本周互联网网络安全整体评价为中。恶意代码传播、网页篡改、网页挂马、高危漏洞爆发等事件是互联网用户遭遇的主要威胁。其中境内被木马控制的主机IP地址数目为3777个，与前一周相比持平略增；境内被僵尸网络控制的主机IP地址数目为19042个，与前一周相比增加74.9%；境内被篡改政府网站数量为41个，与前一周相比减少46.8%，其占境内被篡改网站总数的比例降为1.7%；此外，本周微软IE浏览器存在的“Style 对象错误引用”高危安全漏洞对互联网用户威胁较大，极易被利用，CNCERT预测下周黑客活动（如：网页挂马）会有所增强。
一、本周活跃恶意域名
|
107jj.cn |
318x.com |
|
4dos.8800.org |
a8393.cn |
|
aa88n.2288.org |
stat1.vipstat.com |
|
kaohsiong.cn |
3b3.org |
|
iggole.cn |
niaaa.count.xj.cn |
|
z360.net |
iebar.t2t2.com |
注：根据华为、奇虎、知道创宇、启明星辰等企业报送的网页“挂马”信息整理。
上述域名是危害较为严重的网页挂马源。
二、本周被“挂马”的重要网站
|
站点名称 |
挂马页面链接 |
|
北京市某重点大学 |
http://www.law.p**.edu.cn/tsg/vod/list.asp?menuid=200694576893&menuname=法律学习方法及其它 |
|
北京市某重点大学 |
http://snl.bj**.edu.cn/SNL-QDs/index.htm |
|
北京市某重点大学 |
http://info.r**.edu.cn/ssme/index.html |
|
上海市某重点大学 |
http://shmc.sh**.edu.cn/fenziyichuan/index.htm |
|
重庆市某重点大学 |
http://www.cfl.c**.edu.cn/jpkc/ |
|
甘肃省某重点大学 |
http://caoye.l**.edu.cn/GK/List.asp?SelectID=69&ClassID=11&SpecialID= |
|
某大型求职网站 |
http://special.zh*****.com/sz/2009/lanjing09101510/3cx.htm |
本周高校网站挂马事件较多，其中不乏一些985工程以及211工程重点大学网站，突显高校网站安全管理存在较多隐患。此外，本周监测发现大型求职网站被挂马，黑客极易利用导致众多求职者主机感染木马。
三、本周活跃恶意代码
|
名称 |
特点 |
|
Trojan.DL.Giframe.a |
这是一个下载者病毒，利用浏览器GIF文件解析漏洞进行传播。黑客通过诱导用户浏览含有恶意代码的GIF文件的网页，来控制用户连接到特定的包含恶意程序的网页。Windows图片查看器打开含有恶意代码的GIF文件不受影响。 |
|
Worm.Win32.MS08-067.c |
这是一个以微软系统MS08-067漏洞为主要传播手段的蠕虫病毒。另外该病毒亦可通过U盘以自动加载运行的方式进行传播、并且由于病毒自身带一个弱密码表，会猜解网络中计算机的登录密码，通过局域网传播。 |
|
Win32.montiorlogic.backup |
这是一个盗取多种游戏的账号密码的木马程序，主要利用网页“挂马”进行传播。受影响的系统主要是Windows平台。 |
注：根据瑞星、金山等企业报送的恶意代码信息整理。
可以看到，当前较为流行的恶意代码主要特征有：1）利用操作系统及应用软件漏洞广泛传播；2）带有强烈目的性，一般以盗号为主；3）加强在局域网内的传播。CNCERT提醒互联网用户一方面要加强系统漏洞修补加固，另一方面要加装安全防护软件。
四、本周重要漏洞
本周，国家信息安全漏洞共享平台（CNVD）整理和发布以下重要安全漏洞信息。
（一）Microsoft Internet Explorer CSS 远程代码执行漏洞
微软公司IE浏览器存在“STYLE对象错误引用”高危安全漏洞，远程攻击者可利用此漏洞诱使用户访问恶意网页，进而在用户系统上可执行任意指令。当用户访问了设置为特定属性的CSS STYLE对象时，会导致函数调用流程发生变化，攻击者从而可以获取用户系统权限，受影响的系统包括IE6和IE7。该漏洞利用较为简单，漏洞信息和攻击代码已公开，微软公司尚未发布针对该漏洞的补丁程序。建议广大互联网用户暂时禁用IE的JavaScript功能，直至官方提供相应的补丁。
（二）多款Symantec Altiris产品'RunCmd()' ActiveX控件缓冲区溢出漏洞
Symantec Altiris是一款IT 管理软件，用以帮助企业管理和维护基于网络的节点。Altiris Notification Server、Management Platform和Altiris Deployment Solution等都是Symantec的网管和部署解决方案。当用户初次连接到Altiris Deployment Solution等产品管理服务器的Web控制台时会安装一个AeXNSConsoleUtilities.dll控件，用以授权服务器的管理员访问；该控件的RunCmd()函数存在缓冲区溢出漏洞。当用户受骗访问了恶意网页并向该函数传送了超长参数的时，就可能触发溢出，导致执行任意指令。
（三）HP Operations Manager后门账户未授权访问漏洞
HP OpenView Operations是一款分布式C/S软件产品，存在后门账户未授权访问漏洞。HP OpenView Operations所包含的Tomcat用户XML文件中存在未公开的账号。攻击者可利用这个账号访问org.apache.catalina.manager.HTMLManagerServlet类，再通过Servlet类提交POST请求向/manager/html/upload上传文件，并以SYSTEM权限执行任意代码，实现攻击。
（四）ISC BIND 9 DNSSEC查询响应远程缓存中毒漏洞
BIND 9 是一款应用广泛的域名系统软件，启用DNSSEC验证的域名服务器存在查询响应远程缓存中毒漏洞。DNS在解析递归客户端查询期间可能错误的从所接收到响应的附加部分向其缓存添加记录，导致缓存中毒。目前尚未出现公开的攻击代码。
（五）Opera Web出错消息跨站脚本漏洞
Opera是一款WEB浏览器，存在Web出错消息跨站脚本漏洞。正常情况下仅在导致错误的页面上出现脚本的出错消息，但在某些情况下可以无关变量内容的形式向其他站点传送出错消息，其中可能包含有敏感信息。如果这些站点将内容写入到了页面标记中，就可使用攻击站点所提供的代码执行跨站脚本攻击。不过这个漏洞仅影响启用对异常的栈追踪的系统（默认为禁用）。目前尚未出现公开的攻击代码。
（六）Microsoft IE PDF文件信息泄露漏洞
微软公司IE浏览器存在“PDF文件信息泄露”漏洞，IE的打印功能允许远程攻击者发现本地路径名和用户名。在使用IE以PDF形式打印本地保存的网页时，从本地网页所生成的PDF文档的dc:title中可能泄露文件路径的前63个字节。
小结：本周CNVD所整理的漏洞信息中，第2条至第5条漏洞信息已有相应的安全补丁，广大用户可以自行到相应网站上下载更新补丁，避免受漏洞的影响；第1条和第6条描述的微软IE漏洞已出现公开的攻击代码，厂商尚未提供相应的升级程序或补丁。建议使用IE浏览器的用户随时关注厂商的主页以获取软件的最新版本，避免遭受黑客攻击。
(来源：国家互联网应急中心)
|