2003国内重大流行病毒TOP TEN

                2003年安全回顾一 国内重大流行病毒TOP TEN
转自金山毒霸安全资讯网　
　　对计算机安全领域来说，即将过去的2003年是一个名副其实的“病毒年”！这一年里，计算机病毒的数量，造成的危害，重大流行病毒出现的频度，被感染的计算机数量都远远超过了以往。形成了：旧病毒依旧“不死”，新病毒层出不穷，互联网危机重重，漏洞频被利用的鲜明特点。
　　金山反病毒中心根据自己的全球病毒检测网和用户上报、咨询的数据，按病毒的破坏大小、造成的损失、散播面积、生命周期，统计出2003年的10大病毒。今年全国90％以上的用户受到过这10个病毒的攻击。
No.1 “冲击波”及其变种（Worm.MsBlast及Worm.KillMsBlast）
常用别名：冲击波/冲击波克星，Blaster，Poza，Lovsan/Welchia，Nachi等
危害综述：
　　自金山反病毒中心于8月11日截获“Worm.MsBlast”这个利用微软今年7月公布的RPC漏洞的病毒以来，它在短短几天之内感染了国内几乎所有使用WinNT/2000/XP/2003的联网计算机。感染后的计算机出现粘贴、复制功能失效，不断提示重启，不能正常上网等现象，系统很快随之崩溃。病毒还尝试对 Windows Update站点发起“拒绝服务”（DoS）攻击，企图阻止用户下载相关漏洞的补丁程序。
　　该病毒出现后带动出一大批利用此漏洞的其他病毒，形成了一个较大的病毒家族。其中紧跟其后于8月18日出现的“冲击波克星”（Worm.KillMsBlast）病毒也广为流传。它一面试图清除“冲击波”（Worm.Msblast）病毒，在系统内种下简易预防代码，并尝试从微软网站下载补丁程序，为受感染的系统打上补丁。但该病毒紧接着就开启上百个线程疯狂探测IP地址，并通过RPC漏洞迅速传播自己，消耗大量CPU和网络资源，常常导致系统死机。
　　时至今日， 没有安装相应补丁程序的用户系统只要一联上网，很快就会受到这类病毒攻击。


No.2 “巨无霸”及其变种（Worm.Sobig）
常用别名：“大无极”，“好大”，“霸王虫”等
危害综述：
　　 该病毒第一次出现在2003年1月10日，当时就产生了巨大影响。迄今已发展了6个变种，其中5、6月和9、10月的两度变种引起了大面积的垃圾邮件泛滥乃至网络瘫痪，大量邮件服务器无法工作，很多单位个人不能正常收发邮件和上网。由于该病毒后来的每个变种都有一个停止活动的时间点，因此在10月中下旬以后其影响才渐渐消失。
　　“巨无霸”是一种典型的利用电子邮件散播的病毒。它在被感染计算机里搜索.dbx，.eml，.hlp，.htm，.html，.mht，.wab，.txt等文件，从中提取电子邮件地址。然后伪装成admin@support.com，support@yahoo.com，bill@microsoft.com，support@microsoft.com，big@boss.com等发件人，向找到的地址群发带有病毒附件的邮件。邮件的主题，正文内容，附件名称非常具有欺骗性。
　　该病毒还试图从某些网站下载木马程序进一步控制用户计算机，同时也使用了去年流行蠕虫病毒常用的一些感染方式，如修改注册表，通过网络共享传播等。

No.3 “蠕虫王”（Worm.SQLexp）
常用别名：“SQL杀手”，SQL.helkerm，SQLSlammer，SQLP1434.A，Slammer，Sapphire等
危害综述：
　　2003年1月25日，全球互联网遭到“蠕虫王”病毒攻击，受其影响，国内80%以上的网民连续数日不能上网，大量公司单位的服务器被此病毒感染引起网络瘫痪。北美、欧洲、尤其是亚太地区的互联网均受到严重影响导致中断，给包括电信，金融，商业，票务预定在内的多个领域造成巨大损失。
　　“蠕虫王”病毒体极其短小，仅在内存中进行蔓延，攻击所有安装有Microsoft SQL Server的NT系列服务器（包括NT/2000/XP等），具有极强的传播性。未打补丁的SQL Server被感染后继续向其他SQL Server发送病毒，被感染的服务器又成为新的“毒源”，如此连锁反应，无数服务器瘫痪，网络带宽也被大量消耗，短短几小时就使得全球互联网瘫痪。
　　该病毒利用的是微软于2002年七月就发现的“Buffer Overruns in SQL Server 2000 Resolution Service Might Enable Code Execution”缓冲区溢出漏洞，该漏洞在2002年7月17日的MS02-039 补丁包中就已得到修正。


No.4　“QQ狩猎者”及其变种（QQmsg各变种）
常用别名：“QQ尾巴”，“QQ林妹妹”，QQ 连发器，QQPass，QQ3344，QQktv530等。
危害综述：
　　今年4月中旬，金山反病毒中心首次截获了一个类似“爱情森林”一样自动向QQ里的好友发消息的病毒，命名为“狩猎者”。然而在随后的7个月里，该类型病毒不断推陈出新，至今已发展出不同类型的100多个变种，形成一个较大的病毒家族。
　　这类病毒发作时会寻找QQ窗口，向在线的好友发送诸如“快去这看看http://www.***.com，里面有蛮好的东西”之类的假消息，诱惑用户点击其中的网站链接。而病毒就潜伏在这些网站上，利用微软浏览器的IFrame漏洞感染打开网页的计算机，使之成为毒源，继续传播。同时许多变种还添加了多种传统病毒，木马，蠕虫的功能，或占用系统资源，或盗取用户帐号密码，或扩展传播方式，大量QQ用户深受其害。
　　该病毒利用的Iframe漏洞微软于2001年初公布，它曾经被许多流行病毒利用，如尼姆达、求职信等。
相关文章："狩猎者"新变种改头换面肆虐　上千用户中招
详细技术文档："狩猎者"最新变种Troj.QQmsgflash2分析报告
解决方案链接：“狩猎者”专杀工具


No.5　“恶邮差”及其变种（Worm.Supnot各变种）
常用别名：“爱情后门”，“爱之门”，LovGate等
危害综述：
　　该病毒首次大规模爆发是在今年的2月18日，2月24日又出现一个类似的变种。3月下旬，该病毒又出现3个变种，增加了猜密码的功能。5月13日，该病毒再次大规模爆发，新变种完善了已有的功能，添加了感染可执行文件，反安全软件，监控内存，盗取信息等多种能力，此后又发展了多个变种，几乎使用了两年来PE病毒常用的各种技术，成为一种继“求职信”后，典型的集传统感染型病毒，蠕虫，木马黑客程序为一体的混和型病毒。许多邮件服务器都在极短时间内不堪重负而崩溃。
　　该系列病毒主要技术特点如下：A.改进的邮件传播方式，能够随机根据收件箱中的已有邮件向外传播自己，带毒邮件的主题和内容跟原始邮件有关；将病毒副本做为附件，附件名称随机，极具迷惑性。 B.释放木马到系统目录，以服务的形式运行，服务名称模仿系统正常服务；监听端口，允许黑客控制被感染的计算机，盗取用户帐号等信息。 C.修改注册表的启动项，txt和exe文件关联，win.ini文件。 D.搜寻本地网络共享目录，通过可写的共享目录感染。 E. 猜测局域网中NT/2000/XP机器的Administrator、Guest用户密码，一旦猜中就将自己复制到对方机器，然后伪装成类似“Microsoft NetWork FireWall Services”的服务运行。 F.感染EXE文件，寄生到可执行程序的头部。 G.运行一个监控进程，当病毒终止时立即重新装载，反复重写注册表，终止一些知名的反病毒软件。


No.6　“口令”及其变种（Worm.DvLdr）
常用别名：猜谜者，Deloder，ARG，VNC-based等
危害综述：
　　2003年3月7日，金山反病毒中心首次捕获该病毒。被该病毒感染的主机会收发大量数据包造成网络拥塞。在3月初曾造成国内骨干互联网出现明显拥塞，数以万计的国内服务器被感染并自动连接境外服务器。在其后的几个月里，该病毒又出现了两个变种，在许多局域网中广泛传播。
　　该病毒暴力破解网络上机器的密码，成功后感染被攻破密码的远程主机，并在其上安装运行木马，使远程主机被攻击者完全控制。今年的流行病毒中，这一手法为该病毒首创，被其后的许多病毒使用，如“恶邮差”、“妖怪”、“姆玛”等。该蠕虫主要攻击系统为NT/2000/XP系列的计算机。病毒通过自身捆绑的第三方工具来实现远程执行应用程序、安装病毒，远程控制主机，通过mIRC进行攻击等功能。


No.7　“小邮差”及其变种（Worm.Mimail）
常用别名：“邮米”，mimail等
危害综述：
8月2日“小邮差”首次在国内现身，该病毒来自国外，它不停的发送带毒电子邮件，造成网络资源被大量浪费。该病毒并未由于其后横扫全国的“冲击波”病毒销声匿迹，反而不断发展，迄今为止已经发展了9个变种，并且在全球流行病毒排行中节节上升。
该病毒仍然主要通过电子邮件传播，不过它会在更多的文件类型（目前为止是最多的）中收集邮件地址，存放在如Zip.tmp、Exe.tmp、Eml.tmp之类的文件中，然后向找到的地址发送带毒邮件。
早期变种发出的带毒邮件会伪装成警告用户邮件帐号过期的通知信，骗取用户打开ZIP形式的附件，然后利用微软今年4月公布的OE漏洞，将后缀为.htm的病毒释放到本地的IE临时文件夹中，自动将其运行。后期的变种更进一步，会显示让用户输入其信用卡信息的网页，将用户输入的信息保存，随后发到几个指定的电子邮箱里。该病毒还会对某些网站随机发起拒绝服务（DoS）攻击。
相关文章：
警惕："小邮差"疯狂发作　 大量变种接踵而来 (2003/11/03)
病毒红色警报：“小邮差”最新变种卷土重来 (2003/11/01)
近期警惕“小邮差”病毒　网上聊天最易感染 (2003/08/08)
详细技术文档：
Worm.Mimail.e：“小邮差”(Worm.Mimail.e) 新变种分析报告 (2003/11/04)
Worm.Mimail.g：“小邮差”(Worm.Mimail.g) 新变种分析报告 (2003/11/04)
Worm.Mimail.c：“小邮差”(Mimail.c)最新变种技术分析报告 (2003/11/01)
Worm_Mimail.A：我国出现 “小邮差”（Worm_Mimail.A）病毒 (2003/08/05)
Wrom.MiMail：金山毒霸：Worm.MiMail 蠕虫病毒的分析报告 (2003/08/04)


No.8　“妖怪”变种（Wrom.Tanatos.b）
常用别名：“怪物”，Bugbear等
危害综述：
　　“妖怪”病毒首次在国内出现是在2002年的国庆期间，造成了很大危害。今年6月5日，该病毒的.b变种又一次疯狂来袭。这个新变种和“恶邮差”一样，是一个集文件感染、变形、蠕虫、黑客木马等多种病毒特性于一体的混和型病毒。
　　该病毒主要有以下几种危害：A. 从.mmf，.nch，.mbx，.eml，.tbb，.dbx，.ocs等文件和注册表中获得邮件帐号地址，群发带毒邮件。发件人、主题、正文等信息由受感染机器上的已有信息构成，病毒附件名称随机，具有相当的迷惑性。 B.定时终止系统中常用安全软件的运行。 C.释放并运行木马程序，打开端口接受攻击者的指令。攻击者可以控制被感染机器，执行和本地机器一样的操作，获得用户输入的帐号、密码等信息。 D.通将自己复制到网络中其他计算机上的Startup目录来散播。 E.由于病毒未区分网络资源类型，可能会造成网络上打印机打印乱码或其他故障。

No.9　“费氏”（Worm.Fizzer）
常用别名：“嘶嘶声”，“泡沫人”等
危害综述：
　　该病毒于今年5月11日被捕获。在之后的连续6个月里，在国内不断传播，期间还数次出现大规模感染的迹象。
　　该病毒也是一个混和型的病毒，除了像许多蠕虫病毒一样利用邮件传播，修改注册表等之外，还会：A.利用IRC和AOL这两个即时通讯软件开启木马程序，让黑客控制被感染机器。 B. 获取P2P工具“KaZaa”的共享目录，把病毒副本复制到共享目录下，供其它用户下载。 C.自动到制作者的网站进行升级。 D.记录键盘输入信息，泄漏用户帐号、密码等资料。 E.将自身作为 HTTP 服务器运行，同时打开端口2018、2019、2020、2021，让黑客任意控制被感染的机器。 F.终止多个反病毒软件的运行。
相关文章：“费氏” 病毒在全球蔓延 Outlook 易受攻击
详细技术文档：恶意蠕虫病毒 “Worm.Fizzer”技术分析报告
解决方案链接：“费氏”病毒专杀工具


No.10　“求职信”及其变种（Worm.wantjob各变种）
常用别名：Klez，Poverty等
危害综述：
　　该病毒最早于2001年10月被发现，现在已经形成一个较大的病毒家族。“求职信”病毒是一种经典的混和型蠕虫病毒。在2002年，无论是造成的破坏性还是散播范围，都稳居各大流行病毒之首。今年，该病毒仍像一颗“常青树”，困扰了全球无数计算机用户。
　　这类生命力极强的病毒（还包括“新欢乐时光”、FunLove等）的存在，不能不引起足够的重视！

这些个我看过了，在瑞金网站都有公布