浙江大学趋势防病毒定期安全简报（9月）

一．	趋势系统使用情况
1.1 三台服务器统计中毒排名在前的用户：

1)	10.10.7.222

2)	10.10.2.180

3)	10.10.2.181

1.2	受感染用户前10名
序号	计算机	IP地址	病毒/恶意软件数	楼宇名	
1	SC09-B9	10.78.21.39	93834	紫金港-东4-4楼	
2	TOSHIBA-PC	10.14.26.121	75198	玉泉-教3	
3	JXGZZ	10.48.11.24	26247	华家池-教学楼-公共外语	
4	ZJU-115CF7EA3CC	222.205.1.27	22091	玉泉1舍	
5	Lab7-00000	10.71.149.2	18533	紫金港-医学院教学中心	
6	9-306	10.15.11.36	13304	玉泉-教7	
7	MICROSOF-5C940C	10.12.15.161	12432	玉泉-教3	
8	LAB4051	10.71.149.5	12380	紫金港-医学院教学中心	
9	PC-200811111100	10.15.31.100	7642	玉泉-教7-新闻	
10	MBAC	10.71.89.250	7499	紫金港-青溪	

二．	安全简讯
2.1	 2011年9月前十大病毒警讯
排名	病毒名称	威胁类型	风险等级	病毒行为描述	
1	TROJ_DOWNAD.INF	木马	★★★	DOWNAD 蠕虫关联木马	
2	WORM_DOWNAD.AD	蠕虫	★★★★	该病毒会攻击未安装微软 IE 漏洞MS08-067 的电脑，并且会在受感染电脑产生五万个恶意程序网址并试图在同一时间内随机连结其中 500 个恶意网站下载病毒	
3	TROJ_IFRAME.CP	木马	★★★	GIF、jpg 和SWF 文件中被插入一个恶意的iframe 标记时，趋势科技会将其判断为TROJ_IFRAME.CP 病毒。当这些
文件被执行时，会重定向到这些 URL，并下载恶意程序	
4	WORM_DOWNAD	蠕虫	★★★★	该病毒会攻击未安装微软 IE 漏洞MS08-067 的电脑，并且会在受感染电脑产生五万个恶意程序网址并试图在同一时间内随机连结其中 500 个恶意网站下载病毒	
5	Cryp_Xed-12	木马	★★★	木马病毒，通过访问恶意站点下载感染或由其他恶意程序下载感染	
6	CRCK_KEYGEN	破解程序	★★	非法破解程序	
7	JS_EXPLOIT.SMAD	木马	★★★	这是使用趋势科技智能检测功能所检测出的疑似Java 脚本病毒程序	
8	PAK_Generic.001	木马	★★★	加壳程序，疑似病毒文件	
9	WORM_ECODE.E-CN	蠕虫	★★★★	E 语言病毒,产生与当前文件夹同名exe文件	
10	TROJ_SPNR.03CG11	木马	★★★	木马病毒，通过访问恶意站点下载感染或由其他恶意程序下载感染	

2.2 本周安全趋势分析
本周热门病毒综述- TROJ_YAKES.AO

这种木马会将其代码注入svchost.exe 文件中以实现自启动，当其运行时它会连接到特定的URL 来发送机器已被感染的报告并下载恶意文件，当程序运行完成后，它将删除自身原文件。
此木马往往是作为附件随垃圾邮件传播到机器上的。

对该病毒的防护可以从以下连接下载最新版本的趋势病毒码：8.331.00
http://support.trendmicro.com.cn/Anti-Virus/Main-Pattern/
病毒详细信息请查询：
http://about-threats.trendmicro.com/Malware.aspx?language=us&name=TROJ_YAKES.AO

2.3 2011年1-9月各查杀统计表
已查杀的病毒/恶意软件数：

已查杀的全部病毒、恶意软件摘要：

传染来源摘要：（N/A表示来自外网或无法识别）

被感染的目标（主机）摘要：

处理措拖结果摘要：

三  计算机病毒常用防范知识
3.1 如何减少病毒感染的机会
1)	树立病毒防范意识，从思想上重视计算机病毒。要从思想上重视计算机病毒可能会给计算机安全运行带来的危害。对于计算机病毒，有病毒防护意识的人和没有病毒防护意识的人对待病毒的态度完全不同。例如对于反病毒研究人员，机器内存储的上千种病毒不会随意进行破坏，所采取的防护措施也并不复杂。而对于病毒毫无警惕意识的人员，可能连计算机显示屏上出现的病毒信息都不去仔细观察一下，任其在磁盘中进行破坏。其实，只要稍有警惕，病毒在传染时和传染后留下的蛛丝马迹总是能被发现的。
2)	安装正版的杀毒软件和防火墙，并及时升级到最新版本(如瑞星、金山毒霸、江民、卡巴斯基、诺顿等)。
3)	另外还要及时升级杀毒软件病毒库，这样才能防范新病毒，为系统提供真正安全环境。 
4)	及时对系统和应用程序进行升级 及时更新操作系统，安装相应补丁程序，从根源上杜绝黑客利用系统漏洞攻击用户的计算机。可以利用系统自带的自动更新功能或者开启有些软件的“系统漏洞检查”功能(如“360安全卫士”)，全面扫描操作系统漏洞，要尽量使用正版软件，并及时将计算机中所安装的各种应用软件升级到最新版本，其中包括各种即时通讯工具、下载工具、播放器软件、搜索工具等，避免病毒利用应用软件的漏洞进行木马病毒传播。
5)	把好入口关 很多病毒都是因为使用了含有病毒的盗版光盘，拷贝了隐藏病毒的U盘资料等而感染的，所以必须把好计算机的“入口”关，在使用这些光盘、U盘以及从网络上下载的程序之前必须使用杀毒工具进行扫描，查看是否带有病毒，确认无病毒后，再使用。
6)	不要随便登录不明网站、黑客网站或色情网站 用户不要随便登录不明网站或者黄色网站，不要随便点击打开QQ、MSN等聊天工具上发来的链接信息，不要随便打开或运行陌生、可疑文件和程序，如邮件中的陌生附件，外挂程序等，这样可以避免网络上的恶意软件插件进入你的计算机。
7)	养成经常备份重要数据的习惯 要定期与不定期地对磁盘文件进行备份，特别是一些比较重要的数据资料，以便在感染病毒导致系统崩溃时可以最大限度地恢复数据，尽量减少可能造成的损失。
8)	养成使用计算机的良好习惯 在日常使用计算机的过程中，应该养成定期查毒、杀毒的习惯。因为很多病毒在感染后会在后台运行，用肉眼是无法看到的，而有的病毒会存在潜伏期，在特定的时间会自动发作，所以要定期对自己的计算机进行检查，一旦发现感染了病毒，要及时清除。
9)	要学习和掌握一些必备的相关知识 无论您是只使用家用计算机的发烧友，还是每天上班都要面对屏幕工作的计算机一族，都将无一例外地、毫无疑问地会受到病毒的攻击和感染，只是或早或晚而已。因此，一定要学习和掌握一些必备的相关知识，这样才能及时发现新病毒并采取相应措施，在关键时刻减少病毒对自己计算机造成的危害。

3.2 上网安全小知识
1)	不要轻易打开邮件的附件
目前很多邮件软件都能显示完整的附件扩展名了。一般看到 .EXE .PIF .BAT .VBS .JS .SCR 之类的扩展名就要小心是病毒程序伪装的附件。目前的常见的病毒邮件附件在20-50kB左右。 
另外有些病毒邮件会出现已被病毒扫描软件扫描过的字样, 如: 
     ++++ Attachment: No Virus found 
     ++++ XXX AntiVirus – www.baidu.com 	
之类的文字来欺骗你打开附件。

2)	要注意 HTML 格式的邮件
HTML格式邮件里面可能会利用 IE 内核的漏洞嵌入一些有害的脚本病毒, 例如常见的〈iframe src="。。。" 〉等。
所以最好不要用邮件客户端的直接 HTML 预览模式,而是用文本预览模式。一般 HTML 格式的邮件先用 Foxmail 的"查看邮件原始信息"看看全部的原始信息是否有害, 或者直接删除。

3)	不要轻易打开即时通讯软件传来的文件和网页链接，一般流行的反病毒软件都能自动判断文件或链接的危险程序,所以要及时更新系统和软件以便加强防护能力

4)	尽量不要使用共享硬盘功能
要慎用硬盘共享和文件共享功能，共享就意味着允许别人下载文件。当硬盘或文件夹图标下有一只手托着时，表明启动了共享功能，选中该图标，选择“文件”选单下的“共享”，再选“不共享”，这只手就消失了。

5)	经常修改密码
经常修改密码最简单有效的方法。由于许多黑客利用穷举法来破解密码，像John这一类的密码破解程序可从因特网上免费下载，只要加上一个足够大的字典在足够快的机器上没日没夜地运行，就可以获得需要的帐号及密码，因此，经常修改密码对付这种盗用就显得十分奏效。由于那么多潜在的黑客千方百计想要获得别人的密码，那么拨号上网用户就应该加强防范，以下四个原则可提高密码的抗破解能力。
•	不要选择常用字做密码。
•	用单词和符号混合组成密码。
•	使用9个以上的字符做密码，使你的密码尽可能地长，对Windows系统来说，密码最少要由9个字符组成才算安全。
•	密码组成中最好混合使用大小写字母，一般情况下密码只由英文字母组成，密码中可使用26或52个字母。若对一个8个字母组成的密码进行破解，密码中字母有无大小写之分将使破解时间产生256倍的差别。 
6)	如何快速锁定计算机
快速锁定计算机可以使你在临时离开计算机时保证非法用户使用你的计算机。
方法如下：在桌面上单击鼠标右键，在随后出现的快捷菜单上选择新建“快捷方式”，接着系统便会启动创建快捷方式向导，在文本框中输“rundll32.exe user32.dll,LockWorkStation”，点击“下一步”，在弹出的窗口中输入快捷方式的名称，点击“完成”即可。
当然最简单的锁定计算机的方法是直接按Win键 + L。

3.3 常见病毒处理方法
1)	CAD病毒介绍和处理办法
CAD病毒是一种感染CAD软件的病毒，其中毒迹象主要为：
    软件启动变慢，打印文件不正常，实线变虚线，大部分命令无效，跳出对话框，无法正常打开文件，未知的命令，按鼠标中间弹出菜单，什么“党不会亏待你”，“抢饭碗”这类的等等。
CAD病毒“党不会亏待你”介绍

    由于AutoCAD启动时，按其设定的支持路径及当前文件路径挨个搜索，若存在文件acad.lsp，则运行之。该病毒利用AutoCAD的这种读取机制，在第一次打开带有病毒的图纸后，该病毒即悄悄运行，并感染每一张新打开的图纸，将病毒文件到处复制，并生成很多名为acad.lsp的程序。
     即便是重装CAD甚至重装系统都不能解决问题。病毒感染计算机系统后,会在搜索AutoCAD软件数据库路径下的自动运行文件(acad.lsp)后，生成一个备份文件acadapp.lsp,其内容和自动运行文件一样。打开CAD图纸时,软件就会运行加载该文件,同时在存放图纸文件的目录中生成两个文件(acad.lsp和acadapp.lsp)的副本。
    CAD在启动时会弹出一个显示时间的对话框，在8:00至18:00之间，除了会有对话框，并且输入文字时可能有的以记事本出现，没有其它大的影响，在这个时间以外，就会伴随着\"移动\"命令就成“复制”等情况，让人不胜其扰。
    随后又产生了诸多变种，虽然感觉这是一种恶作剧，对于图纸没有什么很大的危害，但是因为它篡改CAD系统命令，极大的影响了用户的操作。

    防范CAD病毒经验：
    杀毒为辅，预防为主。一般客户的图纸目录下都含有acad.lsp或者acad.fas,acad.vlx等病毒文件，如果你直接双击打开，你电脑的CAD就中毒了。只有删除后打开才行，这点特别注意。客户U盘里的文件请复制出来再操作。
    一些恢复手段
    打开CAD，在CAD命令行运行下列代码，以恢复被修改的系统变量默认值：(对付CAD中鼠标中键不正常,按中键不是平移而是弹出菜单、缩放视窗速度奇慢，实线变成空心线，打印无填充图形，打开文件需要输入文件名等)

    setvar "zoomfactor" 40
    setvar "mbuttonpan" 1
    setvar "highlight" 1
    setvar "fillmode" 1

    setvar "pickauto" 1
    setvar "FILEDIA" 1
    setvar "textfill" 1
    setvar "sdi" 0

    小提示：
    在安装下载的ACAD 2007免激活版的时候，dfst.dll和vel.arx被报有有病毒给删了，autocad启动出错提示解决的方法。
    新建一个空白记事本——打开——另存为——dfst.dll或者vel.arx（保存类型选：所有文件）
然后根据出错的地方把上面的文件复制到所在文件夹下面（一般是在ACAD的Support文件夹下面）

四 技术交流
欢迎老师和同学们前来交流问题，多提建议，希望下期简报内容更加接近大家的需求。

咨询服务电话：87951669
邮箱: netsafe@zju.edu.cn
技术交流：
工程师联系方式：13588277982  章荣伟