瑞星卡卡安全论坛

前些日子，一只手握三支香的“可爱熊猫”让广大计算机用户吃尽了苦头。截至到2007年1月25日，这个以手拿三支香的熊猫图标为代表的“熊猫烧香”病毒已攻击千余企业网站，其中不乏金融、税务、能源等关系到国计民生的重要单位，而受到攻击的个人用户更不下千万，其危害程度不亚于CIH、震荡波、冲击波等老牌电脑病毒。

“熊猫烧香”只是用Delphi语言工具编写的病毒变种，只不过经过多次变种，威力大增。它通过感染用户电脑上的.exe文件用户电脑中毒，中毒后可能会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。同时，该病毒可以通过局域网进行传播，进而感染局域网内所有计算机系统，最终导致企业局域网瘫痪。那么，作为与WINDOWS桌面操作系统一脉相承的WINDOWS MOBILE智能手机会不会也被感染了？会不会像电脑用户一样数据被毁，无法正常使用了？


附件: 664182200727125739.jpg

熊猫烧香拿手机没辙

　　那么手机是否会被感染熊猫烧香病毒了？我们的回答是：可能也不可能。为什么会是这样的回答了？我们说可能，指的是智能手机的存储卡如果与感染了熊猫烧香的PC设备进行数据交换，比如你把存储卡插在读卡器上连接到已感染熊猫烧香的PC机上，“熊猫烧香”病毒就会感染到存储卡上的.exe程序，说明智能手机受到病毒的威胁不是空穴来风。但是，熊猫烧香并不能在智能手机上运行，这就是　　我们所说的不可能。

　　熊猫烧香对于智能手机而言仅限于“感染”，或者形容它只是一具僵尸，并不能产生任何的破坏作用。对于这个结论，我们采访了几名精于WINDOWS MOBILE平台编程的专家，其中还有几名是拥有微软MVP头衔的“高手”，他们的理由如下：



第一，熊猫烧香是一个win32病毒，而不是wince病毒，运行在不同的系统环境上，所以智能手机根本不能运行?X86的PE程序。所以，在wince平台上熊猫烧香不可能发作。

　　
第二，WINDOWS MOBILE智能手机的CPU和PC机的CPU普遍不同，PC机上x86的指令集编译的程序根本不能够在采用ARM架构的CPU上运行，生成的机器码也不同，所以病毒体不可能被执行。

　　
第三，如果用读卡器连接台式机，熊猫烧香会感染卡中的程序。因为win32和wince的exe格式相同，“熊猫烧香”会以为这些.exe文件是win32可执行文件从而感染之。但是，这些程序因为平台不同无法运行，所以并不会在智能手机上形成病毒传播，也就是说，这些程序中的病毒形如僵尸，没有破坏能力。

第四、WINDOWS MOBILE智能手机本身自带的核心程序是在rom中以xip方式执行的。Xip运行方式最大的特点是不载入内存，直接用rom中的地址来运行。因为rom不可写，所以不会被修改，就算熊猫烧香想感染也不可能。也不会造成系统崩溃之类的破坏。最坏最坏的打算就是硬启动一下机器，只要你平时做好了备份，这点损失根本不算是损失，何况这种可能性几乎没有。没有这样的巨大破坏，那这个病毒还用那么嚣张吗？




附件: 664182200727125819.jpg

“烧香烧到手机”传言的起源

　　
对于熊猫烧香能够影响手机说法始于何处，我们已经无从考证。但是我们从网上找到了一个熊猫烧香的手机主题。这个适用于智能手机的主题文件安装后，确实能在手机上显示感染熊猫烧香病毒后的图标，但实际上并不影响手机的正常使用和功能。



看来，这只是好事者借“熊猫烧香”之名而搞出的一个恶作剧，但是以讹传讹，到最后就变成了“烧香烧到手机”的传言了。


熊猫烧香不是手机病毒代言人

　　
手机病毒的原理其实和计算机病毒一样，它以手机为感染对象，以手机网络和计算机网络为平台，通过病毒短信、蓝牙等形式，对手机进行攻击，从而造成手机异常的一种新型病毒。手机病毒并不是骇人听闻的谣言，它是随着计算机应用与网络的普及所产生的必然产物，但目前出现的种类还不是很多，因此有很多人还不了解手机病毒，还不知道手机病毒是什么样子，会做什么样的破坏。


附件: 664182200727125859.jpg

就算是没有了“熊猫烧香”的威胁，手机病毒仍是智能手机所面对的头号敌人。早在2000年6月，西班牙发生了一件让人匪夷所思的事情，许多人无故收到一些骂人的垃圾短信，而这些短信全部来自当地一家叫做Telefonica移动运营商，正当用户们感到一头雾水的时候，其它垃圾短信及广告信息又接踵而至，经有关部门查证，得出一个出人意料的结论——此为手机病毒所为，并把其命名为VBS.Timofonica，VBS.Timofonica同时也获得了全球第一个手机病毒的“美誉”。

　　
其实VBS.Timofonica并不能准确地称为“病毒”，它不符合基本的病毒转播模型，不具备病毒最基本的特地。简单的说，至少它不具备传染性，VBS.Timofonica自身不会进行传播及复制，它只不过是一种攻击程序。

第一个真正意义上的病毒——卡波尔

　　
第一个真正意义上的病毒叫EPOC.Cabir.A（又名卡波尔），该病毒通过蓝牙技术在一定范围内的蓝牙设备间传播，专门感染智能手机系统。“卡波尔”病毒是针对Symbian系统的“proof of concept”类蠕虫病毒，虽然影响不大破坏力不强，但是作为第一款具有病毒特征的手机病毒，其划时代的意义远远大于实际价值。

　　
目前在SYMBIAN平台上的手机病毒数量最多，大约占了整个数量的七成，但这不能说明像WINDOWS MOBILE这类智能手机操作系统就是一方净土。例如WinCE4.Dust就是第一款以ARM芯片和WM2003为攻击目标的WinCE病毒。它工作原理是感染PPC根目录上所有以*.EXE命名的软件，但危害并不大，受感染的文件依然可以正常的运行。



附件: 664182200727125959.jpg

几种著名的手机病毒

　　
据有关病毒监测机构数据，截止2006年6月，能运用在智能手机平台上的手机病毒种类已达240约种，估计到了2006年底会突破300大关。虽然相比目前PC平台上近十万病毒数量来说，手机病毒的数量只是小巫见大巫，但是杀毒软件的匮乏及用户不重视态度，让近五千万智能手机用户时刻处在巨大危险之中，而用户自己却浑然不知。一旦有类似PC平台“熊猫烧香”这样的历害病毒在智能手机里出现，那将是一场灭顶之灾。

　　
下面我们来看几款目前在智能手机中间比较普遍的手机病毒例子，给大家一个直观的介绍。

字库毁灭机—Blankfont.A.sis

运用平台：Symbian

危害对象：Symbian系统手机的字库和输入法

主要手机品牌：诺基亚S60平台产品，如7610、6670、6681

病毒症状：Blankfont.A.sis的病毒是寄存在Rally_2.sis文件中的，当Blankfont.A.sis在不知情的状况下被安装以后，在C:SystemAppsfonts路径下就会新生成一个名为Panic.gdr的文件，使手机无法正常显示任何文字。


附件: 664182200727130107.jpg

Brador

运用平台： Windows Mobile

主要手机品牌：多普达系列，如686、696

病毒症状：

　　
Brador 是已知第一个针对 Pocket PC 手持设备的后门程序。运行时，后门程序将自己复制到启动文件夹，将 PDA 的 IP 地址邮件发送给后门程序的作者，并开始监听一个 TCP 端口的命令。然后黑客可以通过 TCP 端口连接回 PDA ，通过后门程序控制 PDA 。Brador 还未扩散传播。它只运行于基于 ARM 、拥有 Windows Mobile 2003 (Windows CE 4.2) 或更新系统的 Pocket PC 设备。


附件: 664182200727130143.gif

现在在国内蔓延的最厉害的要数“彩信木马病毒”，这种病毒名叫CommWarrior。据说CommWarrior每500秒钟就会自动向通讯录中的手机号码发送彩信，不仅干扰通讯、加大电力消耗，更造成了巨额的话费支出。“中毒”还可能会导致手机死机、关机、SIM卡烧毁、资料被删、向外发送垃圾邮件、拨打电话等。

　　
间谍软件也算是手机病毒的一种，相比起来，它的危害更大，后果更严重。例如像SymbOS/MultiDropper.CG这种手机上的间谍软件，它能纪录用户呼入和拨出的电话号码，并用文本短消息发送到指定位置。这种病毒虽然不会毁掉手机数据，但是它可以肆无忌惮的盗取用户的信息，这似乎更加可怕。

其它常见手机病毒及其毒发症状

病毒名称　　　　　　　  手机中毒症状

EPOC_ALARM　　　　　　  手机持续发出警告声音

EPOC_BANDINFO.A　　　    将用户信息更改为 “ Some fool own this ”

EPOC_FAKE.A　　　　　　  在手机屏幕上显示格式化内置硬盘时画面，吓人把戏，不会真格

EPOC_GHOST.A　　　　　  在画面上显示 “ Every one hates you ” （每个人都讨厌你）

EPOC_LIGHTS.A　　　　　  让背景光不停闪烁

EPOC_ALONE.A　　　　　  这是一种恶性病毒，会使键操作失效。

Timofonica 　　　　　　  地址簿中的邮箱发送带毒邮件 ，还能通过短信服务器中转向手机发送大量短信。

Hack.mobile.smsdos 　　  会让手机死机或自动关机。

Unavaifabie　　　　　　  当有来电时，屏幕上显示 “ Unavaifaule ” （故障）字样或一些奇怪的字符。如果此时接起电话则会染上病毒 ，同时丢失手机内所有资料。

Trojanhorse　　　　　　  恶意病毒，病毒发作时会利用通迅簿向外拨打电话或发送邮件。甚至打电话找警察，目前国内还没有这样的情况，主要是报警电话号码不一样。

如何预防手机病毒

　　
对手机病毒的预防，最简单的办法就是和PC机一样安装防病毒软件进行自主防御。除了自主预防之外，平时还要注意以下几点：

1．不要接受陌生蓝牙请求。

　　
手机病毒的传播途径中，蓝牙传播是比较多的一种方式。所以如果有陌生设备请求连接你的手机最好不要接受，先询问清楚对方的身份和目的。因为手机病毒会自动搜索无线范围内的设备进行病毒的传播，如果不搞清楚是病毒主动连接或是用户连接就直接验证配对，这就像是你买了一把锁却从来不用一样，最终给病毒打开了方便之门。


陌生请求可千万不要随便接受

　　
2．乱码短信、彩信立即删

　　
乱码短信、彩信的成因多种多样，可能是运营商主机系统的故障，也或是手机接收的故障，但更可能是带有病毒。收到此类短信后立即删除，以免感染手机病毒。
　　
　　
3．保证下载的安全性。

　　
现在网上有许多资源提供手机下载，然而很多病毒就隐藏在这些资源中，这就要求用户在使用手机下载各种资源的 时候确保下载站点是否安全可靠，尽量避免去个人网站下载。但这一点也不能保证绝对的安全，因为现在很多大网站也是采有网友自主上传的方式来收集资源，这也难免给手机病毒创造了机会。最好是下载前还是安上防毒软件吧。

　　
4．选择手机自带背景。

　　
有些病毒是通过图片附带进手机，如果你将其设为背景图片，就有可能中毒。所以用户最好使用手机自带的图片进行背景设置。



附件: 664182200727130426.jpg

生手机安全市场

　　
手机病毒已经引起了相关各行业和厂商的注意，手机厂商、软件厂商以及运营商都在积极寻求解决方案，而最积极、最主动的就是那些杀毒软件企业。无论是国内还是国外的杀毒软件商，中国4.4亿的手机用户，近五千万智能手机用户，300种手机病毒的数量，近乎一片空白的手机杀毒软件企业，这在他们看来就是一座还未开发的“金山”。

　　
巨大的需求催生了一个全新的市场——手机杀毒软件市场。先从厂商来说，再不是趋势科技一家独秀，像国产软件商金山、网秦、日月光化、瑞星，国外著名杀毒企业McAFREE、卡巴斯基、赛门提克都推出了自己的手机杀毒软件，所涵盖的平台除了原有的SYMBIAN之外，也将采用WNIDOWS MOBILE操作系统的智能手机纳入其保护范围之内，而这两个系统的手机占整个智能手机数量的八成。而LINUX、PALM等边缘智能手机系统也有相应的防毒软件，可以说，现在的智能手机已经具备“百毒不侵”的防护能力。

　　
难道我们现在是非常安全的？答案是否定的。目前最大的问题在于，绝大多数手机用户现在还没有手机病毒的概念，他们认为那还只是停留在实验室级的东西，离他们的生活还很远。就是这种懈怠的普遍认知，让中国5000万智能手机用户始终处在了高危之地。

　　
手机用户防毒意识的漠然并没有影响分析师对这个市场的看好。按分析师的预测，中国的手机病毒安全市场将在2007年有突破性的进展，在2008-2009年间手机防护软件会形成系统和规模，2009-2010年收入会翻番，而2011年则会超越PC，成为安全软件最关注的领域。预计到2011年，人们将在2.47亿台手机中安装杀毒软件，那时全球手机安全市场价值将为50亿美元，不仅仅包括杀毒软件，也包括数据安全系统、防盗系统、文件编码和机主身份认证管理等等。一个巨大而又年轻的市场将应运而生。

综述

　　
所谓“熊猫烧香”病毒对手机的影响从目前了解的情况来看只是一出闹剧，但这不能说明手机安全就是高枕无忧了，反而体现了当前个人手机用户防毒意识的淡薄和轻视。塞翁失马，焉知非福，希望这件事能给还处于浑然不知危险处境的几千万智能手机用户提个醒，手机病毒其实离我们很近，很真切，危害也是无法估计的。

　　
全民防毒，任重而道远！