7月31日上午,瑞星反病毒全球監測網截獲“中國駭客”變種版本—中國駭客II,這個新版本增加了可感染PE文件的功能,極大地增強了對染毒機器的危害,並且會導致網路阻塞。
被瑞星反病毒全球監測網于6月6日首先截獲的“中國駭客”,是一個傳染能力極強、極難查殺的“智慧型”惡性郵件病毒。據介紹,當時截獲的是一個原始版本,它預留了大量程式介面,可以載入各種破壞程式,但本身的危害性並不大。
此次截獲的新變種在上次遺留的介面上,增加了感染PE文件的功能,也就是説,此病毒已經成為了一個具有系統病毒性質的蠕蟲病毒,不但會通過電子郵件進行大面積地傳播,還會感染本地所有可執行文件,從而加快了病毒傳播速度,擴大了傳播面積,甚至會導致局域網的堵塞。
“中國駭客”綜合了尼姆達(Nimda)病毒的一些傳染方式,會生成一個Readme.eml信件文件,此郵件是一個具有自啟動的含有病毒體的郵件,而且此病毒也會象尼姆達(Nimda)病毒那樣,感染腳本類型的文件,在此類型的文件後面加上一個調用Readme.eml文件的腳本代碼,用戶一旦雙擊被感染的腳本文件,病毒郵件Readme.eml便可自動運作。
當用戶在NT系列作業系統的局域網環境中,該病毒會利用系統的NET功能,在螢幕上自動彈出一個資訊框,內容為:“My god! Some one killed ChineseHacker-2 Moniter ”(天哪!竟然有人幹掉了中國駭客-2的監控),擾亂用戶電腦的正常使用。
在6月6日首次截獲這個病毒之後,瑞星的工程師分析認為,“中國駭客”極有可能出現惡性變種,因此一直密切關注“中國駭客”的發展動態,這次被截獲的版本可以説是“中國駭客”的第一個變種。
據介紹,目前這個版本仍然在代碼頭部留有一個空函數的調用。因此可以推測,此病毒的編寫者還會推出“中國駭客”的更新版本,而且根據病毒的編寫邏輯,未來的新版本病毒有可能運用病毒加密、病毒變形等技術。
另外可以確定的是,“中國駭客”病毒的這個變種是從國外傳入的,因此存在如下兩種可能:一、可能此病毒已經流傳到國外,並被國外的病毒製造者“二次加工”;二、可能病毒的作者此次通過國外的網路傳播病毒變種。瑞星反病毒小組已經完成對“中國駭客”變種的病毒升級包的製作,正在進行最後的測試,預計7月31日下午將提交到瑞星網站上。為了避免此病毒造成大面積氾濫,請廣大用戶密切關注瑞星網站的升級預報,及時升級最新版本。
千龍新聞 2002-08-01