神秘恶意软件“火焰病毒”再度曝光！

扩展阅读

2012年5月27日，“火焰”病毒(Flame)被发现，这款恶意软件是一种复杂的网络间谍工具，主要攻击目标为中东地区的Windows计算机。几个小时后，已经运行多年的Flame命令与控制基础设施被关闭。但事情并没有结束，“火焰”病毒带来危害与影响已溢出了中东，扩散至欧洲、亚洲，甚至是全球。

在后的一周时间内，卡巴斯基实验室一直在密切监控“火焰”(Flame)的命令与控制基础设施。并成功破解了Flame命令控制中心所采用的大多数恶意域名，获取到大量一手情报，也逐步揭开了“火焰”的神秘面纱。

火焰病毒伪装成微软开发的合法程序，侵入个人电脑、窃取私密资料。主要功能在收集个人信息，并上传到网络，以数种方式进行活动，包括录音、截取屏幕画面、侵入邻近的蓝牙设备等。大小约为20MB，包含数个模块，包括解压缩程序库、SQL数据库、和Lua虚拟器等。因为它在收到指令的情况下，会自我删除，而且其注入其他程序后，会将自己所在内存区块设置为用户态不可读、用户态不可写、用户态不可执行，所以很难被用户态下的其它程序侦测出来。

扩展阅读

计算机安全专家第一次发现该worm是在2006年末。公众称这种病毒为Storm worm，因为其中一封携带该病毒的电子邮件的主题是“230 dead as storm batters Europe”。反病毒公司将这种worm称为其他名称。例如，赛门铁克称其为Peacomm，而McAfee将其称为Nuwar。这听起来可能令人困惑，但2001年已经有一种名为W32.Storm.Worm的病毒。2001年的病毒和2006年的worm是完全不同的程序。

Storm是一个Trojan horse程序。它的有效负载是另一个程序，尽管不总是同一个程序。某些版本的Storm worm会将计算机变成zombies或bots。当计算机受到感染时，它们很容易受到幕后黑手的远程控制。一些黑客使用Storm Worm 创建 botnet ，并利用它在互联网上发送垃圾邮件。许多版本的Storm Worm通过虚假的新闻故事或视频链接诱骗受害者下载该应用程序。

几家新闻机构和博客称风暴蠕虫是多年来最严重的病毒攻击之一。到2007年7月，安全公司Postini的一名官员声称，该公司在一次持续数天的攻击中检测到超过2亿封带有风暴蠕虫链接的电子邮件。幸运的是，并不是每封电子邮件都会导致有人下载该蠕虫病毒。

扩展阅读

2007年，一种可以穿透各种还原软件与硬件还原卡的机器狗病毒异常肆虐。此病毒通过pcihdd.sys驱动文件抢占还原软件的硬盘控制权。并修改用户初始化文件 userinit.exe来实现隐藏自身的目的。此病毒为一个典型的网络架构木马型病毒，病毒穿透还原软件后将自己保存在系统中，定期从指定的网站下载各种木马程序来截取用户的帐号信息。

此病毒采用hook系统的磁盘设备栈来达到穿透目的的，危害极大，可穿透技术条件下的大部分的软件硬件还原！基本无法靠还原抵挡。已知的所有还原产品，都无法防止这种病毒的穿透感染和传播。

2008年3月，发现“机器狗”病毒再度泛滥，该病毒因为最初的版本采用电子狗的照片做图标而被网民命名为“机器狗”病毒，该病毒的变种繁多，多表现出杀毒软件不能正常运行，启动系统输入口令登录时，出现反复注销等问题。 自2008年3月1日起，一个机器狗病毒的新变种异常活跃，与以往机器狗变种不同，最新版本的机器狗病毒破坏性更强，而且更加顽固，很难彻底清除。大量用户电脑遭遇该病毒破坏，尤其是对一些网吧以及学校机房等场所破坏巨大。

病毒运行特征：
机器狗病毒运行后，会在%WinDir%System32drivers 目录下释放出一个名为pcihdd.sys 的驱动程序，该文件会接管冰点或者硬盘保护卡对硬盘的读写操作，这样该病毒就破解了还原系统的保护，使冰点、硬盘保护卡失效。接着，该病毒会利用MS06-014和MS07-017系统漏洞和等多个应用软件漏洞，从http://xx.exiao***.com/ 、http://www.h***.biz/ 、http://www.xqh***.com/ 等恶意网址下载多款网游木马，盗取包括传奇、魔兽世界、征途、奇迹等多款网游帐号和密码，严重威胁游戏玩家数字财产的安全。正因为冰点还原软件和硬盘保护卡大多在网吧使用，因此网吧成为该病毒发作的重灾区。该病毒还会随着ARP病毒传播，因此对局域网杀伤性极大。