编者按：自从第一个计算机病毒爆发以来，已经过去了20年左右的时间。《InformationWeek》最近评出了迄今为止破坏程度最为严重的十大病毒。

　　上个世纪80年代上半期，计算机病毒只是存在于实验室中。尽管也有一些病毒传播了出去，但绝大多数都被研究人员严格地控制在了实验室中。随后，“大脑” （Brain）病毒出现了。1986年年初，人们发现了这种计算机病毒，它是第一个PC病毒，也是能够自我复制的软件，并通过5.2英寸的软盘进行广泛传播。按照今天的标准来衡量，Brain的传播速度几乎是缓慢地爬行，但是无论如何，它也称得上是我们目前为之困扰的更有害的病毒、蠕虫和恶意软件的鼻祖。下面就是这20年来计算机病毒发展的历史。

　　CIH

　　估计损失：全球约2,000万~8,000万美元，计算机的数据损失没有统计在内。

　　CIH病毒1998年6月爆发于中国台湾，是公认的有史以来危险程度最高、破坏强度最大的病毒之一。

　　CIH感染Windows 95/98/ME等操作系统的可执行文件，能够驻留在计算机内存中，并据此继续感染其他可执行文件。

　　CIH 的危险之处在于，一旦被激活，它可以覆盖主机硬盘上的数据并导致硬盘失效。它还具备覆盖主机BIOS芯片的能力，从而使计算机引导失败。由于能够感染可执行文件，CIH更是借众多软件分销商之力大行其道，其中就包括Activision游戏公司一款名为“原罪”（Sin）游戏的演示版。

　　CIH一些变种的触发日期恰好是切尔诺贝利核电站事故发生之日，因此它也被称为切尔诺贝利病毒。但它不会感染Windows 2000/XP/NT等操作系统，如今，CIH已经不是什么严重威胁了。

　　梅利莎（Melissa）

　　损失估计：全球约3亿~6亿美元

　　1999年3月26日，星期五，W97M/梅利莎登上了全球各地报纸的头版。估计数字显示，这个Word宏脚本病毒感染了全球15%~20%的商用PC。病毒传播速度之快令英特尔公司（Intel）、微软公司（Microsoft，下称微软）、以及其他许多使用Outlook软件的公司措手不及，为了防止损害，他们被迫关闭整个电子邮件系统。

　　梅利莎通过微软的Outlook电子邮件软件，向用户通讯簿名单中的50位联系人发送邮件来传播自身。

　　该邮件包含以下这句话：“这就是你请求的文档，不要给别人看”，此外夹带一个Word文档附件。而单击这个文件（成千上万毫无疑虑的用户都是这么做的），就会使病毒感染主机并且重复自我复制。

　　更加令人恼火的事情还在后头——一旦被激活，病毒就用动画片《辛普森一家》（The Simpsons）的台词修改用户的Word文档。

　　我爱你（ILOVEYOU）

　　损失估计：全球约100亿~150亿美元

　　又称情书或爱虫。它是一个Visual Basic脚本，设计精妙，还有令人难以抗拒的诱饵——爱的诺言。

　　2000年5月3日，“我爱你”蠕虫病毒首次在香港被发现。

　　“我爱你”蠕虫病毒病毒通过一封标题为“我爱你（ILOVEYOU）”、附件名称为“Love-Letter-For-You.TXT.vbs”的邮件进行传输。和梅利莎类似，病毒也向Microsoft Outlook通讯簿中的联系人发送自身。

　　它还大肆复制自身覆盖音乐和图片文件。更可气的是，它还会在受到感染的机器上搜索用户的账号和密码，并发送给病毒作者。

　　由于当时菲律宾并无制裁编写病毒程序的法律，“我爱你”病毒的作者因此逃过一劫。

　　红色代码（Code Red）

　　损失估计：全球约26亿美元

　　“红色代码”是一种计算机蠕虫病毒，能够通过网络服务器和互联网进行传播。2001年7月13日，红色代码从网络服务器上传播开来。它是专门针对运行微软互联网信息服务软件的网络服务器来进行攻击。极具讽刺意味的是，在此之前的六月中旬，微软曾经发布了一个补丁，来修补这个漏洞。

　　“红色代码”还被称为Bady，设计者蓄意进行最大程度的破坏。被它感染后，遭受攻击的主机所控制的网络站点上会显示这样的信息：“你好！欢迎光临http://www.worm.com！”。随后，病毒便会主动寻找其他易受攻击的主机进行感染。这个行为持续大约20天，之后它便对某些特定IP地址发起拒绝服务（DoS）攻击。在短短不到一周的时间内，这个病毒感染了近40万台服务器，据估计多达100万台计算机受到感染。

　　SQL Slammer

　　损失估计：由于SQL Slammer爆发的日期是星期六，破坏所造成的金钱损失并不大。尽管如此，它仍然冲击了全球约50万台服务器，韩国的在线能力瘫痪长达12小时。

　　SQL Slammer也被称为“蓝宝石”（Sapphire），2003年1月25日首次出现。它是一个非同寻常的蠕虫病毒，给互联网的流量造成了显而易见的负面影响。有意思的是，它的目标并非终端计算机用户，而是服务器。它是一个单包的、长度为376字节的蠕虫病毒，它随机产生IP地址，并向这些IP地址发送自身。如果某个IP地址恰好是一台运行着未打补丁的微软SQL服务器桌面引擎（SQL Server Desktop Engine）软件的计算机，它也会迅速开始向随机IP地址的主机开火，发射病毒。

　　正是运用这种效果显著的传播方式，SQL Slammer在十分钟之内感染了7.5万台计算机。庞大的数据流量令全球的路由器不堪重负，如此循环往复，更高的请求被发往更多的路由器，导致它们一个个被关闭。

　　冲击波（Blaster）

　　损失估计：20亿~100亿美元，受到感染的计算机不计其数。

　　对于依赖计算机运行的商业领域而言， 2003年夏天是一个艰难的时期。一波未平，一波又起。IT人士在此期间受到了“冲击波”和“霸王虫”蠕虫的双面夹击。“冲击波”（又称“Lovsan” 或“MSBlast”）首先发起攻击。病毒最早于当年8月11日被检测出来并迅速传播，两天之内就达到了攻击顶峰。病毒通过网络连接和网络流量传播，利用了Windows 2000/XP的一个弱点进行攻击，被激活以后，它会向计算机用户展示一个恶意对话框，提示系统将关闭。在病毒的可执行文件MSBLAST.EXE代码中隐藏着这些信息：“桑（San），我只想说爱你！”以及“比尔·盖茨（Bill Gates）你为什么让这种事情发生？别再敛财了，修补你的软件吧！”

　　病毒还包含了可于4月15日向Windows升级网站（Windowsupdate.com）发起分布式DoS攻击的代码。但那时，“冲击波”造成的损害已经过了高峰期，基本上得到了控制。

　　霸王虫（Sobig.F）

　　损失估计：50亿~100亿美元，超过100万台计算机被感染.。

　　“冲击波”一走，“霸王虫”蠕虫便接踵而至，对企业和家庭计算机用户而言，2003年8月可谓悲惨的一月。

　　最具破坏力的变种是Sobig.F，它8月19日开始迅速传播，在最初的24小时之内，自身复制了100万次，创下了历史纪录（后来被Mydoom病毒打破）。病毒伪装在文件名看似无害的邮件附件之中。被激活之后，这个蠕虫便向用户的本地文件类型中发现的电子邮件地址传播自身。最终结果是造成互联网流量激增。

　　2003年9月10日，病毒禁用了自身，从此不再成为威胁。为得到线索，找出Sobig.F病毒的始作俑者，微软宣布悬赏25万美元，但至今为止，这个作恶者也没有被抓到。

　　Bagle

　　损失估计：数千万美元，并在不断增加

　　Bagle是一个经典而复杂的蠕虫病毒，2004年1月18日首次露面。这个恶意代码采取传统的机制——电子邮件附件感染用户系统，然后彻查视窗（Windows）文件，寻找到电子邮件地址发送以复制自身。

　　Bagle （又称Beagle）及其60~100个变种的真正危险在于，蠕虫感染了一台计算机之后，便在其TCP端口开启一个后门，远程用户和应用程序利用这个后门得到受感染系统上的数据（包括金融和个人信息在内的任何数据）访问权限。据2005年4月，TechWeb.com的一篇文章称，这种蠕虫“通常被那帮为了扬名而不惜一切手段的黑客们称为‘通过恶意软件获利运动’的始作俑者”。

　　Bagle.B变种被设计成在2004年1月28日之后停止传播，但是到目前为止还有大量的其他变种继续困扰用户。

　　MyDoom

　　损失估计：在其爆发的高峰期，全球互联网的速度性能下降了10%，网页的下载时间增加了50%。

　　2004年1月26 日几个小时之间，MyDoom通过电子邮件在互联网上以比较独特的速度迅速传播，顷刻之间全球都能感受到它所带来的冲击波。它还有一个名称叫做 Norvarg，它传播自身的方式极为迂回曲折：它把自己伪装成一封包含错误信息“邮件处理失败”、看似电子邮件错误信息邮件的附件，单击这个附件，它就被传播到了地址簿中的其他地址。MyDoom还试图通过P2P软件Kazaa用户网络账户的共享文件夹来进行传播。

　　这个复制进程相当成功，计算机安全专家估计，在受到感染的最初一个小时，每十封电子邮件就有一封携带病毒。MyDoom病毒程序自身设计成2004年2月12日以后停止传播。

　　震荡波（Sasser）

　　损失估计：数千万美元

　　“震荡波”自2004年8月30日起开始传播，其破坏能力之大令法国一些新闻机构不得不关闭了卫星通讯。它还导致德尔塔航空公司（Delta）取消了数个航班，全球范围内的许多公司不得不关闭了系统。

　　与先前多数病毒不同的是，“震荡波”的传播并非通过电子邮件，也不需要用户的交互动作。

　　“震荡波”病毒是利用了未升级的Windows 2000/XP系统的一个安全漏洞。一旦成功复制，蠕虫便主动扫描其他未受保护的系统并将自身传播到那里。受感染的系统会不断发生崩溃和不稳定的情况。

　　“震荡波”是德国一名17岁的高中生编写的，他在18岁生日那天释放了这个病毒。由于编写这些代码的时候他还是个未成年人，德国一家法庭认定他从事计算机破坏活动，仅判了缓刑。

sidebar1 病毒纪年

　　1982

　　Elk Cloner病毒是实验室之外诞生的最早的计算机病毒之一。该病毒感染了当时风靡一时的苹果II型（Apple II）计算机。

　　1983

　　早期的病毒研究人员，佛瑞德·科恩（Fred Cohen），提出了“计算机病毒”（Computer Virus）的概念，并将其定义为“是一类特殊的计算机程序，这类程序能够修改其他程序，在其中嵌入他们自身或是自身的进化版本，从而来达到“感染”其他程序的目的。”

　　1986

　　“大脑”（Brain）病毒出现。这是一种启动区病毒，当计算机重启时，通过A驱动器中的软盘传播。该病毒不仅是最早的PC病毒，还是第一例隐蔽型病毒—被感染的磁盘并不会呈现明显症状。

　　1987

　　“李海”（Lehigh）病毒最早在美国的李海大学（Lehigh University）被发现。该病毒驻留内存，而且是第一个感染可执行文件的病毒。

　　同年，商业杀毒软件登上历史舞台，其中包括约翰·迈克菲（John McAfee）的VirusScan和罗斯·格林伯格（Ross Greenberg）的Flu_Shot。

　　1988

　　这一年诞生了最早在Mac系统传播的病毒，MacMag病毒和Scores病毒。

　　同年出现的Cascade病毒是第一个经加密后难以删除和修改的病毒。

　　第一个广泛传播的蠕虫病毒是“莫里斯的蠕虫”（Morris Worm）病毒。蠕虫是病毒的一种，它们通过外界资源，比如互联网或是网络服务器，传播自身。美国国内一位著名计算机安全顾问的儿子，罗伯特·T·莫里斯（Robert T. Morris），将该病毒从麻省理工学院（MIT）释放到了互联网上。但是，他声称这一切纯属意外。

　　1989

　　“黑暗复仇者”（Dark Avenger）/“埃迪”（Eddie）病毒是最早的反杀毒软件病毒。该病毒会删除部分杀毒软件。

　　“费雷多”（Frodo）病毒出现。这个病毒感染文件后具有一定隐蔽性，当用户对被感染计算机进行目录列表检查时，被感染文件的大小也不会发生改变，极具隐蔽性。

　　1990

　　出现了众多杀毒软件，其中包括沃尔夫冈·斯蒂勒（Wolfgang Stiller）的“整合专家”（Integrity Master），帕姆·凯恩（Pam Kane）的“熊猫反病毒”（Panda Anti-Virus）工具，以及雷·格雷斯（Ray Clath）的Vi-Spy软件。到此时，杀毒程序作者和病毒制造者已经开始展开了全面的较量。

　　变形病毒出现。这些病毒随机改变特征，同时对自身进行加密，从而避免被发现。最早的此类病毒可能是1260/V2P1病毒。

　　加壳病毒（Armored Virus）首次出现。此类病毒很难分解。比如防护能力极强的顽固病毒，“鲸鱼”（Whale）病毒。

　　1991

　　“特奎拉”（Tequila）病毒出现。特奎拉具有隐蔽性，属于复合型态，具备保护外壳，同时会对自身变换加密，每次感染时都会采用不同的密钥。该病毒攻击主引导记录。主引导记录一旦被感染就会随之感染其他程序。

　　一种名为病毒制造实验室（Virus Creation Lab）的病毒软件编写工具库催生了一系列病毒。但是大多数该类病毒都充满漏洞，而无法制造真正的威胁。

　　复合型DAMN病毒由“黑暗复仇者变形引擎”（Dark Avenger Mutation Engine）编写，并且在1992年大行其道。

　　1992

　　“米开朗基罗”（Michelangelo）病毒出现后感染所有类型的磁碟。但是，该病毒的散播范围比媒体预先估计的要小一些。

　　1993

　　当年出现的Satanbug/Little Loc/Natas病毒是同一个病毒的不同变种。

　　Satanbug病毒具有很强的反杀毒软件功能：该变种能够检查到四种杀毒软件，并且破坏相关磁碟。这是杀毒软件研究人员历史上第一次和美国联邦调查局（FBI）联手逮捕并且起诉了这个还是孩子的病毒编写者。

　　1994

　　危害相对较小的KAOS4病毒出现在一个色情新闻组之中，并且很快通过COMSPEC/PATH环境变量传遍全球。这是第一个利用环境变量来定位潜在攻击对象目录的病毒。

　　1995

　　第一个宏病毒出现。宏病毒利用软件自带的编程语言编写来传播，比如微软公司（Microsoft，下称微软）的Word、Excel和Access。

　　1996

　　Laroux/Excel宏病毒利用微软为应用软件宏语言环境设计的新型Visual Basic语言，进行大范围自我复制。但是该病毒危害非常有限。

　　Boza病毒出现并且感染了曾号称百毒不侵的Windows 95操作平台。

　　Staag病毒这一年出现并且感染了当时刚刚诞生不久的Linux操作系统。

　　1998

　　StrangeBrew病毒在Java环境下传播和发作。这是一个概念性病毒，没有攻击性。

　　危险的CIH病毒现身后感染了视窗（Windows）可执行文件，覆盖了硬盘和BIOS数据，并且让无数计算机系统瘫痪。这个别名为“Chernobyl”的病毒在全球范围内造成了 2,000万~8,000万美元的经济损失。CIH病毒对中国用户发起大规模的进攻，受损计算机超过几十万台。

　　1999

　　毁灭性的梅利莎（Melissa）Word 97宏病毒是目前为止传播得最快的一种病毒。这个以一个脱衣舞女命名的病毒是群发邮件病毒的鼻祖。

　　蠕虫病毒开始产生比普通病毒更大的危害。“泡沫男孩”（Bubble Boy）病毒是第一个在用户打开电子邮件附件之前就感染系统的蠕虫病毒。在邮件被浏览之时，蠕虫病毒已经开始暗中传播。

　　2000

　　我爱你（ILoveYou）病毒，又称情书或爱虫，也是群发邮件病毒。被感染的计算机会向邮件地址簿中的所有人发送包含病毒的电子邮件。

　　借助人们对于情书的好奇心，该病毒迅速传遍全球，造成了大范围的电子邮件阻塞和企业亿万美元的损失。

　　第一次分布式拒绝服务（DoS）攻击同时侵袭了亚马逊公司（Amazon）、电子港湾公司（eBay）、谷歌公司（Google）、雅虎公司（Yahoo）和微软的网站，攻击长达数小时之久。

　　2001

　　Sircam蠕虫病毒把被感染电脑的个人文档和数据文件通过电子邮件四处发送。但是由于该病毒文件比较大，限制了自身的传播速度。

　　“尼姆达”（Nimda）病毒利用复杂的复制和传染技术，在全球范围内感染了数十万台计算机。

　　“坏透了”（BadTrans）蠕虫病毒可以截获并且向病毒作者传回受感染用户的信用卡信息和密码。但是该病毒聪明的自我复制机制在真正发挥作用之前就被防病毒软件发现，并且在其大范围传播之前被追踪清除。

　　2002

　　梅利莎病毒的编写者大卫·史密斯（David L. Smith）被判处在联邦监狱服刑20个月。

　　2003

　　SQL Slammer蠕虫病毒在十分钟内攻击了7.5万台计算机，几乎每十秒钟就将攻击数量翻倍。虽然病毒没有造成直接伤害，但是该蠕虫病毒让网络服务器过载，全球内互联网阻塞。

　　“冲击波”（Blaster）蠕虫病毒在8月11日攻击了Windows 2000和Windows XP一个已经推出补丁的安全漏洞，让数十万台来不及打补丁的计算机陷入瘫痪。该病毒的最终目的是利用受感染的计算机在8月15日发动一次针对 Windowsupdate.com的分布式DoS攻击，但是病毒的危害到当天已经基本被控制。

　　我国的北京、上海、广州、武汉、杭州等城市也遭到了强烈攻击，从11日到13日，短短三天间就有数万台电脑被感染，4,100多个企事业单位的局域网遭遇重创，其中2,000多个局域网陷入瘫痪，对相关机构的电子政务、电子商务工作产生了伤害，造成了巨大的经济损失。

　　“霸王虫”（Sobig.F）是一个群发邮件病毒，通过不安全的网络共享感染系统。该病毒传播迅速，24小时之内自我复制超过百万次。“霸王虫”病毒大规模爆发，波及亚洲、美洲和澳洲等地区，致使我国互联网大面积感染。这次比“冲击波”病毒更加强劲，截至8月14日22时，我国受袭击的局域网数量已增加到5,800个。

　　Sober蠕虫病毒将自身伪装成一个英语和德语的杀毒软件，在一定的范围内进行了传播。

　　2004

　　Bagle蠕虫病毒在TCP端口上打开一个后门（Back Door），远程用户和应用程序可以借助该后门获取个人私密数据，这是一种早期的获利性恶意软件（Malware For Profit）。

　　MyDoom蠕虫病毒通过电子邮件和Kazaa文件共享协议传播，是目前为止传播速度最快的一种蠕虫病毒。

　　“振荡波”（Sasser）病毒感染了100万台计算机，在全球范围内给企业造成了数百万美元的损失。当年四月“振荡波”给德国三个市政府和一个公共电视台造成了15.4万美元的损失。该病毒编写者是一个名为斯万·贾斯查因（Sven Jaschan）的17岁德国高中学生，病毒利用没有打补丁的联网计算机进行传播。

　　网络检测及分析服务提供商ISS[Internet Security Systems，现已被国际商业机器公司（IBM）购并]宣布在部分安全软件里存在漏洞。第二天，Witty蠕虫病毒找到安装了这些软件的计算机，实施攻击。病毒传播很快，但是危害不大，覆盖了受感染计算机硬盘的部分磁道。

　　Santy病毒主动搜索某些BBS的漏洞，并且利用Google和其他公共搜索引擎寻找那些缺乏防护的网站。

　　2005

　　Zotob蠕虫病毒发布。这是基于因特网中继聊天（Internet Relay Chat，下称IRC）传播的蠕虫病毒，病毒会提供个某个IRC的后门，然后利用通过寻找没有打过补丁的即插即用模块来锁定新的攻击目标。

　　2006

　　微软指出后门木马和机器人软件是PC用户的最大威胁。5,700万台运行微软恶意软件清除工具（Malicious Software Removal Tool）的PC机中62%带有一个以上的后门木马。

　　——文/Ross M. Greenberg  译/章劢闻

sidebar2 出色的战斗

　　起先，我认为计算机病毒是一个相当酷的概念，因为他们拥有大脑、13号/星期五、排字工/摸索等稀奇古怪的名字，并且干着自我复制之类特立独行的事情。然而，当这些病毒做出了类似覆盖他人硬盘这样丑陋的事情之后，它突然变得不那么可爱了。

　　这时正处于上世纪80年代中叶，计算机革命还没有真正到来。而对于计算机病毒那样独特而又刺激的事情来说，时机已经成熟。当然，它们的出现也催生了计算机防病毒行业的诞生。在Flu-shot项目的初创阶段，我就参与进来。当项目发布时，它能够防范当时所有的已知病毒——总共81种。那时，全球的安全专家们几乎都彼此认识，或者互有耳闻。那时，我们尽管是竞争对手，但同时也都是合作伙伴。

　　大多数早期的防病毒创新者都参加了计算机病毒研究组织（CARO）。随着上世纪90年代早期，计算机病毒多样化和代际变种时代的到来，这个组织也证明了其存在的价值。病毒的编写者为了避免被检测到，不断地变换着病毒的形式，以至于凭借简单的信号串（病毒的组成部分，人们可以借此辨识它）已经无法被追踪到。CARO的成员迅速开发出独立但又有协同性的代码，来防御这种威胁。这真是一件奇妙的案例：竞争者们精诚合作，为大众谋求共同的利益。

　　现在的病毒越来越多，单靠个人能力早已难以对付，于是我从反病毒工作中抽身而退，移居到了纽约远郊的一个农场。毕竟现在有更多公司在为公司和顾客来抵御病毒的威胁，他们很多价值在数百万美元，并拥有大量员工。而对我个人来说，那种防病毒专家互相叫得上名字的时代早已逝去。

　　——文/Ross M. Greenberg  译/王小敬

（信息周刊）