瑞星2011年上半年安全报告
2011-07-20 16:28:39报告概要：
根据瑞星“云安全”系统提供的数据综合分析，2011年上半年中国互联网安全领域呈现以下特征：
1、病毒总量比去年同期上升25.2%。
2、挂马网站数量比去年同期下降90%，受害网民数量有明显下降。
3、钓鱼网站案例急剧增加，钓鱼网站和线下诈骗广泛结合，使得诈骗者的犯罪成本急剧下降，跨地区、甚至跨国型犯罪增多。
4、手机病毒增加，安卓平台成为未来黑客与病毒肆虐的场所。
5、“云攻击”（Threats to Cloud）正在变成现实，储存了大量用户资料和行为的“云提供商”，例如微博、社交网站、网络存储，甚至包括传统的电信运营商和酒店业者，正在面临前所未有的安全风险。
安全核心数据简析 ：
1、报告期内(2011.1.1-2011.6.30)，瑞星“云安全”系统共截获新增病毒样本5286791个，病毒总体数量与去年同期相比上升25.2%。其中木马病毒4024499个，占据总体病毒比例的76.12%，比去年55.54%的比例有大幅提高。
2、报告期内，瑞星截获的挂马网站（网页数量）总数目为236万个，比去年同期下降了91.2%（2010年同期为2666万），约为2009年同期的1%。出现此情况的原因，在于“云安全”技术的成功实施，打破了黑色挂马产业链的运行，使得网站挂马无利可图，迫使黑客逐渐放弃此种攻击手段。
3、网络钓鱼的危害达到新的高度，上半年瑞星截获钓鱼网站218万个（以URL计算），共1亿零53万人次网民遭钓鱼网站侵袭，按照此类诈骗的平均金额计算，直接经济损失至少在百亿以上。其中，虚假药品、伪劣保健品、伪劣数码产品，成为钓鱼网站最为热衷出售的“商品”。
4、假淘宝网站、假腾讯网站、假工商银行网站、假中国银行网站，占据了钓鱼网站的前四位。“假团购网站”和“假购物网站”在总体数量的比例中虽然不高，但其产生的危害巨大。比如有人在搜索引擎购买广告，出售假冒iPhone 4手机，上当者众多。
5、危害安卓系统的手机病毒大量出现，在目前已有的手机病毒样本中，安卓系统病毒约占总量的20%。在可以预见的未来，主要攻击安卓手机和平板电脑的病毒，将对用户产生巨大威胁。
6、国内厂商安全服务市场发育程度低，企业用户仅投资于软硬件产品，很少采购安全服务，使得针对大型商家的黑客攻击层出不穷。
免责声明：
本报告综合瑞星“云安全”数据中心的统计，仅针对中国安全数据及问题进行统计、研究和分析。本报告提供给媒体、公众和相关政府及行业机构、厂商作为互联网信息安全状况的介绍和研究资料，请相关单位酌情使用。如若本报告阐述之状况、数据与其它机构研究结果有差异，请使用方自行辨别，瑞星公司不承担与此相关的一切法律责任。
一、病毒和木马
1、病毒概述
2011年上半年，瑞星“云安全”系统共截获新增病毒样本5，286，791个，病毒总体数量与去年同期相比上升25.2%。其中木马病毒4，024，499个，占据总体病毒比例的76.12%，紧随其后的病毒依次为感染型病毒（win32）、后门、病毒释放器（Dropper）和广告程序。
2、十大病毒排行
上半年共逾7.4亿人次网民被病毒感染，平均每天411万人次网民中毒,按感染人数、变种数量和代表性进行综合评估，瑞星评选出了2011年上半年的十大病毒。
3、病毒技术趋势分析
通过对1至6月新增样本的病毒行为分析发现，病毒正在由传统的低级汇编语言编写，逐渐转变为兼并使用低级和高级语言混合撰写的方式，由汇编语言编写的引导部分去加载由高级语言编写的病毒主体。由于使用高级语言编写，成本更低、开发周期更短，使得这种“混合型病毒”在总体病毒中的比例增加极多。
报告期内，瑞星共截获感染型病毒（win32）445，957个，占据总体病毒比例的8.44%，已经成为继木马之后的第二大类病毒类型。
感染型病毒结构趋于简单化 编写更简单功能更强
报告期内，瑞星截获了一批后缀为.dll的感染型病毒样本。这种后缀为.dll的文件是Windows下的动态库文件，这些后缀为.dll文件的宿主文件，通常是Windows操作系统的系统动态库。病毒会骗取操作系统或者应用程序的信任。当用户要运行某些需要加载系统动态链接库的正常程序时，程序会加载“带毒的系统动态库”，从而使得电脑中毒。
此类新病毒操作简单，代码短小，所以很容易实现；被修改的宿主程序的变化不大，隐蔽性好；短小的汇编代码又更容易编写，且更容易使用变形引擎做变形躲避杀毒软件的查杀。而病毒的主要功能则转移到另一dll文件，只要使用常规的软件开发工具和高级语言就可以快速实现各种功能，且变种繁多。
高级语言编写的病毒开始流行
传统的病毒通常使用汇编语言编写，但是由于汇编语言难度很大，普通黑客一般不会去花费时间学习这种“用处不大”的语言，即使能掌握此语言，编写一个病毒也要花费很长时间。而且往往这种精雕细琢的病毒出现后，虽然有着变形引擎的保护，但如果特征上存在着一些共性，就很容易被杀毒软件公司通杀。
病毒一旦写好，再做大幅度的修改来躲避查杀的成本又过大。所以在与杀毒厂商抗衡的过程中，病毒的制作者，逐渐地引进了高级语言来协助快速地开发感染型病毒。目前最早发现使用高级语言编写的感染型病毒之一是Kuku，它使用了内嵌C++语言编写病毒主体，外层使用了汇编编写一个PE加载器来自己加载内嵌的病毒体。
当宿主程序执行时，病毒会截获到执行权限，将执行流程跳转到事先编写的加载器上，通过加载器来加载高级语言生成的病毒主体，其主要的病毒功能就是在这里实现。由于使用了高级语言来实现主要功能，所以一些曾经不可思议的高级功能都可以由这个病毒主体来实现，同时这些病毒还可以使用正常软件的功能代码，如Win32.Kuku家族的病毒主体中就包含着一套类似常规P2P下载软件的网络传输引擎，用于在不同的主机中实现病毒更新和信息共享。
感染型病毒功能趋于多元化
传统的感染型病毒，通常的危害性指标是传播途径、传播速度。而现在的新型感染病毒，则加入了更多的功能，以求实现自己的目的。比如，Win32.Crypt.p病毒就拥有盗号木马的特征，它会截取用户的屏幕、记录用户键盘输入的信息，并偷偷把这些用户信息发送给病毒编写者。
还有的感染型病毒包含有后门功能，如Virut变种病毒，就含有一个小型的后门客户端，用于获取用户操作系统信息、系统运行情况，同时还具有下载运行指定应用程序等功能。
4、手机病毒
随着安卓系统的盛行，安卓系统的手机数量从2010年初开始迅速增长，基于安卓系统的病毒也随之迅猛增加。在极短的时间内，安卓病毒数量就占据了整体病毒数量的20%。而且由于安卓系统的应用与原有的塞班系统不同，导致两个平台的手机病毒有极大不同。
由上图可以看出，安卓病毒的66.14%是流氓程序，主要通过与其它安卓应用捆绑来侵入用户电脑；而窃取隐私的病毒占据了总体数量的10.61%。而塞班病毒则主要窃取用户隐私和通过传播、耗费电池来危害用户手机。之所以产生此类不同，是因为安卓系统更加开放，应用在安卓系统上可以实现更多的功能，从而导致泄露隐私的机会增加。
2011年6月，10余个含有Rootkit功能的应用被放到了google电子市场中。瑞星公司的研究发现，这些含毒应用到电脑之后，有的会尝试突破系统权限（ROOT安卓系统），有的利用Dalvik类装载能力保持隐身，逃避杀毒软件的追杀。
7月初，瑞星截获了一个安卓系统手机病毒——“安卓杀手”，病毒主要影响Android 2.0至2.2三个版本的系统，用户一旦中毒，病毒将拦截10086发送到手机上的任何短信、上传手机设备信息、手机sim卡信息，最终会定制大量短信增值服务，扣取高额话费。
