2009年2月5日，江民科技发布2008年度计算机病毒疫情调查报告暨年度十大病毒。
江民反病毒中心、江民KV病毒预警监测系统、江民全国恶意网页监测系统、江民客户服务中心联合监测统计的数据显示，2008年01月01日至2008年12月31日，共截获病毒1095932种类（所有病毒计数按KV特征码记录计算，并非样本MD5值，病毒变种无论多少均视为同一类病毒），较2007年增长201.9%，共有28085085台用户计算机感染了病毒。
与2007年相比，2008年度病毒种类增长了约201.9%，感染计算机总数下降了18.39%。虽然2008年总体来说计算机病毒数量仍然居高不下，但总体病毒感染量的下降也在一定程度上反映出国内的网民在安全意识方面有了一定的提高，网络安全防范措施有所增强。
从全年的病毒种类来看，2008年月病毒种类维持在10万左右。年初的时候，处于相对平稳状态，在5月份达到年度峰值（110144种），之后在8万到10万之间上下浮动，10月份跌到年度低谷（78895种）。
从感染的计算机数量来看，病毒疫情最严重的月份集中在上半年。1月份全国感染计算机总数达到年度峰值（341万7千余台），成为年度疫情最严重的月份。2月份到9月份有一定幅度下滑，10月份达到年度低谷（129万1千余台），11月、12月有微幅上扬趋势。
从所截获的病毒种类来看,2008年所截获的病毒中,木马病毒占78%,后门病毒占10%,广告程序占4%,蠕虫病毒占6%,其它类型恶意代码为2%。相较于2007年，木马、后门类病毒占病毒总数的比例增长了10%，这说明2008年度网络安全最大的威胁仍然来自于木马、后门类病毒。
总体来讲，2008年计算机病毒疫情总体呈现出如下几个特征：
一、网游盗号类病毒大行其道，新木马病毒中十有七八
受经济利益驱使，利用键盘钩子、内存截取或封包截取等技术盗取网络游戏玩家的游戏帐号、游戏密码、所在区服、角色等级、金钱数量、仓库密码等信息资料的病毒今年十分活跃。2008年年截获的新木马病毒中，80％以上都与盗取网络游戏帐号密码有关。病毒作者的牟利目标十分明确，就是盗取互联网上有价值的信息和资料，特别是网络游戏帐号密码、以及虚拟装备等，转卖后获取利益。逐利已成为此类病毒的唯一动机和目标，随着网络游戏的火爆和兴盛，此类病毒仍然有着庞大的市场和生存空间，成为2008年度最主流的计算机病毒。
二、应用软件漏洞成为“网页挂马”新途径
2008年，每一次系统漏洞出现，都会迅速涌现出大量的利用该漏洞的恶意网页。除了操作系统以及浏览器存在的漏洞，众多应用工具软件漏洞也大量被病毒利用，比如各种IM即时通讯聊天工具漏洞、播放器漏洞、网络电视播放软件漏洞、甚至就连搜索工具条漏洞都被骇客大量利用。骇客“网页挂马”的方式除了入侵各种存在漏洞的网站、论坛以及博客系统，直接在入侵网站的页面上挂马外，最广泛的传播方式是在网络上大量散发将带有病毒的恶意网页链接，散发方式多种多样，可以是即时聊天工具，也可以是使用特制的各种博客或论坛的自动登陆发布系统（如各种论坛群发软件，可自动向指定的大量论坛发指定内容的帖子），这些被广泛传播的恶意网页地址无处不在，成为互联网上埋下的一颗颗定时炸弹。如最新的微软IE7 XML 0day漏洞自出现后十天之内，即被黑客广泛用于网页挂马，传播计算机病毒。10天中，江民反病毒中心截获了数百个利用此漏洞的恶意网页，它们分布在165个黑客网站上，而这些作为病毒传播源的恶意网页地址更是被广泛传播到成千上万的网站上，数百万电脑用户面临严重安全威胁。
三、网络欺诈威胁急剧上升
2008年，各种名目的虚假网络欺诈频频现身。其中，伪装腾讯QQ发布虚假中奖信息的广告尤其突出。病毒通过弹出一个伪装的QQ消息窗口，用户一旦点击了弹出窗口中的链接，该病毒便会打开一个伪装的腾讯QQ网站，并显示虚假的中奖信息，诱惑用户点击并进入领奖窗口。随后该钓鱼网站会要求用户填写个人信息资料及输入中奖消息上提供的验证码，当领奖信息全部填写完毕后，钓鱼网站会提示用户需要提前缴纳手续费并提供一个骇客的银行账户，诱骗用户向骇客的账户中汇款，骗取钱财。除了QQ之外，淘宝网旗下的淘宝旺旺用户也频遭此类网络欺诈侵害，淘宝卖家的旺旺上频繁弹出非淘宝网链接，欺诈者通过“我想买这个宝贝”“这个宝贝有货吗”等语言，后面跟上一个欺诈网址，使淘宝用户误以为是买家需要的宝贝链接从而去点击，最终可能导致淘宝帐号被盗或电脑感染病毒的严重后果。
四、僵尸网络有增无减 BOT类病毒高发
2008年，江民反病毒中心监测到，上半年各种可以用来组建“僵尸网络”的BOT类病毒高发，由于电脑感染BOT病毒后，可以接受服务器端的远程控制，导致许多电脑用户不知不觉成为黑客的帮凶。2008年上半年，为了确保奥运会网络安全，江民反病毒中心配合国家计算机病毒处理中心集中处理BOT类病毒数千种，协助公安部门清理了多个“僵尸网络”病毒源头。
案例一：
“僵尸网络”危害巨大，2008年某知名门户网站就曾经受到僵尸网络的攻击，导致多台服务器无法为网民提供服务，损失巨大。
案例二：
据国家计算机病毒应急处理中心介绍，2008年，山东潍坊两家物流公司因为存在商业竞争，一公司为抢夺客户资源雇用黑客利用DDOS手段大面积入侵联网电脑，致使潍坊40万网通用户7月份不能正常上网。6月底，毕某与曲某为了打击竞争对手的物流公司，共同策划让潍坊市这家物流园公司网络瘫痪的手段，雇用了黑客高手朱某想办法让对手打不开网站。朱某是淄博人，酷爱电脑技术。因计划与女朋友共同买房的朱某目前尚短缺一笔不小的资金，为了凑足这笔资金，他答应帮助毕某、曲某的忙。朱某想到利用DDOS黑客程序进行攻击，朱某7月10日开始抓“机”（电脑），总共控制了大约5000台“肉机”（又称傀儡机）。利用这些傀儡机，自7月17日开始，朱某在家里或者网吧攻击潍坊该物流公司的电脑主机，不想潍坊某物流公司的托管服务器正好位于网通公司，黑客攻击连累全市40多万网通用户无法正常上网。
五、病毒产业化以及互联网化日益明显
目前计算机病毒已经呈现出产业化特征，已经形成从“病毒作者”——“盗号团伙”——“销售平台”——“终端用户”的完整产业链，病毒作者不再会为恶作剧、破坏系统、干扰用户操作这些损人不利己的事情去消耗精力，获利已经成为黑客传播病毒的唯一目标。更多的病毒选择悄悄潜伏在系统中，伺机窃取病毒作者指定的有价信息，如网游帐号密码、虚拟装备、Q币、网上银行帐号密码等等。制作和传播计算机病毒已经演变为有预谋的网络犯罪，而参与网络犯罪的人员因为组织严密、分工明确，已经成为一种“网络黑社会”。
与现实生活中的黑势力团伙不同，这种“网络黑社会”是通过互联网进行分工和指派任务的，他们通常利用临时QQ群的形式集会，所有活动完全通过互联网实施，并通过互联网销售平台将窃取的有价信息转卖，整个作案过程完全实现了互联网化。
案例：
据国家计算机病毒应急处理中心介绍,2007年12月16日 ，“3.5”特大网上银行盗窃案的8名主要犯罪嫌疑人全部落入法网。8名疑犯在网上以虚拟身份联系，纠集成伙，虽不明彼此身份，却配合密切，分工明确，有人制作木马病毒，有人负责收集信息，有人提现，有人收赃，在不到一年时间里窃得人民币300余万元。徐伟冲提供信息，金星通过网上购买游戏点卡，转手倒卖给湖南长沙的“宝宝”，即陈娜。因信息太多，忙不过来，金星又在网上将信息倒卖给“小胖”，“小胖”再转卖他人提现。陆瑛娜则不停地在网上购游戏点卡，她到外地制作了两张假身份证，在数家银行开了账户，忙着到苏州、昆山、常州等周边地区银行去取赃款。
2008年4月11日，无锡市滨湖区法院对一起公安部挂牌督办的重大网络犯罪案件作出了一审判决，被告人金星 、徐伟冲 、陆瑛娜、方少宏因构成信用卡诈骗罪和盗窃罪，分别被判处十四年至三年不等的有期徒刑。
2008年十大高发性热门病毒
江民反病毒中心、江民客户服务中心、江民全球反病毒监测网、江民全国恶意网页监测系统、江民KV病毒预警系统联合统计，综合感染的用户计算机台数、病毒的危害性、病毒新技术、清除难易程度等因素，评出2008年度十大热门病毒。
在江民公司2008年度截获的所有病毒中，网游盗号类病毒最为猖獗,“网游窃贼”“网游大盗”病毒分别占据十大病毒第一、二名，而在病毒感染计算机台数前20名病毒中,网络游戏盗号木马占了10个席位,上千万台电脑被此类病毒感染。 “网游窃贼”病毒以压倒其它病毒的绝对优势一举成为2008年度“毒王”，而去年的“毒王”“U盘寄生虫”则下降到第四位。
2008年度十大计算机病毒档案：
（1） “网游窃贼”及其变种
病毒名称：Trojan/PSW.OnLineGames
中 文 名：网游窃贼
病毒类型：木马
危险级别：★
影响平台：Win 9X/ME/NT/2000/XP/2003
描 述：Trojan/PSW.OnLineGames“网游窃贼”是一个盗取网络游戏帐号的木马程序，会在被感染计算机系统的后台秘密监视用户运行的所有应用程序窗口标题，然后利用键盘钩子、内存截取或封包截取等技术盗取网络游戏玩家的游戏帐号、游戏密码、所在区服、角色等级、金钱数量、仓库密码等信息资料，并在后台将盗取的所有玩家信息资料发送到骇客指定的远程服务器站点上。致使网络游戏玩家的游戏帐号、装备物品、金钱等丢失，会给游戏玩家带去不同程度的损失。 “网游窃贼”会通过在被感染计算机系统注册表中添加启动项的方式，来实现木马开机自启动。
（2） “网游大盗”及其变种
病毒名称：Trojan/PSW.GamePass
中 文 名：网游大盗
病毒类型：木马
危险级别：★
影响平台：Win 9X/ME/NT/2000/XP/2003
描 述：Trojan/PSW.GamePass“网游大盗”是一个盗取网络游戏帐号的木马程序，会在被感染计算机系统的后台秘密监视用户运行的所有应用程序窗口标题，然后利用键盘钩子、内存截取或封包截取等技术盗取网络游戏玩家的游戏帐号、游戏密码、所在区服、角色等级、金钱数量、仓库密码等信息资料，并在后台将盗取的所有玩家信息资料发送到骇客指定的远程服务器站点上。致使网络游戏玩家的游戏帐号、装备物品、金钱等丢失，会给游戏玩家带去不同程度的损失。 “网游大盗”会通过在被感染计算机系统注册表中添加启动项的方式，来实现木马开机自启动。
（3） “代理木马”及其变种
病毒名称：Trojan/Agent
中 文 名：代理木马
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
描 述：Trojan/Agent“代理木马”是木马家族的最新成员之一，采用高级语言编写，并经过加壳保护处理。“代理木马”运行后，会自我复制到被感染计算机系统中的指定目录下，修改注册表，实现开机自启。在被感染计算机的后台秘密窃取用户所使用系统的配置信息，然后从骇客指定的远程服务器站点下载其它恶意程序并安装调用运行。其中，所下载的恶意程序可能为网络游戏盗号木马、远程控制后门和恶意广告程序等等，会给用户带去不同程度的损失。
（4） “U盘寄生虫”及其变种
病毒名称：Checker/Autorun
中 文 名：U盘寄生虫
病毒类型：蠕虫
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
描 述：Checker/Autorun“U盘寄生虫”是一个利用U盘等移动存储设备进行自我传播的蠕虫病毒。“U盘寄生虫” 运行后，会自我复制到被感染计算机系统的指定目录下，并重新命名保存。“U盘寄生虫”会在被感染计算机系统中的所有磁盘根目录下创建“autorun.inf”文件和蠕虫病毒主程序体，来实现用户双击盘符而启动运行“U盘寄生虫”蠕虫病毒主程序体的目的。“U盘寄生虫”还具有利用U盘、移动硬盘等移动存储设备进行自我传播的功能。“U盘寄生虫”运行时，可能会在被感染计算机系统中定时弹出恶意广告网页，或是下载其它恶意程序到被感染计算机系统中并调用安装运行，会被用户带去不同程度的损失。“U盘寄生虫” 会通过在被感染计算机系统注册表中添加启动项的方式，来实现蠕虫开机自启动。
（5） “灰鸽子”及其变种
病毒名称：Backdoor/Huigezi
中 文 名：灰鸽子
病毒类型：后门
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
描 述：Backdoor/Huigezi “灰鸽子”是后门家族的最新成员之一，采用Delphi语言编写，并经过加壳保护处理。“灰鸽子”运行后，会自我复制到被感染计算机系统的指定目录下，并重新命名保存（文件属性设置为：只读、隐藏、存档）。“灰鸽子”是一个反向连接远程控制后门程序，运行后会与骇客指定远程服务器地址进行TCP/IP网络通讯。中毒后的计算机会变成网络僵尸，骇客可以远程任意控制被感染的计算机，还可以窃取用户计算机里所有的机密信息资料等，会给用户带去不同程度的损失。“灰鸽子”会把自身注册为系统服务，以服务的方式来实现开机自启动运行。“灰鸽子”主安装程序执行完毕后，会自我删除。
（6） “QQ大盗”及其变种
病毒名称：Trojan/PSW.QQPass
中 文 名：QQ大盗
病毒类型：木马
危险级别：★
影响平台：Win9X/2000/XP/NT/Me
描 述：Trojan/PSW.QQPass“QQ大盗”是木马家族的最新成员之一，采用高级语言编写， 并经过加壳保护处理。“QQ大盗”运行时，会在被感染计算机的后台搜索用户系统中有关QQ注册表项和程序文件的信息，然后强行删除用户计算机中的QQ医生程序“QQDoctorMain.exe”、“QQDoctor.exe”和“TSVulChk.dat”文件，从而来保护自身不被查杀。“QQ大盗”运行时，会在后台盗取计算机用户的QQ帐号、QQ密码、会员信息、ip地址、ip所属区域等信息资料，并且会在被感染计算机后台将窃取到的这些信息资料发送到骇客指定的远程服务器站点上或邮箱里，会给被感染计算机用户带去不同程度的损失。“QQ大盗”通过在注册表启动项中添加键的方式，来实现开机木马自启动。
（7） “Flash蛀虫”及其变种
病毒名称：Exploit.CVE-2007-0071
中 文 名：“Flash蛀虫”变种
病毒类型：脚本病毒
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
描 述：Exploit.CVE-2007-0071“Flash蛀虫”是脚本病毒家族的最新成员之一，采用Flash脚本语言和汇编语言编写而成，并且代码经过加密处理，利用“Adobe Flash Player”漏洞传播其它病毒。“Flash蛀虫”一般内嵌在正常网页中，如果用户计算机没有及时升级安装“Adobe Flash Player”提供的相应的漏洞补丁，那么当用户使用浏览器访问带有“Flash蛀虫”的恶意网页时，就会在当前用户计算机的后台连接骇客指定站点，下载其它恶意程序并在被感染计算机上自动运行。所下载的恶意程序一般多为木马下载器，然后这个木马下载器还会下载更多的恶意程序安装到被感染计算机的系统中，会给用户带去不同程度的损失。
（8） “初始页”及其变种
病毒名称：Trojan/StartPage
中 文 名：“初始页”及其变种
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
描 述：以Trojan/StartPage.aza为例，Trojan/StartPage.aza“初始页”变种aza是“初始页”木马家族中的最新成员之一，采用“Microsoft Visual C++ 6.0”编写，并且经过加壳保护处理。“初始页”变种aza运行后，会在被感染计算机系统的“%SystemRoot%system32”和“%SystemRoot%system32drivers”目录下分别释放恶意DLL功能组件文件“*.dll”（文件名随机生成，文件大小为：45,056 字节）、恶意驱动文件“*.sys”（文件名随机生成，文件大小为：28,608 字节）。在被感染计算机系统的后台定时访问指定的恶意广告站点
“http://www.outhang.cn/api.php?id=%d&mac=%s&type=%d&setupdate=%d%02d%02d&homepage=%s”，提高这些恶意网站的访问量（网络排名），不仅给骇客带来经济利益，而且还会严重影响和干扰用户的正常操作。另外，“植木马器”变种ps还会占用大量系统资源，极大地降低了系统的运行速度。在被感染计算机的后台秘密窃取用户当前所使用的系统的配置信息，然后从骇客指定的远程服务器站点
“http://www.outhang.cn/update.php?id=%d&updateversion=%d”下载恶意程序并调用运行。其中，所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序（流氓软件）等，会给用户带来不同程度的损失。“初始页”变种aza释放出来的恶意驱动程序每次启动后都会强行设置系统IE浏览器的默认启始页为“http://www.3929.cn/?tn=102731”(“tn=”后面的编号不唯一)。因为该病毒为驱动级病毒，所以用户计算机一旦感染该病毒后就极难清除干净。“初始页”变种aza会通过在被感染计算机中注册系统服务的方式，来实现木马开机自启动。
（9） “机器狗”及其变种
病毒名称：Trojan/DogArp
中 文 名：机器狗
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
描 述：以Trojan/DogArp. h为例，Trojan/DogArp.h“机器狗”变种h是“机器狗”木马家族的最新成员之一，采用高级语言编写，并经过加壳保护处理。“机器狗”变种h运行后，在指定目录下释放恶意驱动程序并加载运行。通过恶意驱动程序直接挂接磁盘IO端口进行读写真实磁盘物理地址中的数据和进行监控关机行为等操作，从而达到穿透还原软件的目的。覆盖“explorer.exe”、“userinit.exe”或“regedit.exe”等系统文件，实现“机器狗”变种h开机自启动。恶意驱动程序还能还原系统“SSDT”，致使某些安全软件的防御和监控功能失效。恶意破坏注册表，致使注册表编辑器无法运行。遍历当前计算机系统中的进程列表，一旦发现与安全相关的进程，强行将其关闭。修改注册表，利用进程映像劫持功能禁止近百种安全软件及调试工具运行。在被感染计算机系统的后台连接骇客指定站点获取恶意程序列表，下载列表中的所有恶意程序并在被感染计算机上自动调用运行。其中，所下载的恶意程序可能是网游木马、广告程序（流氓软件）、后门等，给被感染计算机用户带去不同程度的损失。
（10） “RPCSS毒手”及其变种
病毒名称：Win32/Infectrpcss
中 文 名：“RPCSS毒手”及其变种
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
描 述：以Win32/Infectrpcss.a为例，Win32/Infectrpcss.a“RPCSS毒手”变种a是“RPCSS毒手”木马家族中的最新成员之一，采用高级语言编写，并且经过加壳保护处理。该病毒是由其它恶意程序释放出来的DLL功能组件文件，一般会被插入到“explorer.exe”、“csrss.exe”、“svchost.exe”等系统进程，以及几乎所有用户级权限的进程中加载运行，并在被感染计算机系统的后台执行恶意操作，隐藏自我，防止被用户发现、被安全软件查杀。“RPCSS毒手”变种a运行后，会自我复制到被感染计算机系统的“%SystemRoot%system32”目录下，重新命名为“csrss.dll”，释放病毒组件文件“sh01008.dll”（文件大小：21,504 字节）到“%SystemRoot%system32”目录下。“RPCSS毒手”变种a是一个专门盗取“完美世界Online”、“诛仙Online”等网络游戏会员账号的木马程序，会在被感染计算机的后台秘密监视用户系统中所运行着的所有应用程序窗口标题，然后利用键盘钩子、内存截取或封包截取等技术盗取网络游戏玩家的游戏账号、游戏密码、所在区服、角色等级、金钱数量、仓库密码等信息，并在后台将窃取到的玩家机密信息发送到骇客指定的远程服务器站点上（地址加密存放），致使网络游戏玩家的游戏账号、装备、物品、金钱等丢失，给游戏玩家带来不同程度的损失。同时，“RPCSS毒手”变种a还具有窃取玩家游戏账号密码保护的功能。因此，当游戏玩家发现自己的游戏账号被盗时，请千万不要在当前被感染的计算机上登陆该网络游戏的官方网站去找回游戏密码，否则会连同您的密码保护资料一同被骇客盗取，给您带来更大程度的损失。利用域名映像劫持功能，在被感染计算机的后台强行篡改系统中的Hosts文件，屏蔽某些网络游戏站点，阻止用户对这些网络游戏网站的访问，从而达到用户丢失账号后无法马上取回密码的目的。“RPCSS毒手”变种a利用进程守护功能来实现自我保护。该病毒会通过替换系统“rpcss.dll”文件来实现开机自启动。如果安全软件直接删除掉带毒文件“rpcss.dll”的话，会导致被感染计算机无法连接网络、系统复制(粘贴)功能失效、桌面程序“explorer.exe”启动缓慢等后果，严重影响用户对计算机系统的正常使用。
京公网安备 11010802021500号
用户评论