[安全防御]“鬼影”来了，你的电脑准备好了吗？

选择字号：超大标准技术小哥发布于2014年03月14日属于其他分享栏目 0个评论 2615人浏览

网络病毒作为强大的攻击者，虽然有不断更新的杀毒软件与其殊死搏斗，但是对于变化莫测的病毒始终不见灭亡之日，到底是什么支撑着它如滔滔长江之水久流不息？春晚带火了“小虎队”、“刘谦”等热门词汇，“兽兽门”也使兽兽不雅视频炙烫，而网络病毒往往会披着这类“热闹”的外衣肆虐，成为其有效传播的法宝。但是病毒不仅爱热闹，更爱利益，丰厚的利润才是一切行动的根本动力。

　　虽然病毒生生不息，一般电脑使用者对付其强烈攻击最致命的杀手锏便是重装系统，定能将其消灭干净，给电脑还原了一个新的生命。但是目前新发现的名为“鬼魅”病毒却一改常态编码，它并非Windows系统下的应用程序，在Windows加载之后才运行，而是将病毒寄生在磁盘主引导记录（MBR），在电脑启动过程中先于系统核心程序直接加载到电脑内存中运行，这造成不仅安全软件无法进行拦截，而且即使格式化重装系统，也无法将该病毒清除。这种“鬼魅”病毒是如何在中毒电脑上阴魂不散的呢？

　　事实上，目前“鬼影”病毒只针对Winxp系统，尚不能破坏Vista和Windows 7系统。一旦电脑感染这类病毒，就会出现安全软件无法正常运行，电脑明显变慢，IE主页被篡改。据金山安全实验室的研究人员介绍，“鬼影”病毒是随某些共享软件捆绑安装进入电脑的，入侵之后，会释放驱动程序改写硬盘MBR（主引导记录），驱动程序在开机过程中攻击众多杀毒软件，令杀毒软件失效，再下载传统的AV终结者木马下载器，最终目的依然是通过传播盗号木马，窃取用户虚拟财产牟利。

　　“鬼魅”病毒颠覆了传统病毒的感染特点，以及用户处理病毒问题的思维定势，现日感染电脑达到约2-3万台，让一般的杀毒软件业无可奈何。该病毒是近年来较为罕见的技术型病毒，显然，其作者必须具备高超的编程技术。那么这个网络新涌出的强劲杀手，是新的“熊猫烧香”再现，还是另有隐情呢？

　　最新的我国互联网络发展状况统计报告显示，截至2009年12月30日，中国网民规模达到3.84亿人，普及率达到28.9%。再加上受威胁的用户增长惊人，达到300%。在这潜藏庞大利益的环境下，充当网络警察的杀毒软件厂商却与病毒有着藕断丝连的联系。

　　正如一位杀毒厂商的内部人士透露，病毒和杀毒软件具有共存的特性，如果哪一天病毒完全消失了，杀毒软件也就不复存在了。实际上，对于病毒的泛滥，有杀毒厂商暗中搞鬼的现象并不是子虚乌有的，此前就有消息称国内某安全公司涉嫌传播病毒，从中赚取更多利润。这也只是杀毒厂商用以生计的手段。对于如今新出现的劲敌“鬼魅”病毒背后到底又有什么样的利益链条，无可厚非引起了诸多网友的猜测。

　　针对如何解除“鬼魅”病毒的隐患，中国诺网www.nuo.cn网络安全工程师表示，在病毒与杀毒软件的攻守双方，首先杀毒厂商要做到的是，早日编写“鬼魅”病毒的专杀工具，加强防御系统的建设。其次，网络病毒如此猖獗，与我国目前立法缺陷存在一定的关系，应着力打击黑客培训、病毒制作、病毒贩卖、窃取信息等犯罪行为，切断网络上的灰色产业链。

　　在互联网整治方面，出来网络病毒外，另一大重点即是涉黄等低俗信息的打击。在刚结束的全国两会中，该项内容得到了代表们的一致重视。因此在接下来的网络整顿中，无论是低俗内容，还是网站备案都是国家严查严办的对象。对此，中国诺网特别策划了网站备案专题版面，欲助各大站长远离备案烦恼。

以前，常听用户说，中毒了没关系，大不了重装系统。但现在，这句话将成为历史。3月15日，金山安全实验室捕获一种被命名为“鬼影”的电脑病毒，该病毒寄生在磁盘主引导记录（MBR），即使格式化重装系统，也无法将该病毒清除。当系统再次重启时，该病毒会早于操作系统内核先行加载。而当病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，病毒就象“鬼影”一样在中毒电脑上“阴魂不散”。

　　颠覆传统重装系统无法清除

　　金山安全反病毒专家表示，“一般的电脑病毒是Windows系统下的应用程序，在Windows加载之后才运行。而“鬼影”病毒的主要代码是寄生在硬盘的主引导记录（MBR），在电脑启动过程中先于系统核心程序直接加载到电脑内存中运行。对于已经寄生于MBR中的病毒，安全软件无法进行拦截。因病毒比安全软件的启动还要早。

　　李铁军表示，“鬼影”病毒是国内首个引导区下载者病毒，颠覆了传统病毒的感染特点以及用户处理病毒问题的思维定势，不仅做到了“三无”特性——无文件、无系统启动项、无进程模块，而且即使用户重装了系统，该病毒依然会再次进入用户新系统；全新的病毒技术，突破了普通杀毒软件的自保护，“鬼影”病毒可以说是一个具有“划时代”特征的电脑病毒。

　　安全软件失效电脑明显变慢

　　金山安全实验室的研究人员分析发现，这个“鬼影”病毒是随某些共享软件捆绑安装进入电脑的，目前的日感染电脑约2-3万台。“鬼影”病毒入侵后，会释放驱动程序改写硬盘MBR（主引导记录），驱动程序在开机过程中攻击众多杀毒软件，令杀毒软件失效，再下载传统的AV终结者木马下载器，最终目的依然是通过传播盗号木马，窃取用户虚拟财产牟利。中毒后，最直观的现象是安全软件无法正常运行，电脑明显变慢，IE主页被改。立即下载专杀

　　罕见技术型病毒源于国外

　　“鬼影”病毒是近年来较为罕见的技术型病毒，病毒作者具有高超的编程技巧。因WinXP系统的限制，一般手法改写MBR会被系统判定为非法，这也是引导区病毒接近消亡的重要因素。这种绕过Winxp的安全限制，直接改写MBR的技术主要在国外技术论坛传播，在“鬼影”病毒之前，这一技术少有被黑客实际大规模利用的案例。金山安全实验室工程师说，目前“鬼影”病毒只针对Winxp系统，该病毒尚不能破坏Vista和Windows7系统。

　　另据金山安全实验室研究人员透露，在目前国内安全厂商和民间反病毒高手中，能够完整分析“鬼影”病毒的人屈指可数。因病毒寄生于硬盘的主引导记录（MBR），病毒释放的驱动程序能够破坏大多数安全工具和系统辅助工具，在已经中毒的情况下，很难使用现有工具完成病毒清除，金山安全实验室正在编写针对“鬼影”病毒的专杀工具。

文章选自外网论坛，个人爱好整理没有版权，欢迎转载转载时请注明：顺网小哥

打赏