文章投稿当前位置：主页>新闻资讯>业界动态>文章:奇虎披露360安全卫士追杀my123全过程

奇虎披露360安全卫士追杀my123全过程

来源：新浪科技作者：发布时间：2007-01-19 阅读次数：

　　1月19日消息，奇虎于今日对外披露了360安全卫士追杀my123流氓软件的全过程，以平息近日CNNIC关于奇虎与my123有染的指责。

　　CNNIC与奇虎于今日围绕my123流氓软件案爆发口水战，双方围绕是否向公安机关报案等问题激烈争执。

　　今日奇虎披露追杀my123全过程，期望能够平息这场纷争。

　　以下为奇虎公司提供的全过程：

　　爆发后通过帖子取样本

　　据该开发人员表示，2006年11月11日(星期六)下午4点，其当时正在北京四周的怀柔温泉度假，更衣后，发现360安全卫士一版主发来的短信。短信中提到，论坛中有众多网友求救，其浏览器首页均被一家域名为my123.com的网站锁定。我立即给版主回拨电话，确认问题所在。并给另一位360安全卫士的开发人员打电话，要他和版主一起获取my123样本，分析问题所在。

　　该开发人员继续讲述道：下午5点多，版主与那位我们的开发人员通过帖子问答的方式，从用户那获得了第一个my123的病毒样本。据记者调查，360安全卫士官方论坛一位ID为MJ0011的人士于2006年11月11日曾经发过一篇帖子，要求受害网民上传my123插件样本，此举得到一些网友的响应，该开发人员应该指的便是这一帖子。

　　经过反编译后，初步发现，该病毒有日期判定逻辑，即只在11月的第二个星期六时发作。据安全专家表示，病毒之所以选择在周末发作，主要是利用周末网民上网时间多，而安全厂商反应相对工作日慢的特点，以逃避查杀。

　　发现临时解决办法

　　该开发人员表示，到2006年11月11日下午6点多，360安全卫士论坛发布my123插件临时解决办法，用户只需要自己更改一下系统时间，即把系统时间改为11月11日之前，可暂时更改回首页。据悉，因为my123插件会自动判定时间，假如时间不是周末，则其会继续潜伏而不发作。

　　同样，我们在360安全卫士官方论坛的紧急救援区找到了该帖子，该帖子同样是那位ID为MJ0011的人士所发表，在帖子中同时表示这个东西已经完全具备了病毒的特征：潜伏性、传播性、破坏性。并预告彻底清除的官方my123专杀将于今晚或明天发布。

　　发布第一、第二版专杀工具

　　到了2006年11月12日凌晨1点多，我们的开发人员终于发布了第一版的专杀工具。但希奇的是，很多用户仍然无法清除my123插件，于是我们再次获取了几个用户样本重新进行分析。该开发人员表示：到了凌晨4点多，第二版的专杀工具终于编写完毕，这个版本已经能解决多数用户的问题。

　　据记者了解，之前的几天时间里，my123插件又相继产生了多个版本的变种，360安全卫士也随之发布了多个版本的专杀工具。对此，该开发人员也表示分别在12日、15日、19日针对my123发布了专杀工具。

　　至此，瑞星等杀毒软件厂商也开始查杀my123插件，这一病毒得到有效控制。据完全专家分析，该病毒的核心部分是一个驱动程序，为随机文件名的sys格式文件，该驱动会在操作系统加载时作为System Bus Extend驱动加载，然后将自身以独占方式打开，导致任何Windows下程序也无法读写及删除它。此外，其还会不停暴力重写注册表，使首页设置为my123.com。

　　为什么360安全卫士反应如此快

　　针对CNNICmy123爆发后，360安全卫士几小时就完成了样本文件的收集、分析、反编译等一系列技术工作，迅速推出专杀工具，响应之快连瑞星、江民等专业杀毒厂商都望尘莫及。这一质疑，该开发人员表示很可笑，并指出稍有程序基本知识的人都知道，反汇编更本不需要任何'厂商'设备，任何一个PC或笔记本都可以。实际上，之前在各大安全厂商的官方论坛中甚至曾经有网友自己编写病毒专杀工具并提供给网民下载的情况。

　　而对于瑞星等厂商的反应速度慢，该开发人员认为瑞星是2006年11月14日才发布，并表示，my123插件与之前的一些普通的以篡改浏览器首页的流氓软件不同，它狡猾地选择了大家都在放假的周末爆发，这也是造成众多安全厂商未能在第一时间截获它并作出反应的原因，显然，这个插件病毒的开发者是有预谋的，而且十分聪明。

　　最后，该开发人员提醒广大网民，假如再次碰到此类病毒，可以及时向360安全卫士官方论坛举报，并协助上传病毒样本，我们将和my123插件的处理方式一样，尽最大努力在最短的时间里为网民排忧解难。