AVG揭開5款最狡猾“假冒殺軟”的面紗
泡泡網(wǎng)軟件頻道11月28日 伴隨著3Q大戰(zhàn)，國內(nèi)又掀起了一股殺毒軟件免費(fèi)熱的狂潮：金山毒霸宣布終身免費(fèi)；卡巴斯基免費(fèi)一年；趨勢2011免費(fèi)一年……然而作為一般用戶，殺軟選擇過多也不見得是件好事。商家們往往用來炒作自己廠商產(chǎn)品的噱頭，類似主動(dòng)防御或是安全套裝等等，結(jié)果卻只讓一般用戶更加迷茫。更有用戶不走尋常路，選擇一些比較冷門的殺軟，以致免費(fèi)不成，反被騙走了不少錢財(cái)。病毒也正好趁機(jī)而入，大打“假冒殺軟”招牌。根據(jù)AVG病毒實(shí)驗(yàn)室的觀測數(shù)據(jù)顯示，自從08年首次發(fā)現(xiàn)“假冒殺毒軟件”案例以來，“假冒殺毒軟件”出現(xiàn)頻率只增不減，而近期隨著3Q大戰(zhàn)余溫未退，假冒殺軟更是頻頻出現(xiàn)。就11月截止到目前來看，AVG病毒實(shí)驗(yàn)室已經(jīng)截獲到的用戶受新型假冒殺軟威脅的案例就已經(jīng)高達(dá)545起。
作為全世界靠前款自始自終主打免費(fèi)殺毒的AVG，將利用本文機(jī)會(huì)，給廣大用戶普及、演示一下“假冒殺軟”的特征，以供廣大用戶在選擇殺軟時(shí)參考，以免上“假冒殺軟”的當(dāng)。
AVG中國病毒實(shí)驗(yàn)室從近期收集到的“假冒殺軟”（本文以后以FakeAV來代替）中選出更新頻繁、迷惑程度高的5款，來給大家一一講解示例。
第一款fakeav：AntiVirus Studio 2010（反病毒工作室2010）
這個(gè)所謂的Antivirus Studio 2010出自俄羅斯，圖標(biāo)很能迷惑人，模仿微軟圖標(biāo)， 而且跟AVG的圖標(biāo)很接近。直接運(yùn)行其后，出現(xiàn)以下界面：
不經(jīng)用戶點(diǎn)擊后，直接開始掃描全盤，并且提示你掃描到很多不同類型的病毒。該殺軟的掃描引擎做的“很好”，不到兩分鐘，掃描完畢，并提示找到288個(gè)病毒。
點(diǎn)擊“Remove all threats now”（清除所有威脅）后，提示你輸入key。
點(diǎn)擊“Get License”（獲得序列號）后，彈出自定義的瀏覽器窗口，讓你購買相應(yīng)的產(chǎn)品，并輸入銀行賬戶信息：
很顯然，如果我們輸入自己的銀行賬戶密碼信息，那你就得去看看自己賬戶上的錢是不是被扣光了。
本款fakeav界面華麗，目標(biāo)明確：掃描到一堆病毒，然后提示用戶購買才能清除。
第二款FakeAV：AntiSpySafeguard（反間諜安全衛(wèi)士）
這款FakeAV假冒了微軟的殺毒套裝MSE，一般用戶乍一看，還真以為是MSE。
運(yùn)行該病毒后，便彈出偽造的MSE窗口，并提示發(fā)現(xiàn)威脅，目標(biāo)位于：c:\\windows\\system32\\cmd.exe，點(diǎn)擊Clean computer或者Apply actions后，會(huì)“一本正經(jīng)”地嘗試清除。
但是最后會(huì)提示“Unable to remove threat”（無法清除），然后建議你“Scan Online”（在線掃描）。
點(diǎn)擊在線掃描后，會(huì)出現(xiàn)各大殺軟的圖標(biāo)，看上去應(yīng)該是會(huì)讓各大殺軟都來掃描一次（筆者案：其實(shí)都沒有掃描，進(jìn)度條是虛假的）。
點(diǎn)擊“Start scan”后，所有殺軟開始掃描。掃描結(jié)束后，只有五款殺軟檢測到病毒，然后會(huì)提示你安裝這五款殺軟（筆者案：其實(shí)這無款殺軟是病毒虛構(gòu)的，而且這五款殺軟背后指向的其實(shí)是同一款，即病毒自身。病毒只是模擬了用戶的習(xí)慣性行為過程）
我們點(diǎn)擊“Free Install”（免費(fèi)安裝）后，病毒又模擬了“下載”“安裝”的過程（實(shí)則只是個(gè)節(jié)目，并未做實(shí)質(zhì)的下載、安裝行為）：
安裝成功后，病毒會(huì)修改windows的啟動(dòng)界面（login.scr），將其替換為病毒自身，以偽造成“windows加載前就掃描（boot scan）”的假象。然后病毒會(huì)不經(jīng)用戶提示，自動(dòng)重啟電腦（筆者按：這也是fakeav的一個(gè)明顯特征）。偽造的boot scan界面（其實(shí)此時(shí)windows已經(jīng)全部加載完畢，正因?yàn)閘ogin.scr被替換，所以才出現(xiàn)類似boot scan的界面）：
點(diǎn)擊掃描后，提示掃描到很多病毒（居然都是系統(tǒng)文件）：
掃描完畢后，提示“安裝啟發(fā)模塊”才能清除病毒：
點(diǎn)擊“Install heuristic module”后，將彈出購買網(wǎng)頁，欺騙用戶輸入銀行賬號信息。
縱觀這個(gè)AntiSpySafeguard，其模擬了從“發(fā)現(xiàn)病毒”->“在線掃描”->“下載”->“安裝”->“Boot scan”->“購買激活”等一個(gè)“完整流程”的流程，以欺騙、引導(dǎo)用戶“購買”，可見該fakeav的作者花了不少心思。但是細(xì)看每個(gè)步驟，還是可以發(fā)現(xiàn)一些破綻，比如只有那五款殺軟能檢測到病毒、未經(jīng)用戶允許就重啟計(jì)算機(jī)、重啟后檢測的全是系統(tǒng)文件等等。有經(jīng)驗(yàn)的用戶還是能識破的。
第三款fakeav: Security Tool（安全工具）
這是一款近期更新非常頻繁的fakeAV。點(diǎn)擊運(yùn)行后，會(huì)提示“安裝成功”，隨即出現(xiàn)主界面，并開始掃描。
同樣，在我的電腦里檢測到“五花八門”的病毒。這次是34個(gè)。
點(diǎn)擊“Remove all threats now”（現(xiàn)在清除所有威脅）后，會(huì)提示用戶激活。
點(diǎn)擊激活后，彈出自定義的瀏覽器窗口，并讓用戶輸入銀行賬戶（該頁面目前地址已更改，所以本例中提示無法找到頁面）：
該fakeav沒有什么明顯的特征，界面風(fēng)格明顯，依然是走“掃描病毒，提示購買激活才能清除”的路線，但是該fakeav更新頻繁，以躲避“真正殺軟”的查殺，所以在日常軟件使用中，一般用戶還需多加小心。
第四款fakeav：My Security Shield（我的安全盾）
這是一款不走華麗路線的fakeav，取而代之選擇了模仿windows。模仿的是windows安全中心。
從上圖可見，該病毒無論從界面布局、配色、控件元素，都無一不向windows靠攏，就連“Activate”（激活）按鈕都是用的vista的激活圖標(biāo)。
掃描結(jié)束后，檢測到一堆形形色色的病毒，并且提示“Remove All”（清除所有）：
點(diǎn)擊“Remove All”按鈕后，依然彈出自定義的瀏覽器窗口，提示用戶購買激活（該頁面已經(jīng)失效）：
讓我們再回頭重新看下這款fakeav此時(shí)的界面，我們發(fā)現(xiàn)此時(shí)其與windows安全中心更加接近。因此一般用戶遇到該fakeav時(shí)，基本上就算繳械投降了。
第五款fakeav: General Antivirus
與第二款的“偽安裝”不同，這是一款真正制作成安裝包的fakeav，并且會(huì)有“l(fā)icense agreement”（許可協(xié)議）提示，可見作者的“良苦用心”：
安裝成功后，依然不例外，不經(jīng)用戶點(diǎn)擊即開始掃描。我們發(fā)現(xiàn)這款fakeav走的也是模仿windows路線，雖然元素不如上一款fakeav那么逼真，但是看上去也是有模有樣。
掃描完畢（這次是16個(gè)。筆者案：看來每個(gè)fakeav對虛假病毒的定義也不一樣?），提示“Remove All”（清除所有）。
點(diǎn)擊清除所有后，提示用戶激活：
接下來便又回歸到打開網(wǎng)頁獲取序列號的流程。這里就不再贅述。
總結(jié)
目前傳播在外的fakeav遠(yuǎn)遠(yuǎn)不止這五款，筆者只是從眾多fakeav中，挑選了具有代表性的五款。縱觀以上五款fakeav，我們可以概括出fakeav的以下幾個(gè)特征：
1.界面華麗，但可配元素過少（通常只有掃描、清除、激活等操作選項(xiàng)）
2.不經(jīng)用戶許可，啟動(dòng)后便掃描計(jì)算機(jī)、重啟電腦
3.掃描速度過快，掃描到的病毒種類各式各樣（因?yàn)闆]有真正的掃描，而且正常來講，用戶計(jì)算機(jī)如果中了毒，病毒類型應(yīng)該不會(huì)太雜）
4.只能掃描，不能清除；只有購買才能清除。
5.購買時(shí)打開的網(wǎng)頁使用的都是病毒自帶的瀏覽器，以被用戶抓住一些漏洞（比如網(wǎng)頁地址、網(wǎng)絡(luò)釣魚等等）
綜上所述，我們可以從上面提到的五個(gè)特征著手來防止被fakeav欺騙；同時(shí)建議您安裝AVG 2011終身免費(fèi)版殺毒軟件，從各個(gè)角度保護(hù)您的網(wǎng)絡(luò)沖浪、個(gè)人財(cái)產(chǎn)安全?！?/P>
關(guān)注我們
