大量消耗对手的广告资金等等。这些“点击欺诈”重创了广告主对互联网广告的信心，可能拒绝再为此付费。

　　B、Flash插件漏洞侵袭视频网站等

　　2008年5月，利用浏览器插件Flash Player漏洞传播的攻击代码出现，由于该漏洞应用起来简单方便，致使大批木马病毒通过此漏洞传播，尤其是“挂马网站”类型的攻击被黑客青睐。

　　Flash Player是一种广泛应用在IE、firefox等主流浏览器上的插件，用户只有安装了该插件之后，才能正常浏览网络视频、网络广告、玩网页游戏等，当用户第一次访问视频网站、网游网站时，系统会自动提示用户安装该插件。

　　由于该插件不具备自动升级机制，很多用户在安装了旧版插件之后根本不升级。尽管Flash Player插件漏洞出现后的很短时间，Adobe公司就开发了新版插件弥补了漏洞，但绝大多数用户用的还是旧版插件，没有升级。

　　根据瑞星统计，截至6月15日，Adobe公司发布安全插件之后的两个月，安装新版插件的用户仅有38.59%。经过瑞星等公司进行大规模新闻宣传、通过杀毒软件的信息中心进行告知后，7月5日的统计标明，安装了新版插件的用户上升到53%，仍有47%的用户使用带有漏洞的插件。

　　相当危险的漏洞、经过各大公司的教育性宣传、提供专业的补丁下载之后，仍有近一半的用户处于不设防状态。这样的事实说明，在现有的网络环境下，网民的安全意识相对薄弱，或者是缺乏获取相关信息的渠道，难以应对复杂多变的网络安全形势。

　　而且，由于视频网站、网页游戏、SNS等新型网站越来越多，此类网站多数会开发基于自己的客户端插件，而这些插件在设计初始就以实现功能为主，对于安全防范的设计很少，这可能给用户安全带来很大风险。

　C、木马带来假流量，动摇新经济基础

　　在木马病毒当中，有一种特殊种类的木马叫做“Clicker（木马点击器）”，它除了会点击网络广告，获取不正当收益之外，还会出售一种特殊的商品“流量”。所谓流量，其实指的是网页点击率，进而通过点击率来影响网站的全球排名。

　　例如，某黑客可以创立一家新概念的网站，如视频、交友等具有“概念”的网站，再制造“木马点击器”病毒，把网站的地址预置到病毒之中，让这些病毒去感染数十万、上百万的用户电脑。然后，这些中毒电脑就会自动去点击指定的网站。

　　表面上看起来，某个新型网站创建伊始就能带来数十万的点击，黑客就可以借此来吸引风险投资。即使不能获取风险投资的信赖，也可以拿去欺骗广告商，或者干脆参加谷歌、百度等公司的广告联盟，分享无风险利润。

　　其实，这只是最简单的一种形式，更为普遍的是黑客每人负责某个环节：有的专门编写病毒，有的专门想办法将这些病毒传播出去（挂马），还有的专门负责“销售”，把木马点击器的流量换成真金白银。

　　这些恶性流量的存在，大大动摇了网络新经济的基础，包括互联网广告、风险投资等多个领域遭到严重冲击。广告商由于无法评估广告的效果而收紧预算，风险投资对网站的真实价值产生怀疑而不敢投资，可以说，木马病毒已经成为阻碍互联网经济发展的重要因素之一，它影响的是网络经济的“诚信”。

　　D、盗号木马危及网游、网银等

　　瑞星公司的统计数据表明，2008年前10个月，互联网上共出现930余万新病毒，其中木马病毒和后门病毒共计776万，占总体病毒的83.4%。这些病毒主要以窃取网络游戏、网络银行等虚拟财产。

　　由于现在黑客产业链极为发达，黑客们通过分工合作，可以轻易将窃取的各种账号、装备出售，换取大量钱财。根据媒体报道，近期被警方破获的某黑客团伙，从2007年12月以来就通过传播盗号木马，盗窃游戏账号2000万余封（黑客们把被窃账号叫做“信封”），非法获利数百万元。

　　对于网游玩家和网游公司来讲，此类犯罪活动严重影响着自己的利益。玩家往往在一款游戏上投入大量金钱和精力，而被盗号木马洗劫一空。大量被盗玩家的申诉，也牵扯了网络游戏公司的精力，据业内人士透露，大型网游公司为了应付盗号而投入的研发、人力、客服等成本，每年可达数千万元。

　　E、盗号木马侵袭网络下载

　　通过网络下载视频、音乐等，已经成为国内网民最为热门的上网目的。但是对于用户来讲，下载也是招来盗号木马的重要渠道之一。

　　A、目前所有的主流下载软件，都存在着或多或少的漏洞，这些漏洞可能被挂马网站利用，用户安装了下载软件之后，再去上网就可能中毒。

　　B、目前的视频文件中存在着捆绑病毒的风险，在RMVB等主流格式的视频文件中，可被捆绑盗号木马、弹窗广告等，这些恶意程序在用户下载后，就可能感染用户电脑。

　　C、由于某些下载软件提供P2P共享功能，用户可以通过搜索其他人的共享文件夹来找到自己喜欢的文件。利用此功能，有些木马会主动把自己复制到下载软件的共享文件夹中，起一个诱惑性的名字，使用华丽的图标，欺骗别的用户主动进行下载，从而使下载软件本身成为病毒传播的渠道。

　　总结：瑞星安全专家表示，传统的安全模式亟待变革，否则无论安全厂商还是互联网用户，都将被淹没在木马病毒的海洋中，互联网的各项基础应用和发展也将极大受损。瑞星认为，只有实现“云安全——安全的互联网化”，将整个互联网变成一个巨大的安全软件，才是应对“病毒互联网化”最根本的办法。