瑞星年度安全报告：大陆地区病毒泛滥成灾

三、2007年病毒趋势分析

1、加壳病毒泛滥，病毒样本暴增。

2007年，互联网上出现许多自动给病毒加壳的工具，黑客只要下载这些工具，就可以改变已有病毒的"面貌"，使得杀毒软件无法识别，网上已有近千种加壳工具，黑客们利用这些工具，"批量生产"出大量恶性病毒。在今年的90余万新样本中，有相当大的部分属于这类"变脸" 病毒。

如此巨量的病毒样本，给反病毒厂商带来了很大的处理压力。针对此种情况，瑞星公司采用了多种技术方式综合使用的办法，包括虚拟机脱壳引擎的改进和优化，木马强杀技术、主动防御技术等等。

技术上的改进，大大增强了瑞星杀毒软件对加壳病毒的处理能力。例如：瑞星2007年截获病毒样本91万，而实际加入病毒库中的记录为27万条，平均每条记录可以查杀3.3个病毒样本。

图4 加壳病毒示意图

2、U盘病毒肆虐

随着网络视频、音乐、手机与电脑文件交换发展，U盘、MP3等可移动介质被黑客广泛利用来传播病毒。只要U盘在中毒电脑上使用过，就会被植入病毒，当它被拿到别的电脑上使用时，就会感染更多的机器。

目前通过U盘传播的病毒占据总病毒数的比例，从2006年的不足10%，上升到2007年的32%左右。而且，该传播方式往往和其它方式结合，以取得更好的传播效果。在瑞星杀毒软件2008版中，专门加入了"U盘病毒免疫"功能，只要用户安装之后，就会自动启动，使U盘病毒无法侵入用户电脑。

3、ARP局域网攻击

ARP地址解析协议是一种常用的网络协议，每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址一一对应，如果这个表被修改，则会出现网络无法连通，或者访问的网页被劫持。黑客利用ARP协议存在的缺陷，侵入某台电脑之后发送ARP欺骗攻击数据包，造成局域网内所有用户在访问网络时，收到的都是带毒的网页。

图5 arp攻击示意图

如果中毒电脑是位于数据中心内的服务器，则其所在vlan内的其他网站服务器在响应用户的http请求时，返回的页面也将带毒，这样遭受危害的客户端机器会以几何级数迅速增多，危害极为严重。2007年，使用ARP攻击感染局域网的病毒，在企业局域网、校园网络等特殊环境下造成了很大威胁。

4、网页挂马的流行

2007年，很多流行应用软件，包括百度搜霸、realplayer、Qvod等都曾出现安全漏洞。对于很多用户来讲，只要这些软件能够正常使用，就不会去升级新版本，这样使得很多用户的电脑都存在漏洞。这些用户去访问带毒网站的时候，很容易就会被感染。

图6 利用《色戒》传播病毒

同时，现在黑客们往往会利用社会热点来实施网页挂马攻击，例如电影《色戒》、贝布托夫人遇刺等，都曾被黑客利用来传播病毒。由于通过"网页挂马"可以快速的批量入侵大量计算机，获取经济利益，因此"网页挂马"成为黑客常用的攻击手段。

图7 漏洞攻击示意图