浙江大学趋势防病毒定期安全简报（10月）

一．	趋势系统使用情况
1.1 三台服务器统计中毒排名在前的用户：

1)	10.10.7.222

2)	10.10.2.180

3)	10.10.2.181

1.2	受感染用户前10名（总排行）
序号	计算机	IP地址	病毒/恶意软件数	楼宇名	
1	SC09-B9	10.78.21.39	94604	紫金港东4	
2	TOSHIBA-PC	10.14.26.121	75198	玉泉-教3	
3	JXGZZ	10.48.11.24	26247	华家池-教学楼-公共外语	
4	ZJU-115CF7EA3CC	222.205.1.27	22091	玉泉1舍	
5	Lab7-00000	10.71.149.2	21452	紫金港-医学院教学中心	
6	MICROSOF-5C940C	10.12.15.161	12432	玉泉-教3	
7	LAB4051	10.71.149.5	12380	紫金港-医学院教学中心	
8	MBAC	10.71.89.250	8143	紫金港-青溪	
9	PC-200811111100	10.15.31.100	7946	玉泉-教7-新闻	
10	201-C7-4	10.15.61.213	6196	图书馆	

1.3	受感染用户前10名（本月排行）
序号	计算机	IP地址	病毒/恶意软件数	楼宇名	
1	SC09-B9	10.78.21.39	31180	紫金港东4	
2	X2-412	10.78.212.32	7178	紫金港西1多媒体教室	
3	Lab7-00000	10.71.149.2	3956	紫金港-医学院教学中心	
4	MATH33	10.13.91.173	456	玉泉-工商管理楼	
5	PC-200811111100	10.15.31.100	450	玉泉-教7-新闻	
6	2B7C9B2337CC4D9	10.71.204.1	417	紫金港医学院科研楼	
7	PC-20111014OAOV	10.24.11.40	347	西溪-艺术楼A	
8	CRPE	10.214.65.225	251	玉泉-外经贸	
9	MATH34	10.13.91.174	246	玉泉-工商管理楼	
10	ZULBDZ203	10.78.86.9	245	紫金港图书馆	

二．	安全简讯
2.1	 2011年10月前十大病毒警讯
排名	病毒名称	威胁类型	风险等级	病毒行为描述	
1	WORM_DOWNAD.AD	蠕虫	★★★★	该病毒会攻击未安装微软 IE 漏洞MS08-067 的电脑，并且会在受感染电脑产生五万个恶意程序网址并试图在同一时间内随机连结其中 500 个恶意网站下载病毒	
2	CRCK_KEYGEN	破解程序	★★	非法破解程序	
3	WORM_ECODE.E-CN	蠕虫	★★★★	E 语言病毒,产生与当前文件夹同名exe文件	
4	Cryp_Xed-12	木马	★★★	木马病毒，通过访问恶意站点下载感染或由其他恶意程序下载感染	
5	TROJ_DOWNAD.INF	木马	★★★	DOWNAD 蠕虫关联木马	
6	TROJ_IFRAME.CP	木马	★★★	GIF、jpg 和SWF 文件中被插入一个恶意的iframe 标记时，趋势科技会将其判断为TROJ_IFRAME.CP 病毒。当这些
文件被执行时，会重定向到这些 URL，并下载恶意程序	
7	WORM_DOWNAD	蠕虫	★★★★	该病毒会攻击未安装微软 IE 漏洞MS08-067 的电脑，并且会在受感染电脑产生五万个恶意程序网址并试图在同一时间内随机连结其中 500 个恶意网站下载病毒	
8	JS_EXPLOIT.SMAD	木马	★★★	这是使用趋势科技智能检测功能所检测出的疑似Java 脚本病毒程序	
9	PAK_Generic.001	木马	★★★	加壳程序，疑似病毒文件	
10	TROJ_SPNR.03CG11	木马	★★★	木马病毒，通过访问恶意站点下载感染或由其他恶意程序下载感染	

2.2 本月安全趋势分析
本月热门病毒简述- WORM.DOWNAD.AD
本月最流行病毒为WORM_DOWNAD.AD，该病毒目前仍然在很多企业用户网络内流行。
相对于上个月WORM_DOWNAD.AD病毒的流行程度不但没有降低，反而有了小小的上升，这是出乎我们意料之外的。
在这里仍然需要提醒用户，该病毒持续流行的原因有几点：
1.用户内网中电脑系统补丁安装率较低
2.网络中存在弱密码的或空密码的电脑管理员账号
3.网络内存在有未安装防毒软件，或防毒软件已损坏的感染源电脑
4.没有针对U盘等移动存储设备的安全管理策略

由于目前尚未发现关于该病毒的新变种，使用趋势反病毒软件及专杀工具即可处理此病毒。
2.3 2011年1-10月各查杀统计表
已查杀的病毒/恶意软件数：

已查杀的全部病毒、恶意软件摘要：

传染来源摘要：（N/A表示来自外网或无法识别）

被感染的目标（主机）摘要：

处理措拖结果摘要：

三  计算机病毒常用防范知识
3.1 计算机病毒的类型及主要来源
    计算机病毒在《中华人民共和国计算机信息系统安全保护条例》中被明确定义为：“指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。”也可以说计算机病毒是一个程序，一段可执行码。就像生物病毒一样，计算机病毒有独特的复制能力，可以很快地蔓延，且常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。近几年，出现了以下几种主要病毒： 
1.	系统病毒。系统病毒的前缀为： Win32、PE、W32等。这些病毒的一般公有的特性是可以感染 windows操作系统的 *.exe 和 *.dll 文件，并通过这些文件进行传播。如 CIH病毒。 
2.	蠕虫病毒。蠕虫病毒的前缀是： Worm。这种病毒的公有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件、阻塞网络的特性。比如冲击波（阻塞网络）、小邮差（发带毒邮件）等。 
3.	木马病毒、黑客病毒。木马病毒其前缀是： Trojan，黑客病毒前缀名一般为 Hack。木马病毒的公有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，现在这两种类型越来越趋向于整合了。一般的木马如 QQ消息尾巴木马 Trojan.QQ3344，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW.60。 
4.	脚本病毒。脚本病毒的前缀是： Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码。脚本病毒还会有如下前缀： VBS、JS（表明是何种脚本编写的），如欢乐时光等。 
5.	宏病毒。其实宏病毒也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。宏病毒的前缀是： Macro；第二前缀是： Word、Word97、Excel、Excel97（也许还有别的）其中之一。如：著名的美丽莎。 
6.	后门病毒。后门病毒的前缀是： Backdoor。该类病毒的公有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。如很多朋友遇到过的 IRC后门 Backdoor.IRCBot。 
7.	病毒种植程序病毒。这类病毒的公有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者、 MSN射手等。 
8.	破坏性程序病毒。破坏性程序病毒的前缀是： Harm。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒就会直接对用户计算机产生破坏。如：格式化 C盘、杀手命令等。 
9.	玩笑病毒。玩笑病毒的前缀是： Joke，也称恶作剧病毒。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，而病毒并没有对用户电脑进行任何破坏。如：女鬼病毒。
10.	捆绑机病毒。捆绑机病毒的前缀是： Binder。这类病毒的公有特性是病毒作者会使用特定的捆绑程序将病毒与一些应用程序如 QQ、IE捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑QQ等。

计算机病毒的主要来源有： 
1.	搞计算机的人员和业余爱好者的恶作剧、寻开心制造出的病毒，例如像圆点一类的良性病毒。 
2.	软件公司及用户为保护自己的软件被非法复制而采取的报复性惩罚措施。因为他们发现对软件上锁，不如在其中藏有病毒对非法拷贝的打击大，这更加助长了各种病毒的传播。 
3.	旨在攻击和摧毁计算机信息系统和计算机系统而制造的病毒——就是蓄意进行破坏。例如， 1987年底出现在以色列耶路撒冷西伯莱大学的犹太人病毒，就是雇员在工作中受挫或被辞退时故意制造的。它针对性强、破坏性大，产生于内部，防不胜防。 
4.	用于研究或有益目的而设计的程序，由于某种原因失去控制或产生了意想不到的效果。
3.2 病毒防范措施小贴士
1)	应养成及时下载最新系统安全漏洞补丁的安全习惯，从根源上杜绝黑客利用系统漏洞攻击用户计算机的病毒。同时，升级杀毒软件、开启病毒实时监控应成为每日防范病毒的必修课。 
2)	定期做好重要资料的备份，以免造成重大损失。 
3)	选择具备“网页防火墙”功能的杀毒软件，每天升级杀毒软件病毒库，定时对计算机进行病毒查杀，上网时开启杀毒软件全部监控。 
4)	不要随便打开来源不明的 Excel或 Word文档，并且要及时升级病毒库，开启实时监控，以免受到病毒的侵害。 
5)	上网浏览时一定要开启杀毒软件的实时监控功能，以免遭到病毒侵害。 
6)	上网浏览时，不要随便点击不安全陌生网站，以免遭到病毒侵害。 
7)	及时更新计算机的防病毒软件、安装防火墙，为操作系统及时安装补丁程序。 
8)	在上网过程中要注意加强自我保护，避免访问非法网站，这些网站往往潜入了恶意代码，一旦用户打开其页面时，即会被植入木马与病毒。 
9)	利用 Windows Update功能打全系统补丁，避免病毒以网页木马的方式入侵到系统中。 
10)	将应用软件升级到最新版本，其中包括各种 IM即时通讯工具、下载工具、播放器软件、搜索工具条等；更不要登录来历不明的网站，避免病毒利用其他应用软件漏洞进行木马病毒传播。
3.3 常见病毒处理方法
QQ盗号木马qqc.dll简述及处理方法
3.3.1木马特征分析：
qqc.dll 为QQ盗号木马的变种，释放文件为dns.dll.

1)	这个病毒文件云鉴定结果

2)	使用监控软件我们可以看到这个病毒有两个行为
•	QQ目录下生成一个名为dns.dll的QQ盗号木马文件，这个是此盗号木马主体文件
•	病毒修改了QQ核心的文件common.dll文件，这个文件就变成了病毒的加载器

3)	分析修改后的QQ盗号木马加载器 common.dll

•	二进制对比，发现两个文件的区别在于psapi.dll被修改成了dns.dll

•	使用PE编辑工具查看，发现原来修改的是common.dll导入表(原始的应该是psapi.dll)

•	为了满足QQ对psapi.dll的需要（查询下进程列表模块什么的），这个QQ盗号木马会主动帮忙加载psapi.dll

3.3.2 DNS.dll修复
经过以上的分析导致QQ被盗和找不到文件的源头就是这个被修改common.dll（很多情况下是杀毒软件删除了DNS.dll这个QQ盗号木马，而没有修复common.dll导致的）

1)	QQ官方版本的用户

建议你访问IM.QQ.COM下载适合你的QQ版本，先卸载当前版本的QQ版本，然后重新安装

2)	修改版，精简版的QQ用户

建议你访问你认为安全的网站，重新下载QQ安装包，并重新安装
四 技术交流
欢迎老师和同学们前来交流问题，多提建议，希望下期简报内容更加接近大家的需求。

咨询服务电话：87951669
邮箱: netsafe@zju.edu.cn
技术交流：
工程师联系方式：13588277982  章荣伟