病毒进化进入驱动级 与杀毒软件争夺系统控制权

【51CTO.com 综合报道】计算机病毒与反病毒较量了20余年后，终于在2008年登峰造极。近日，江民科技反病毒中心监测结果显示，进入2008以来，大部分主流病毒技术都进入了驱动级，病毒已经不再一味逃避杀毒软件追杀，而是开始与杀毒软件争抢系统驱动的控制权，在争抢系统驱动控制权后，转而控制杀毒软件，使杀毒软件功能失效。

据江民反病毒专家介绍，目前几乎所有的盗取网络游戏帐号的木马病毒都具备了这一特征，几乎所有主流的编程技术都被病毒一一应用，包括ROOTKIT技术、内核级HOOK技术、进程注入、文件加密存放等等，可以说，目前一些病毒一旦感染，普通用户根本无能力彻底清除，只能求助专业技术人员。因此，安装带有智能主动防御和系统还原功能的杀毒软件，防止病毒入侵系统或系统被破坏后自动还原，是目前普通用户可以采取的有效的病毒防范措施。

江民反病毒专家列举了几个最新截获的病毒，无一例外都是“驱动级”病毒。“网游窃贼”变种tyy采用内核级HOOK技术编写而成的恶意驱动程序。木马主程序安装运行后，会在被感染计算机系统的后台利用内核级HOOK技术来监控用户的操作，从而盗取用户玩家“刀剑OnLine”、“QQ华夏”、“QQ自由幻想”、“QQ幻想”、“剑侠情缘II”、“奇迹”、“完美国际”、“完美”、“问道”、“征途”、“梦幻”、“大话”、“风云”、“魔兽”等众多网络游戏的登陆帐号、登陆密码、仓库密码、角色等级、金钱数量、所在区服、计算机名称等信息资料。并且会在被感染计算机后台将窃取到的这些信息资料发送到骇客指定的远程服务器站点上。

“顽梯”变种eld是恶意驱动程序家族的最新成员之一，也是一个采用高级Rootkit技术编写而成的驱动程序。“顽梯”变种eld在用户计算机中注册安装运行后，会利用内核级的钩子去隐藏病毒进程、病毒文件和病毒在注册表中的启动项，防止被安全软件所查杀，被该驱动程序隐藏的进程可以躲避Windows任务管理器等常用进程查看工具的扫描。其中，一些关键性的数据信息在木马驱动程序文件体内是加密存放的，一但用户计算机系统感染该病毒，普通用户很难清除干净。

“代理”变种de是木马家族的最新成员之一，是一个采用高级Rootkit技术编写而成的驱动程序。“代理”变种de在用户计算机中注册安装运行后，会利用内核级的钩子去隐藏病毒进程、病毒文件和病毒在注册表中的启动项，防止被安全软件所查杀。其中，一些关键性的数据信息在木马驱动程序文件体内是加密存放的，一但用户计算机系统感染该病毒，则很难清除干净。

驱动级程序是操作系统内优先级最高的程序，它可以获得内核级的系统优先权，可以先于普通应用程序启动并获得系统控制权。越来越多的病毒进化为驱动级程序无疑是十分可怕的。事实证明，目前非驱动级的杀毒软件在病毒面前根本无运行的机会，而一些驱动级别不高的杀毒软件也纷纷被病毒控制从而失去杀毒功能。江民杀毒软件KV2008早在2004年即推出国内首家驱动级编程的杀毒软件KV2005，最新版本KV2008在驱动技术上做的更是达到了极限，目前还没有发现病毒能够关闭KV2008的进程。江民科技反病毒专家呼吁国内安全软件尽快加快技术研发步阀，避免被病毒技术赶超，因为只有安全软件全面的技术进步，才可能带有整个网络环境的安全。