這是一波電腦病毒蔓延的狂潮.在兩個(gè)多月的時(shí)間里,數(shù)百萬電腦用戶被卷將進(jìn)去,那只憨態(tài)可掬、頷首敬香的“熊貓”除而不盡,成為人們噩夢(mèng)般的記憶.
反病毒工程師們將它命名為“尼姆亞”.它還有一個(gè)更通俗的名字———“熊貓燒香”.它迅速化身數(shù)百種,不斷入侵個(gè)人電腦,感染門戶網(wǎng)站,擊潰企業(yè)數(shù)據(jù)系統(tǒng)……它的蔓延考問著網(wǎng)絡(luò)的公共安全,同時(shí)引發(fā)了一場(chǎng)虛擬世界里“道”與“魔”的較量.反病毒工程師和民間反病毒人士紛紛投身其中.
1月19日，一個(gè)最新的“熊貓燒香”變種病毒出現(xiàn)。病毒作者宣稱，這將是“熊貓燒香”最后一次更新。
這場(chǎng)歷時(shí)兩個(gè)多月的較量結(jié)束了嗎？
“蜜罐”中發(fā)現(xiàn)病毒
2006年11月14日，中關(guān)村瑞星公司總部14樓。
一群反病毒工程師圍著一臺(tái)與網(wǎng)絡(luò)隔絕的電腦。隨著鼠標(biāo)點(diǎn)動(dòng)，數(shù)百個(gè)熊貓圖標(biāo)出現(xiàn)在屏幕上。這是工程師們當(dāng)天捕獲的病毒，命名為“尼姆亞”。
史瑀是瑞星公司研發(fā)部病毒組的反病毒工程師。他每天的工作就是，和數(shù)十名伙伴一起捕捉網(wǎng)上流傳的病毒，然后將病毒“拆”開，研究其內(nèi)部結(jié)構(gòu)后，升級(jí)瑞星的病毒庫。
當(dāng)天下午，一名用戶向他們提交了一份病毒樣本。隨后，他們又在病毒組的“蜜罐”內(nèi)，發(fā)現(xiàn)了該病毒的蹤影。
“蜜罐”是病毒組設(shè)立在互聯(lián)網(wǎng)上的一些防衛(wèi)性孱弱的服務(wù)器，工程師們故意在服務(wù)器上設(shè)置多種漏洞，誘使病毒侵入。“就像獵人做的沾滿蜜糖的陷阱，專門吸引獵物上鉤。”
從“蜜罐”里提取病毒后，史瑀和同事們將病毒移到公司14樓的一臺(tái)與網(wǎng)絡(luò)隔離的電腦上，這里是病毒的“解剖臺(tái)”。
“運(yùn)行病毒之后，系統(tǒng)所有的圖標(biāo)都變成了熊貓。”史瑀眼前的屏幕上，出現(xiàn)了一排排的熊貓圖案，熊貓們手持三炷香，合十作揖。
經(jīng)過分析，工程師們發(fā)現(xiàn)，在病毒卡通化的外表下，隱藏著巨大的傳染潛力，它的傳染模式和殺傷手段，與風(fēng)行一時(shí)的“威金”病毒十分相像。瑞星公司隨即發(fā)布病毒預(yù)警。
病毒蔓延涌向全國
“最開始的‘尼姆亞’不算厲害。”史瑀說，隨著病毒作者的不斷更新，它的破壞力和傳染力也隨之上升。
2006年11月底，“尼姆亞”只有不到十個(gè)變種，然而12月開始，病毒作者從數(shù)日一更新，變?yōu)橐蝗諗?shù)更新，它的變種數(shù)量成倍上升。這時(shí)候，“熊貓燒香”已經(jīng)取代了“尼姆亞”這個(gè)名字。
12月中旬，“熊貓燒香”進(jìn)入急速變種期，在幾次大面積暴發(fā)之后，“熊貓燒香”成為眾多電腦用戶談之色變的詞匯。
圣誕節(jié)過后，“熊貓燒香”版本已達(dá)到近百個(gè)。
史瑀說，去年12月下旬，國內(nèi)近千家大型企業(yè)感染“熊貓燒香”，向瑞星求助。“當(dāng)病毒變種和感染人群超過一定數(shù)量時(shí)，病毒的傳播就會(huì)以幾何方式增長(zhǎng)。”
12月26日，金山毒霸全球反病毒監(jiān)測(cè)中心發(fā)布“熊貓燒香”正瘋狂作案的病毒預(yù)警。
27日，江民科技發(fā)布關(guān)于“熊貓燒香”的緊急病毒警報(bào)。
2007年1月7日，國家計(jì)算機(jī)病毒應(yīng)急處理中心緊急預(yù)警，“通過對(duì)互聯(lián)網(wǎng)絡(luò)的監(jiān)測(cè)發(fā)現(xiàn)，一偽裝成‘熊貓燒香’圖案的蠕蟲病毒傳播，已有很多企業(yè)局域網(wǎng)遭受該蠕蟲的感染。”
1月9日，“熊貓燒香”繼續(xù)蔓延，開始向全國范圍的電腦用戶涌去。
這一天，“熊貓燒香”迎來了一次全國性的大規(guī)模暴發(fā)，它的的變種數(shù)量定格在306個(gè)。
各地用戶紛紛中招
小江是黑龍江省一家網(wǎng)吧的網(wǎng)管。1月9日到1月10日的兩天間，他所在的網(wǎng)吧內(nèi)空空蕩蕩，并無顧客，打開網(wǎng)吧的40多臺(tái)電腦，屏幕上布滿了“熊貓燒香”圖標(biāo)，系統(tǒng)崩潰，無法運(yùn)行。
“毒是9日早晨中的，一開始只是一臺(tái)機(jī)器，我殺毒時(shí)候，局域網(wǎng)內(nèi)其他機(jī)器陸續(xù)中招。”小江說。
同一天早晨，在北京一家IT公司工作的劉先生上班后發(fā)現(xiàn)，公司近30臺(tái)電腦全部感染“熊貓燒香”，病毒破壞了電腦內(nèi)的程序文件，并刪除了電腦備份，公司正在研發(fā)中的半成品軟件毀于一旦。
劉先生憤怒之下卻又無奈。在年度總結(jié)報(bào)告中，他特意加上了一條：“以后重要程序必須備份，防范類似‘熊貓燒香’的流氓病毒。”
同一天晚上，北京的一家報(bào)社里，技術(shù)人員們東奔西跑，幾十名編輯記者都在等待著他們清除電腦里的“熊貓燒香”。
1月10日，上海一家臺(tái)資公司的員工張先生打開電腦，迎接他的是一排排拱手舉香的熊貓。環(huán)顧四周，他發(fā)現(xiàn)同事們臉上有同樣的驚詫表情。整整一天，公司業(yè)務(wù)陷于癱瘓。
……
根據(jù)瑞星公司提供的“熊貓燒香”病毒用戶求助數(shù)據(jù)，僅1月9日一天，瑞星用戶向公司求助的人數(shù)已達(dá)1016人次，11日達(dá)到1002人次。因?yàn)槭沁x擇性求助，并僅限于瑞星殺毒軟件的正版用戶，這個(gè)數(shù)據(jù)只是冰山一角。
據(jù)了解，1月9日感染的電腦用戶達(dá)數(shù)十萬。其中北京、上海等電腦用戶較集中的城市成為“重災(zāi)區(qū)”。
“熊貓”并未就此止步，它繼續(xù)四處“燒香”。隨著變種的不斷增多，病毒洪潮蔓延無休，并且愈演愈烈。
截至目前，“熊貓燒香”病毒變種已達(dá)416個(gè)，受感染電腦用戶達(dá)到數(shù)百萬臺(tái)。
1月22日，國家計(jì)算機(jī)病毒應(yīng)急處理中心再次發(fā)出警報(bào)，在全國范圍內(nèi)通緝“熊貓燒香”。
門戶網(wǎng)站遭遇感染
1月24日，北京市政府信息工作辦公室在官方網(wǎng)站上設(shè)立了“熊貓燒香”病毒專題，其中撰文稱：“一種偽裝成‘熊貓燒香’圖案的病毒正在瘋狂作案……目前已有多家企業(yè)局域網(wǎng)和網(wǎng)站遭受重創(chuàng)，多數(shù)網(wǎng)民也深受其害。”
“熊貓燒香”因何難退？
“‘熊貓燒香’和以往的病毒不同，它采用了一種新的傳播手段。”史瑀說，傳統(tǒng)的蠕蟲病毒是通過一臺(tái)中毒電腦傳至局域網(wǎng)內(nèi)其他電腦，而“熊貓燒香”在整合了所有可利用的傳播漏洞之外，還可以通過網(wǎng)站傳播。
感染“熊貓燒香”的電腦，會(huì)在硬盤的所有網(wǎng)頁文件上附加病毒。“如果被感染的是網(wǎng)站編輯和記者的電腦，那么通過中毒的網(wǎng)頁，‘熊貓燒香’就可能附身在網(wǎng)站的所有網(wǎng)頁上。”史瑀說，訪問這種中毒的網(wǎng)站時(shí)，網(wǎng)民就會(huì)感染“熊貓燒香”病毒。
從傳統(tǒng)的點(diǎn)對(duì)點(diǎn)，到現(xiàn)在的點(diǎn)對(duì)面，“熊貓燒香”借助中毒網(wǎng)站的驚人訪問量急速傳播。
據(jù)反病毒工程師稱，他們?cè)O(jiān)控到，“熊貓燒香”感染過天涯社區(qū)、硅谷動(dòng)力、pconline等門戶網(wǎng)站，在暴風(fēng)影音等知名軟件的下載鏈接中也曾有“熊貓燒香”附身的痕跡。同時(shí)，“熊貓燒香”還可借助搜索引擎進(jìn)行病毒傳播。
“借助局域網(wǎng)天女散花，借助門戶網(wǎng)站星火燎原，借助U盤死灰復(fù)燃。”史瑀說，“熊貓燒香”的三項(xiàng)主要傳播方式，成為病毒難以退去的主要原因。
反毒人士抗擊病毒
史瑀說，自去年圣誕節(jié)之后，瑞星公司病毒組就開始不斷加班，每當(dāng)“熊貓燒香”發(fā)布新變種，工程師們就立即采集樣本，解剖病毒，并升級(jí)相應(yīng)的專殺工具。“這段時(shí)間里，通宵熬夜就有4次。”
“‘熊貓燒香’技術(shù)談不上高超，主要依賴于作者不斷瘋狂地更新，它更新，我們就隨之更新專殺工具。”史瑀說，“熊貓燒香”善于利用新漏洞，比如1月8日的變種就利用了QQ一項(xiàng)最新的安全漏洞。
“熊貓燒香”誕生至今，病毒版本修改了400余次，史瑀和同事們開發(fā)的專殺工具也升級(jí)了10余次。
除殺毒軟件公司外，散布在網(wǎng)民中的“反毒高手”在抗擊“熊貓燒香”中同樣發(fā)揮了重要作用。
在卡卡網(wǎng)絡(luò)社區(qū)的反病毒論壇上，云集著不少電腦高手，他們大都是業(yè)余編程愛好者，時(shí)常一起研究殺毒技術(shù)。“熊貓燒香”剛現(xiàn)身，就引起了他們的注意。
2006年10月底，在瑞星公司尚未捕獲“熊貓燒香”病毒時(shí)，程序高手“農(nóng)夫”就已經(jīng)拿到了當(dāng)時(shí)的“熊貓燒香”病毒樣本，并編寫了專殺工具。此后，每當(dāng) “熊貓燒香”發(fā)布變種時(shí)，反病毒論壇的網(wǎng)友mopery和艾瑪?shù)热耍蜁?huì)寫一份詳細(xì)的變種分析報(bào)告，指出病毒的危險(xiǎn)性和新特性。
“其實(shí)民間的殺毒高手很多。”史瑀說，他自己以前就是一名民間高手，高中時(shí)代起就愛好研究病毒，大學(xué)畢業(yè)后被殺毒軟件公司招募。所以，他現(xiàn)在經(jīng)常會(huì)瀏覽一些著名技術(shù)論壇，如果民間高手有一些好的想法，病毒組也會(huì)借鑒。
史瑀說，他手頭掌握著一張“底牌”———“未知病毒查殺”。他說，這種殺毒辦法可以判斷病毒的“家族特征”，只要變種符合一系列特征，專殺工具就能有效查殺。
史瑀介紹了這種新專殺工具的工作原理，但他要求記者報(bào)道時(shí)隱藏該項(xiàng)內(nèi)容，“讓病毒作者知道了就麻煩了，這是我們?nèi)俚臍⑹诛怠！?/div>
一場(chǎng)未結(jié)束的戰(zhàn)爭(zhēng)
1月19日，“熊貓燒香”發(fā)布了一個(gè)新的變種，病毒作者同時(shí)宣稱，這將是“熊貓燒香”最后一次更新。
消息傳來，在卡卡社區(qū)上，飽受“熊貓燒香”折磨的網(wǎng)民們一片雀躍。高興之余，他們開始反思得失。
在反病毒論壇上，網(wǎng)友tom2000發(fā)表了一篇名為《熊貓啟示錄———風(fēng)波過后的反思》帖子，文中稱：“以后有多少新的病毒/木馬會(huì)借鑒熊貓的經(jīng)驗(yàn)?zāi)兀恳磺胁艅倓傞_始！”
業(yè)內(nèi)專家認(rèn)為，中國的互聯(lián)網(wǎng)處于起步初期，大部分網(wǎng)民缺乏最基本的網(wǎng)絡(luò)安全防范知識(shí)，也缺少良好的上網(wǎng)習(xí)慣。安全意識(shí)的薄弱，給病毒大面積傳播帶來可乘之機(jī)。同時(shí)，隨著計(jì)算機(jī)在各個(gè)行業(yè)的普及，病毒造成的損害也將越來越嚴(yán)重。
1月24日下午，反病毒工程師們又發(fā)現(xiàn)了一種新型病毒，這種病毒和“熊貓燒香”十分相似，工程師懷疑它是“熊貓燒香”作者創(chuàng)作的新版本病毒。
這種病毒會(huì)把受感染用戶電腦上的所有圖標(biāo)換成一個(gè)男子的頭像，在頭像的眼睛位置是兩個(gè)電燈泡。
反病毒工程師們擔(dān)心的是，“燈泡男子”會(huì)不會(huì)成為“熊貓燒香”的接班人。
“這是一場(chǎng)看不見硝煙的戰(zhàn)爭(zhēng)，對(duì)我們而言，戰(zhàn)爭(zhēng)還在繼續(xù)。”史瑀說。
誰制造了“熊貓燒香”？他意欲何為？在“熊貓燒香”肆虐期間，關(guān)于作者身份的種種猜測(cè)流傳于互聯(lián)網(wǎng)上。在百度“熊貓燒香”貼吧中，數(shù)百名深受“熊貓”所害的網(wǎng)民發(fā)帖“通緝”病毒制造者，更有網(wǎng)民聲稱開出10萬美元的懸賞花紅。
昨天，反病毒工程師向記者透露，“熊貓燒香”的作者并非無跡可尋，在解剖病毒過程中，他們發(fā)現(xiàn)了留在病毒內(nèi)的一些神秘留言。在這些留言里，“熊貓燒香”的作者自稱whboy———“武漢男孩”。
“熊貓”體內(nèi)暗藏留言
mopery是卡卡社區(qū)反病毒論壇的版主，也是一名反病毒高手。
2006年10月中旬，mopery接到網(wǎng)友求助。在幫忙解決電腦故障的過程中，他拿到了一個(gè)病毒樣本，它就是“熊貓燒香”的原始版本。
將病毒“解剖”之后，在繁復(fù)的程序代碼中，mopery看到了一段與程序無關(guān)的信息，其中有一行字母：“whboy”。
“whboy”這個(gè)名字，對(duì)于病毒研究者有著不一般的含義。2004年，whboy即發(fā)布了其創(chuàng)作的病毒“武漢男孩”，那是一種通過QQ傳播的盜號(hào)木馬，因?yàn)槠渥兎N的瘋狂和傳播的廣泛，一年后，被江民反病毒中心列入2005年十大病毒之列。
此后，whboy還在一些病毒論壇和黑客論壇發(fā)帖，表示可以提供盜取QQ號(hào)服務(wù)，但不久后便銷聲匿跡，直至“熊貓”出現(xiàn)。
mopery對(duì)“熊貓燒香”進(jìn)行了認(rèn)真分析。他發(fā)現(xiàn)，這種病毒并不擁有最厲害的技術(shù)，卻擁有最成熟的傳播手段。
mopery對(duì)“熊貓燒香”產(chǎn)生了濃厚的興趣，他聯(lián)系了另一名民間反病毒高手農(nóng)夫，在2006年10月25日推出了第一款專殺工具：尼姆亞蠕蟲專殺。
“第一只熊貓沒什么威力，厲害的是后面的變種。”mopery說，從發(fā)現(xiàn)第一版“熊貓燒香”后，一個(gè)月內(nèi)，它的變種就達(dá)到了十幾種。
在這些變種中，每隔一段時(shí)間，作者都有意在病毒中留下whboy字樣。“他主要給我們這些分析病毒的人看，普通用戶看不到代碼。”
隨著變種增多，反病毒人士在連續(xù)解剖病毒的同時(shí)，開始期待更多留言出現(xiàn)。
病毒內(nèi)部列出“鳴謝單位”
2006年12月初，“熊貓燒香”變種加速，代碼中除了whboy字樣外，又多了一行漢字：“武漢男孩感染下載者。”隨著變種的增多，代碼內(nèi)附帶的信息也越來越多。
此時(shí)，mopery和艾瑪已經(jīng)加入抗擊“熊貓燒香”的大軍當(dāng)中。他們分析熊貓的新變種，并在卡卡社區(qū)反病毒論壇上，貼出一份份詳細(xì)的病毒分析報(bào)告。
他們的舉動(dòng)，吸引了病毒作者“武漢男孩”的注意力。在1月初一份病毒變種中，神秘留言再次更新。
“感謝mopery對(duì)此木馬的關(guān)注。”留言中新添的這句話，讓mopery啼笑皆非。隨后，武漢男孩似乎迷戀上了這種病毒內(nèi)部列出“鳴謝單位”的模式，在1月5日的病毒留言中，感謝名單上添加了艾瑪?shù)拿帧?月9日，感謝名單中又多了殺毒高手“海色之月”的名字，文末還添加了一句“服了……艾瑪…… ”
此后，武漢男孩開始頻繁用這種方式與對(duì)手“交流”。
1月15日，武漢男孩還在留言中和反毒者taylor77打起了招呼：“taylor77，不知道找我啥事啊？”并且戲言：“我制作的病毒已經(jīng)‘滿城盡燒國寶香’。”
網(wǎng)絡(luò)世界高手對(duì)決一個(gè)月
1月16日，武漢男孩發(fā)布了新的病毒變種，反毒者們習(xí)慣稱之為“艾瑪”版本。因?yàn)樵谶@個(gè)病毒內(nèi)部的留言中，寫了22次艾瑪?shù)拿帧?/div>
1月19日晚，“熊貓燒香”發(fā)布了最后一次更新。這個(gè)版本可稱為傳染手段最全面的版本。
在“熊貓燒香”的最后一個(gè)版本中，武漢男孩寫下了臨別贈(zèng)語：“在此對(duì)各位中過此木馬的網(wǎng)友和各位網(wǎng)管人員表示深深的歉意！對(duì)不起，你們辛苦了！mopery，很想和你們交流下！某某原因，我想還是算了！”
面對(duì)“熊貓燒香”停止更新的消息，反病毒工程師史瑀顯得很平靜：“我們希望熊貓風(fēng)波就此結(jié)束，但是武漢男孩有失言的先例。總之他只要更新，我們就奉陪到底。”
對(duì)于持續(xù)對(duì)決一個(gè)多月，卻不知藏身何處的武漢男孩，mopery的贈(zèng)言是：“我希望他能好好利用自己的技術(shù)來服務(wù)廣大網(wǎng)民，而不是給網(wǎng)民帶來痛苦。”
“武漢男孩”身份存仨版本
雖然武漢男孩表示不再更新“熊貓燒香”，但這場(chǎng)席卷全國的病毒狂潮卻余波難平。網(wǎng)民們紛紛猜測(cè)武漢男孩的真實(shí)身份。
經(jīng)調(diào)查，目前在業(yè)內(nèi)人士中，關(guān)于武漢男孩的身份有三種猜測(cè)。其一，武漢男孩是一名15歲的武漢少年，證據(jù)是網(wǎng)絡(luò)上流傳的他和反毒者農(nóng)夫的QQ對(duì)話。其二，武漢男孩是桂林一家軟件公司的副總裁，曾編寫過流氓軟件，消息來源是反病毒論壇。其三，武漢男孩是國內(nèi)殺毒軟件公司的員工，故意編寫病毒，促銷相應(yīng)的殺毒產(chǎn)品。
為核證傳言，記者分別采訪了mopery和瑞星公司反病毒工程師史瑀。
mopery稱，經(jīng)過他和農(nóng)夫的核證，證實(shí)流傳的QQ聊天片斷的主人公，是另外一種病毒的作者，而非武漢男孩。至于公司副總的說法，屬空穴來風(fēng)。
作為殺毒軟件公司的員工，史瑀說，每次大型病毒流傳后，總有各種對(duì)殺毒軟件公司不利的傳言，但殺毒軟件界的程序員不會(huì)編寫病毒、擾亂網(wǎng)絡(luò)。他反問道：“流感病毒是醫(yī)生制作的么？”
mopery和史瑀都表示，從留言的內(nèi)容和程序代碼來看，武漢男孩是一位有豐富病毒編寫經(jīng)驗(yàn)的熟手，經(jīng)常瀏覽卡卡社區(qū)反病毒論壇，隨時(shí)關(guān)注mopery 等人的病毒分析。卡卡社區(qū)有59萬余名會(huì)員，武漢男孩一定身在其中，但這個(gè)范圍卻再難縮小。“武漢男孩本身精通網(wǎng)絡(luò)技術(shù)和入侵技術(shù)，通過他上網(wǎng)的痕跡追查真身很難實(shí)現(xiàn)。”mopery說。
“熊貓燒香”帶有商業(yè)目的
史瑀說，他們經(jīng)過分析認(rèn)為，“熊貓燒香”帶有強(qiáng)烈的商業(yè)目的，“用戶感染病毒后，會(huì)從后臺(tái)點(diǎn)擊國外的網(wǎng)站，部分變種中含有盜號(hào)木馬，病毒作者可借此牟利。”
“現(xiàn)在的病毒作者和上世紀(jì)90年代的不同，他們不再以炫耀技術(shù)為目的，而是帶有明確商業(yè)目的，病毒和流氓軟件界限越來越模糊了。”史瑀說。
昨天下午，瑞星公司工作人員表示，已將病毒作者的相關(guān)證據(jù)和病毒特性提交給國家計(jì)算機(jī)病毒應(yīng)急處理中心。國家計(jì)算機(jī)病毒應(yīng)急處理中心工作人員稱，關(guān)于這場(chǎng)“熊貓燒香”病毒風(fēng)暴，受波及的電腦數(shù)字以及造成的經(jīng)濟(jì)損失等相關(guān)數(shù)據(jù)，目前正在統(tǒng)計(jì)，將于近日在其主頁上公布。
關(guān)于是否向公安機(jī)關(guān)報(bào)案，這名工作人員表示，目前不便透露。
“我相信總有一天會(huì)見到武漢男孩真面目的。”mopery說。
■鏈接
計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例
第二十三條故意輸入計(jì)算機(jī)病毒以及其他有害數(shù)據(jù)危害計(jì)算機(jī)信息系統(tǒng)安全的，或者未經(jīng)許可出售計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品的，由公安機(jī)關(guān)處以警告或者對(duì)個(gè)人處以 5000元以下的罰款、對(duì)單位處以15000元以下的罰款；有違法所得的，除予以沒收外，可以處以違法所得1至3倍的罰款。
第二十四條 違反本條例的規(guī)定，構(gòu)成違反治安管理行為的，依照《中華人民共和國治安管理處罰條例》的有關(guān)規(guī)定處罰；構(gòu)成犯罪的，依法追究刑事責(zé)任。
消息原載《京華時(shí)報(bào)》
