卡巴斯基发布2007年上半年安全报告

　　基于网页的恶意软件快速增长有很多因素，其中一个原因是由于在2003到2006年发现了微软IE存在大量漏洞。另外一个原因是由于大多数反病毒引擎和访问网页的方式在理念和设计上不兼容，因为大多数反病毒引擎需要拷贝整个文件来检测是否感染病毒，这就会在扫描类似网页流文件时发生问题。当然，此问题可通过代理层方案解决，先高速下载流量，下载完毕后便会将其传至反病毒引擎，然而，这种方式也不是很普及。

　　基于网页的恶意软件快速增长的另外一个因素或许是因为企图阻止电子邮件中的可执行格式附件。早在2003年和2004年，大多数恶意软件通过电子邮件传播（如.EXE/.SCR/.PIF文件等），许多系统管理员决定完全禁止电子邮件中的可执行格式文件，这样做的直接结果就是恶意软件作者开始使用压缩文件传播－如ZIP文件。早在2006年，包含漏洞的微软Office文件也是恶意软件传播的载体。

　　恶意软件作者想到了一个简单的方法来解决这个问题：他们放弃电子邮件来发送恶意软件主程序，而开始发送包含恶意程序的网站链接地址。因为邮件网关仅过滤邮件正文，不可能检测在邮件中是否链接恶意网站，利用这种手段可以达到目的。

　　上面列举的因素是恶意软件传播的方式，诱惑用户打开包含恶意软件的web服务器，或者手动执行恶意软件（社会工程学），或者利用用户网页浏览器漏洞达到攻击目的。

　　传播方法

　　包含在网站中的恶意软件感染用户计算机主要有两种方法：

　　第一种方法利用社会工程学攻击，例如，攻击者发送一封包含网页链接的邮件，声称该链接网站很有趣，以下为此类电子邮件实例：

图1. 内含有恶意软件链接的电子邮件

　　在上面的邮件中，YouTube链接是一个假冒网站，当打开该网页时将显示"无法找到该视频"，影片的HREF链接却指向另一个IP地址的网站，当用户访问时显示以下内容：

图2. 包含恶意软件的假冒网站

　　"点击这里"链接将指向名为"video.exe"的可执行文件，其为Zhelatin的一个变种，也称为风暴蠕虫。

　　恶意软件传播的第二种方法是通过网页浏览器漏洞感染系统，以下是这种方式的例子：

图3. 包含漏洞的网页源代码，目的攻击Mozilla Firefox

　　上面的图片显示了网页中的一部分，该网页包含已加密网页浏览器漏洞。大多数包含网页浏览器漏洞的站点会使用一些模糊化技术，其目的是避免基本的可以通过扫描TCP/IP流的 IDS检测，这些扫描的类型是已知的，也相当于简单基于代码的反病毒系统，该漏洞代码一旦被解密，将进行分析：

图4. 解密攻击程序部分画面（Trojan-Downloader.JS.Agent.ep）