国家互联网应急中心网络安全信息与动态周报(1月4日-1月10日)

第一篇：国家互联网应急中心网络安全信息与动态周报(1月4日-1月10日)

国家互联网应急中心网络安全信息与动态周报（1月4日-1月10日）

一、本周网络安全基本态势（1月4日-1月10日）

本周互联网网络安全整体评价为差。依据CNCERT监测结果，境内被篡改政府网站数量为178个，与前一周相比大幅增长409%，其占境内被篡改网站总数的比例也大幅增长为31%；境内被木马控制的主机IP地址数目为3611个，与前一周相比下降68%；境内被僵尸网络控制的主机IP地址数目为14121个，与前一周相比下降15%。

近日，国家互联网应急中心发现一款流行论坛软件系统Discuz!存在高危零日漏洞。攻击者以论坛普通用户身份登陆后，可以执行特定构造的php命令取得网站管理权限，进而窃取用户私密信息。网上已经出现针对漏洞的攻击脚本；经CNCERT向Discuz!软件厂商问询，其估计国内约有10余万论坛网站受到漏洞严重威胁。目前，Discuz!软件厂商已紧急发布漏洞补丁。CNCERT建议各部门立即检查本单位网站系统，如使用了上述版本的Discuz!软件，应及时下载漏洞补丁，加固网站系统并进行全面检查，以免遭受侵害。

本周活跃恶意域名

cxvbvcbvn.3322.org:2000 a.mmzfc.cn a.ppmmoo.cn www.xiexiebang.comCERT重点监测和关注上述恶意域名，这些域名通常被用作生成网页木马集成页面或放马页面。其中，网页木马集成页面是指集成利用多个系统和软件漏洞进行入侵的网页木马页面，一般通过各种网马生成器自动生成；放马页面对应的是提供木马下载的宿主机，即挂马源头。

本周被挂马的重要网站

近期CNCERT在挂马网页处置中，采取清除挂马源头恶意域名并结合通报重要网站挂马情况的方法，有效地抑制了黑客网页挂马活动。但CNCERT监测发现：一些网站安全防范意识仍然比较淡薄，安全管理措施不严格，对于网站存在的漏洞并未引起足够重视，其网站中存在的被挂马页面中的恶意跳转链接长期存在（一些挂马页面因挂马源头恶意域名失效，并未发生实际跳转）。这说明，上述网站存在的漏洞（如跨站脚本、SQL注入等）仍然未得到修补，黑客仍有可能利用相关漏洞植入网页木马，构成新的危害。此外，CNCERT近期的监测结果表明，黑客挂马活动存在间歇性特点，有时还会通过判断域名（如：.gov.cn、.edu.cn）有选择性地进行挂马，规避侵害政府和重要信息系统部门网站带来的法律风险。为有效防范网页挂马，有关单位应加强网站系统安全管理工作，从机制、技术等方面弥补漏洞。

下述三个为已经失效但在较多被挂马网站中仍然存在的恶意跳转链接：

http://3b3.org、http://z360.net、http://318x.com，供相关网站管理员排查参考。

本周活跃恶意代码 名称 特点

Hack.Exploit.Script.JS.Agent.ju 该病毒是一段加密病毒脚本，利用RealPlay播放器的溢出漏洞下载病毒文件进行执行和传播。病毒会将网页脚本加密成乱码字符，普通用户很难知道这是一段病毒代码。病毒通过调用RealPlayer组件，用病毒作者特定shellcode溢出，成功之后，就会打开病毒作者的下载地址，下载运行其他病毒。

Trojan.DL.Giframe.a 这是一个下载者病毒，利用浏览器GIF文件解析漏洞进行传播。黑客通过诱导用户浏览含有恶意代码的GIF文件的网页，来控制用户连接到特定的包含恶意程序的网页。Windows图片查看器打开含有恶意代码的GIF文件不受影响。

Worm.Win32.MS08-067.c 这是一个以微软系统MS08-067漏洞为主要传播手段的蠕虫病毒。另外该病毒亦可通过U盘以自动加载运行的方式进行传播、并且由于病毒自身带一个弱密码表，会猜解网络中计算机的登录密码，通过局域网传播。

Trojan.Win32.BHO.fwb 该病毒通过下载器或捆绑到其他软件中的方法进行传播。病毒运行后，会将病毒体以文件形式释放动态库文件到系统目录下，并将该动态库文件注册为IE的BHO组件；当用户打开IE时候，病毒就会被激活，并且会打开病毒指定的页面，进行流量点击或者下载病毒作者的软件。

win32.troj.fakefoldert 该病毒通过介质进行传播，可创建当前目录下文件夹名的EXE文件，运行后则主动感染其他PE文件。

注：根据瑞星、金山等企业报送的恶意代码信息整理。

本周，利用操作系统及应用软件漏洞进行传播的恶意代码显著增多。CNCERT提醒互联网用户一方面要加强系统漏洞修补加固，另一方面要加装安全防护软件。

本周重要漏洞

本周，国家信息安全漏洞共享平台（CNVD）整理和发布以下重要安全漏洞信息。

1、迅雷XPPlayer Activex控件远程溢出漏洞 迅雷是一款流行的P2P下载工具。迅雷所提供的XPPlayer ActiveX控件没有正确的过滤提供给DapFileSize、VodUrl等方法的输入参数，攻击者通过构建恶意网页并诱使用户访问就可以触发缓冲区溢出，导致执行任意代码。目前厂商还没有提供补丁或者升级程序，建议用户随时关注厂商的主页以获取最新版本。

2、Discuz！7.1 & 7.2 'showmessage'远程代码执行漏洞和'name'参数SQL注入漏洞 Discuz!是康盛创想(北京)科技有限公司基于php开发的的论坛建站系统，其7.1与7.2版本后台代码中showmessage函数所调用的$scriptlang参数在默认安装的情况下未经初始化。攻击者以论坛普通用户身份登陆后，可以执行特定构造的php命令取得网站管理权限，进而窃取用户私密信息。此外，Discuz!还存在输入验证错误，远程攻击者可以利用漏洞进行SQL注入攻击，获得密码HASH等敏感信息。网上已经出现针对漏洞的攻击脚本，目前，Discuz!软件厂商已紧急发布漏洞补丁，请Discuz!用户下载并安装厂商提供的补丁程序。

3、Skype GUI HTML代码注入漏洞 Skype是一款流行的P2P VoIP软件，可提供高质量的语音通讯服务。Skype在处理来自用户的数据时存在输入验证漏洞，Skype未经验证就把用户数据用于构造输出到用户GUI，可能导致用户执行恶意脚本。

4、Flashget IEHelper控件远程内存破坏漏洞

FlashGet是一款流行的多线程下载软件。FlashGet所安装的IEHelper ActiveX控件在处理对象的实例化时存在问题，用户受骗访问了包含恶意对象实例化代码的网页就可以触发内存破坏，导致执行任意指令。

小结：本周CNVD所整理的漏洞信息中，网上交易、下载、论坛以及网上语音等软件均出现高危漏洞，严重影响广大网民的相关上网安全。除Discuz！漏洞厂商已紧急发布漏洞补丁外，其它漏洞信息厂商尚未提供相应的补丁或升级程序，目前针对这些漏洞的攻击行为已出现，提醒广大用户注意采取安全防护措施。

注：CNVD是CNCERT联合国内多家重要信息系统用户、安全厂商、软件厂商、互联网企业等共同建立的国家信息安全漏洞共享平台，旨在国内建立统一收集、发布、验证、分析等信息安全漏洞应急处置体系。

二、业界新闻速递

政府监管和政策法规动态

1、工信部召开全国视频会议 落实服务商四大责任

1月8日，工业与信息化部联合各省通信管理局、各基础电信运营企业以及互联网接入商召开全国视频会议，落实《工业和信息化部关于进一步深入整治手机淫秽色情专项行动工作方案》。重点强调了以下四个方面的内容：1）严格清理接入资源层层转租问题；2）在IDC业务交易方面，全国服务商需要对主办者身份信息当面核验、并留存有效证件复印件；3）再次强调国内域名注册服务商的域名管理方式；4）详细说明全国备案系统开发进度安排及相关问题。

2、公安部将加强对微博、QQ群的监控 为加强社会管理工作力度，公安部在2009年度全国政法工作电视电话会议上提出，将有效整合各种资源，加强网上管控，将网警力量向县级公安机关延伸，将网上巡控触角向QQ群、微博客等管理薄弱空间延伸，提高网上发现、侦查、控制和处置能力，严防形成隐蔽性犯罪组织。

3、Comcast对FCC网络中立规则提出上诉 1月8日，美国最大的有线电视和宽带提供商Comcast正式就美国联邦通讯委员会（FCC）是否具有监管网络中立的法律权力提出上诉。此前，联邦通讯委员会以Comcast违反网络中立规则阻止用户共享文件而试图扼杀人们的宽带服务需求为由，起诉了Comcast。本次上诉很有可能推进美立法委对通讯委员会互联网法律权威的界定，提供执行互联网中立规则的动力；也会敦促美国国会更加明确的界定通讯委员会的网络权威，以使委员会执行对有线和无线宽带提供商的监管和相关政策。

网络安全事件与威胁

4、McAfee报告称中国是第三大网络不安全国家 1月6日，据McAfee 2009年针对104个网域(web domains)网络安全性调查的结果显示，喀麦隆共和国的网站(7成的注册网站不安全)和以.com 作为网域结尾的商业网站最不安全，分别排在第一位和第二位。中国和萨摩亚(Samoa)35%的注册网站存在安全风险，并列排名第三。新加坡的网站安全恶化速度最快，最不安全网域排名从2008年的第67位急速跃升到第10位。5、2009年新增恶意软件2500万个，高于前19年累计总和

1月7日，据国外媒体报道，互联网安全公司熊猫实验室的最新数据显示，2009年全球新增2500万个恶意软件，高于此前19年的累计总和。在这2500万个新增的恶意软件中，木马程序占到了66%，其次是虚假杀毒软件。

业界动态

6、Adobe全线产品将采用补丁自动升级机制 面对Adobe各款产品频频被曝存在安全漏洞，以及黑客对Adobe产品的日益青睐，Adobe公司决定再次改变补丁修复机制，采用新的自动升级机制，在不通知用户的情况下就会对产品进行安全升级。本月，Adobe将发布这种自动升级工具的测试版本，该工具将在后台直接为终端用户下载补丁，不再与用户进行交互。