 |
|
 |
||
|
|
|
||
以前，常聽用戶說，中毒了沒關系，大不了重裝系統。但現在，這句話將成為歷史。3月15日，金山安全實驗室捕獲一種被命名為『鬼影』的電腦病毒，該病毒寄生在磁盤主引導記錄(MBR)，即使格式化重裝系統，也無法將該病毒清除。當系統再次重啟時，該病毒會早於操作系統內核先行加載。而當病毒成功運行後，在進程中、系統啟動加載項裡找不到任何異常，病毒就象『鬼影』一樣在中毒電腦上『陰魂不散』。
顛覆傳統 重裝系統無法清除
金山安全反病毒專家表示，『一般的電腦病毒是Windows系統下的應用程序，在Windows加載之後纔運行。而『鬼影』病毒的主要代碼是寄生在硬盤的主引導記錄(MBR),在電腦啟動過程中先於系統核心程序直接加載到電腦內存中運行。對於已經寄生於MBR中的病毒，安全軟件無法進行攔截。因病毒比安全軟件的啟動還要早。
李鐵軍表示，『鬼影』病毒是國內首個引導區下載者病毒，顛覆了傳統病毒的感染特點以及用戶處理病毒問題的思維定勢，不僅做到了『三無』特性——無文件、無系統啟動項、無進程模塊，而且即使用戶重裝了系統，該病毒依然會再次進入用戶新系統；全新的病毒技術，突破了普通殺毒軟件的自保護，『鬼影』病毒可以說是一個具有『劃時代』特征的電腦病毒。
安全軟件失效電腦明顯變慢
金山安全實驗室的研究人員分析發現，這個『鬼影』病毒是隨某些共享軟件捆綁安裝進入電腦的，目前的日感染電腦約2-3萬臺。『鬼影』病毒入侵後，會釋放驅動程序改寫硬盤MBR(主引導記錄)，驅動程序在開機過程中攻擊眾多殺毒軟件，令殺毒軟件失效，再下載傳統的AV終結者木馬下載器，最終目的依然是通過傳播盜號木馬，竊取用戶虛擬財產牟利。中毒後，最直觀的現象是安全軟件無法正常運行，電腦明顯變慢，IE主頁被改。
罕見技術型病毒 源於國外
『鬼影』病毒是近年來較為罕見的技術型病毒，病毒作者具有高超的編程技巧。因WinXP系統的限制，一般手法改寫MBR會被系統判定為非法，這也是引導區病毒接近消亡的重要因素。這種繞過Winxp的安全限制，直接改寫MBR的技術主要在國外技術論壇傳播，在『鬼影』病毒之前，這一技術少有被黑客實際大規模利用的案例。金山安全實驗室工程師說，目前『鬼影』病毒只針對Winxp系統，該病毒尚不能破壞Vista和Windows 7系統。
另據金山安全實驗室研究人員透露，在目前國內安全廠商和民間反病毒高手中，能夠完整分析『鬼影』病毒的人屈指可數。因病毒寄生於硬盤的主引導記錄(MBR)，病毒釋放的驅動程序能夠破壞大多數安全工具和系統輔助工具，在已經中毒的情況下，很難使用現有工具完成病毒清除，金山安全實驗室正在編寫針對『鬼影』病毒的專殺工具。
金山毒霸已經昇級，可查殺傳播『鬼影』病毒的母體文件，避免更多用戶受『鬼影』病毒之害，用戶只需要在線昇級即可獲得相應防御能力。金山網盾已將傳播該病毒的惡意網頁加入阻止訪問的列表，防止更多用戶下載這個神秘的『鬼影』病毒。
金山網盾下載鏈接：
http://i2d.www.duba.net/i2d/kws3/KWSSetup.exe
金山毒霸安全組合裝下載鏈接：
http://cd001.www.duba.net/duba/install/2009/once/DUBA100128_DOWN_10_10.exe
磁盤主引導記錄(MBR)簡介：
MBR(Master Boot Record),中文意為主引導記錄。電腦開機後，主板自檢完成後，被第一個讀取到的磁盤位置。硬盤的0磁道的第一個扇區稱為MBR，它的大小是512字節，它是不屬於任何一個操作系統，也不能用操作系統提供的磁盤操作命令來讀取。DOS時代泛濫成災的引導區病毒多寄生於此。
電腦系統開機過程介紹：
開啟電源開機自檢-->主板BIOS根據用戶指定的啟動順序從軟盤、硬盤或光驅進行啟動-->系統BIOS將主引導記錄(MBR)讀入內存。然後，將控制權交給主引導程序，再檢查分區表的狀態，尋找活動的分區。最後，由主引導程序將控制權交給活動分區的引導記錄，由引導記錄加載操作系統。
