[專題]反病毒工程師揭開"灰鴿子"病毒3大疑問

嘉賓：金山反病毒工程師
策劃出品：TOM科技 周雪峰 張原
主持：TOM科技 張原
TOM科技訊 3月16日，金山反病毒工程師作客TOM網解密「灰鴿子」病毒。
以下為訪談實錄：
主持人：各位網友大家好，歡迎大家來到TOM訪談間。相信大家對前段時間的熊貓燒香病毒還記憶猶新，可是一兩個月過去之後又有一種新的病毒出現在——「灰鴿子」病毒。訪談前，我用在百度上搜索了一下，發現在網頁上有4680篇關於「灰鴿子」的報道，而且前11頁都是今年以來最新的報道，今天請到金山毒霸的工程師我們介紹一下，這個到底是什麼樣的病毒，它的背後又有怎樣的故事。為了保護我們的工程師的安全，今天我們鏡頭會用虛焦的方式來處理，至於原因我們以後會做出解釋。首先請反病毒工程師跟大家打一個招呼？
工程師：大家好。
近距離「接觸」灰鴿子病毒
主持人：「灰鴿子」到底是什麼樣的病毒？
工程師：「灰鴿子」不是一個普通的病毒。現在的病毒定義比較寬泛，它是一個典型的木馬(木馬查殺軟體下載)，它不具備主動傳播的特性，但是它以其他的方式進入到用戶的計算機當中，它帶來的危險是很大的。其實很多人不知道你中了這個病毒，當它進入你計算機，你完全感受不到，沒有任何東西留下。本身木馬具備一些自毀的特徵，它入侵到你的系統之後，完成它需要的工作后可以遠程把這台機器上的木馬系統卸載(卸載工具下載)掉，你就什麼都不知道了。
主持人：請工程師給我們演示一下吧。
工程師：已經有一台電腦中了剛剛布下的木馬，這台我們叫「肉雞」的電腦……
主持人：「肉雞」是什麼概念？
工程師：這台電腦被其他的計算機遠程控制，而且被任意控制，這台電腦就是變成「肉雞」，可以任意宰割了。
主持人：跟以前的殭屍電腦差不多嗎？
工程師：也不一樣，這個太可怕了，他的功能可以強大到跟你本地操作這台電腦是完全一樣的。它已經是這台電腦的主人了。
主持人：對方怎麼實現的？
工程師：它用一個木馬程序，控制端就是遠程的黑客，來控制你的電腦，他們之間建立一種鏈接之後，控制端就有管理許可權，想做什麼就可以做什麼。
主持人：可是普通木馬電腦都可以做到想要他做什麼就可以做什麼嗎？
工程師：它只能實現一些比較簡單的功能，比如偷走你的QQ號，就是比較功能單一的，而這種(病毒)功能非常強大，完全可以監管你的系統。
主持人：現在你的電腦上是不是已經開始…
工程師：對，我現在這台機器已經控制著遠處的那台機器了。這台機器是我設置的一台虛擬機器。我可以對「肉雞」隨便操作。可以把我的文件傳給他，也可以複製他的文件、修改註冊表，和本地管理這台機器是完全一樣的。
工程師：遠程軟體在使用的時候首先會發出鏈接桌面的請求，需要驗證計算機口令，而這個就不需要，輕鬆點一個鍵，就可以在你桌面上做任何操作：管理這台計算機、添加帳戶，想拿走什麼資料，如果你計算機上安裝有網路銀行，直接可以通過你的網路銀行操作都可以。
主持人：也就是說它對我這台電腦的損傷，可能不僅僅是它可以控制我的電腦，而是在控制電腦的同時達到其他的目的。
工程師：對，我分析有這麼幾種，一種是直接從你的電腦獲取資料，還有就是可以拿走你有價值的資料，QQ號，還有銀行帳號。這是一種比較常見的說法，除此之外還有別的危害，他可以把這台機器當做一個跳板，隱藏自己本身，然後攻擊別人的時候，利用你的編碼去攻擊目標，目標正在被攻擊的電腦肯定查不到攻擊的人是誰，他一查就是這台「肉雞」在攻擊，真正的攻擊者卻藏在它的後面。
主持人：當你遠程控制我的電腦時，我這個主人完全不知道你在對我的電腦進行操作嗎？
工程師：是的，完全不知道。你用遠程桌面的時候，對方的操作一般你都可以看得到。而這個病毒卻可以實現非常強大的管理，黑客不需要直接在桌面上操作。但是這裡卻有一個文件管理系統，通過它我們可以很清晰看到磁碟某一個結構，可以隨意刪掉某一個文件，再到桌面上看那個文件已經刪掉了，他在後台就可以操作完成了。這個軟體裡面還有很多類似的功能，有一個中文記錄器，啟動它，「肉雞」的主人敲鍵盤的動作都被記錄下來。這樣一來，就可以輕鬆獲取帳號等一些有價值的信息。熊貓燒香有一個非常顯著的特徵，它感染你電腦之後，你會清晰看到我中毒了，我能夠看得到，但是「灰鴿子」病毒入侵之後沒有任何感覺。而熊貓燒香功能目的是非常單一的，而這個軟體是非常強大的管理功能，已經成了一個管理器，這台機器的主人能做什麼，那台遠程計算機的人也可以做什麼。
為何僅金山毒霸監測到灰鴿子病毒大規模爆發？
主持人：昨天，瑞星，江民彙報灰鴿子沒有大規模爆發，而且近三個月感染用戶每個月呈現20到30%的趨勢，為什麼國內各家的不同安全軟體公司對同一種病毒的結果的檢測和數字有這麼大差異呢？
工程師：各公司對事件的統一的口徑沒有統一的規範。對一些感染性的軟體，比如這台機器出現一個病毒，感染了幾百個文件，可能就說它為幾百個文件，比如有一家公司把「灰鴿子」去年排名第一名。後來又出現一個蠕蟲病毒，「灰鴿子」感染量3%，威金是5%。但是我們需要大家分析一下，威金是一個蠕蟲病毒，也是感染式的，可以通過所有的方式傳播，跟熊貓燒香差不多，而「灰鴿子」病毒它是一個木馬(木馬查殺軟體下載)，木馬的感染方式非常特殊，必須是通過一種欺騙的手段，通過網路下載也好，傳文件也好，必須要有受害者自己運行木馬，如果不去運行它，這個木馬根本傳不過來。我們覺得木馬的感染性是非常強的，他的危害性、傳播性絕對不會低於威金病毒。
關於「遠程控制軟體」和病毒之爭？
主持人：昨天，灰鴿子工作室發出聲明回應金山：「首先聲明我們工作室是2003年初建立的，定位於軟體管理的開發，主要開發「灰鴿子」遠程系列「……最後是說本網站只做「灰鴿子」遠程管理軟體註冊使用。你們如何界定遠程控制軟體和病毒？你們為什麼把他們所說的這種遠程控制軟體當做一個電腦的病毒呢？
工程師：不光我們把它當做病毒，全國所有的殺毒軟體都把它當做病毒。它的功能太強大了，因為它跟遠程控制軟體的區別是很明顯的。
主持人：怎麼說呢？
工程師：網管肯定是需要遠程管理軟體，服務端在安裝的時候，都有非常明確的途徑，什麼產品的授權等等，這些都有非常明確的提示，而木馬種植到你服務端上任何提示都沒有，任何一個對方框都沒有給你返回。遠程管理軟體需要管理員通過一個埠去管理，而我們發現「灰鴿子」木馬，在這個方向上是越走越遠，它已經走到絕對是木馬需要的一個功能，它很多設計的功能是不需要的，他的目標用戶就是企圖使用這些軟體，達到他的一些不法目的。他的用戶群都變了，跟遠程軟體控制是絕對兩碼事。我問了網管會不會用「灰鴿子」做管理軟體，而他們根本不會使用的。
主持人：哪一些功能不是遠程控制軟體所必須需要的？
工程師：比如剛才提到的鍵盤記錄，哪個管理員需要遠程的記錄？還有一個很變態的功能，可以遠程控制你計算機的攝像頭，我就不相信哪個網管需要計算機攝像頭？這是絕對不需要的。工程師：某些用戶，一些特殊用戶需要是可以的。但是我們在論壇上去找，是些什麼人在用，可能很多網民都知道，買這種軟體的人到底是什麼人，「灰鴿子」他一定是都知道是什麼樣的人使用他們的軟體！這種情況是很容易區分的。
主持人：這個軟體除了具有你認為是不必要一些功能以外，還有一些其他網站管理員需要的一些功能，你怎麼看待，包含著一些我們看起來是正常，必需的需要的功能。
工程師：有一些功能網管是需要的，但是這中間肯定有一個管理的口令。還有一個非常重要的因素，就是遠程管理軟體會對通訊進行一定的加密。遠程管理軟體通常具備這樣的功能，把這台機器通訊進行加密，其他人監聽以後也聽到的是一些沒有用的資訊。而這個軟體自責不是這樣做的，它的很多功能就是方便別人怎麼去實現非法目的。還有一個表現，「肉雞」客戶端為了不讓任何人知道，他發出的圖標都是我們常用的文件圖標，比如他給你發一個程序，這個圖標他庫里有很多，他做這些圖標，就是讓那邊人看到這些圖標不小心就點，就執行了，而且那邊程序有非常強的執行性。一個正常的網管不可能在那台機器服務之後沒有任何界面出來，但是這個是絕對沒有的，這些全都隱藏了，這樣設計的目的就和病毒沒有什麼區別了，很多病毒就這麼乾的。
主持人：如果其他的朋友購買這個軟體之後，可以對這個軟體進行修改嗎？可以做到其中不利的因素，讓它變成一個更適合進行網管這樣一份工作的遠程控制軟體嗎？
工程師：我想沒有任何人想做這個，沒有人願意再這個基礎上改改，對安全不利所有去掉，做出一個正規的出來，他寧願選擇一個不受限制，而且不收錢的軟體。
木馬(木馬查殺軟體下載)病毒背後的「黑色產業鏈」
主持人：在《「灰鴿子」背後的暴利產業》文章中提到有一些人利用這樣的軟體賺錢，他們怎麼利用病毒來賺錢呢？
工程師：兩年前，我春節回家的時候發現很多小孩天天在網吧裡面混，他們在網吧裡面下木馬，偷號，偷完號之後去賣錢。因為
他們沒有正當的工作，偷號換來的錢就玩遊戲。我們就發現本身這個軟體自己做銷售，通過口碑相傳，現在應該是非常多的人，含有不法企圖的人覺得這個軟體確實很好用，用起來的代價非常低，他這個軟體可以用一年，買這個軟體的人可以非常容易，他可以通過各種渠道把這個錢賺回來，我們在很多論壇當卧底也好，可以察看這些人做什麼，我們發現有一些交易的群體、社區的圈子，他們都在交流這個話題。大家都把它當病毒殺，就有人在說怎麼把這些軟體進行加工，讓這些軟體都殺不掉，這個在論壇上叫「免殺軟體」。除此之外，還有一個特殊的群體，比如在QQ群裡面，還有一些社區裡面，有人傳幫接代批量帶徒弟。我們看最終這些人學會幹什麼，就發現裡面藏著一個特殊的產業，他們大量偷盜，直接從你的電腦上偷東西賣。還有一些案例，發現遠程「肉雞」有一些非常有價值的文檔，然後用它來敲詐勒索。還有一種比較不精明的賺錢手段，這種手段基本對「肉雞」那邊帶來影響特別小又很隱蔽，就是用這些「肉雞」來點廣告，賺廣告商的錢。在論壇上吹到說一個月可以賺一萬塊錢，他做一個網站掛上去，一個晚上就發現有上千台機器跟上來，論壇上很多人都在炫耀，看我多牛我們把幾萬台「肉雞」掛在機上去了。
主持人：這個軟體開發出來之後，他買了之後大家會幹什麼，也許有人拿他做遠程控制工具，像網管，還有人點擊廣告賺錢，有這樣一種說法，這些軟體銷售商和製作方，他們不應該去為這個購買者的一些不法行為負責。您怎麼來看？
工程師：我們論壇裡面發現做這些事提出一些反駁的意見，比如這個軟體是一把刀，買刀的人去做什麼，跟買刀的人沒什麼關係，他們把它比喻為一把菜刀，這種刀可以在超市買得到，但是三尺長的大砍刀是在超市裡面買不到的。有一個網友就把這個比喻成三尺長的大砍刀，它可做的功能絕對不是一個小刀做的功能，你了解它之後你相信它不是一個水果刀的功能，應該是受管制的軟體。
主持人：這個軟體的誕生並不是在2007年就有的，很早就有了。如同你所說的，具備應該有被管制的特性，為什麼直到2007年還會存在著？
工程師：對，最主要一個因素，目前我們國家有計算機病毒管理防止條例裡面，把計算機病毒定義為三點定義他為病毒，第一是有病毒的軟體，第二是有害的軟體，第三是進行自動傳播的軟體。熊貓燒香剛好這三個特徵都符合，就會危害網際網路的安全，而這個病毒因為缺少自動傳播的特性，所以使我們相關的法律法規沒有對它很好的規範。我們覺得應該對法學界的專家做出解釋，我了解這是一個比較大的障礙。這個軟體能夠存在這麼長時間，有關病毒的定義對它約束力不夠很有關係，除此之外，軟體的開發者、獲得的利益，因為他做這個軟體，剛開始是模仿，實現這些功能，後來發現這種通道，獲得的利益，可能比他做遠程控制軟體要容易得多，而且沒有法律進行管制。所有人都可以來做，我們算網站的流量，算它每天賣多少流量，他一年的收益可能在兩千萬。可能具體的多少，還是他自己能說得清楚。
主持人：我們還有一個問題，在其他兩家反病毒軟體公司並沒有提出這個病毒在大規模爆發的時候，金山提出來了，在01年就誕生了一個病毒，一直持續到今年，我們金山提出來說它現在又大規模爆發，提醒大家注意，而且同時我們矛頭所指向的工作室也站出來說我們是一個遠程控制室，而不是一個病毒，這些種種表明說在金山軟體公司在進行炒作嗎？
工程師：對我們看到這樣的報道，說我們在炒作，我們對殺毒軟體資料的播報，提供給公眾是一種義務。但是我們發現傳播的病毒播報方式，發現用戶對這個東西的響應沒什麼感覺。後來發現這個病毒受害者是越來越多。我們資料庫發現被這個入侵感染越來越多，隱藏性更強了，普通網民中毒之後，完全不知親，網民是沒感覺的。我們應該把「灰鴿子」這個軟體所有的威脅性，通過我們媒體告訴給所有廣大用戶，實際上炒作用在金山頭上是有點冤的。我們主要目的就是要讓這樣非常強的危害性的軟體在網際網路徹底消失，讓我們網民更有安全感。
主持人：可是這段時間之內金山一直處於高曝光的時期，包括你也接受一些採訪，其實金山在這段時間之內，包括在市場影響方面估計也有一些提升，與此同時，也會在毒霸軟體銷售商帶來提升，大家都在懷疑，把這個病毒炒熱了，最後導致的結果是金山的毒霸賣得更好了。
工程師：我們把「灰鴿子」真相告訴給網民的時候，我們做出這樣準備，我們損害是十萬人的利益，如果損害他們的利益，通過正常的渠道他們沒有辦法跟我們抗衡，以黑客的手段攻擊我們的業務，我們做好「灰鴿子」的期間，把真相告訴給網民的時候，我們業績是在下降的，是急劇下降的，因為我們網站受攻擊者的干擾，我們很多業務是受到很大影響的。
主持人：現在已經造成這樣的一個結果了嗎？
工程師：這方面已經有這樣的一個結果，因為昨天用戶訪問我們網站的時候，因為速度非常慢。因為黑客控制了數萬台「肉雞」，我們星期三發布新聞紙后，晚上10點，一直持續到昨天晚上這個攻擊就一直沒有停止過。這方面對我們的業務其實有很大的影響，我們也做好這方面的準備，和以前打的商業作戰是不一樣的。我們直接和危害網路安全的，有組織的網路黑勢力做鬥爭，顯然這些網路黑勢力，不會用正當的手段，肯定會用這樣一些手段對付我們。
主持人：這也是我們為什麼這次訪談中間要進行一些畫面上的處理，最後我還想了解一下關於這個病毒我們普通消費者應該怎麼樣查殺，或者是怎麼樣去預防？
工程師：這個是我們最需要告訴網民的，首先網上會有各種各樣的陷阱，很多網站都掛著折算的木馬。「灰鴿子」之類的軟體是表現最突出的一種，然後它就會通過各種各樣的手段，欺騙讓我們普通用戶成為「肉雞」，並且我們普通用戶太容易成為「肉雞」了，因為它的安全意識不夠強，這種木馬進入系統沒感覺，基本上網民對這個木馬沒什麼認識，所以我們告訴他真相以後，可能這方面會有所警覺，然後他可以不停的升級系統，及時做出防範措施，降低這種風險是有好處的。
主持人：謝謝各位網友，參與我們今天的訪談，也謝謝工程師，祝願大家在以後的上網過程中間，能夠平平安安，尤其是不要中毒。

3月15日，針對此前國內反病毒軟體商指責「灰鴿子木馬(木馬查殺軟體下載)病毒」背後暗藏黑色產業鏈，灰鴿子室發表聲明，稱「炒作是無意義的」。
聲明原文如下：

首先聲明：灰鴿子工作室於2003年初成立,定位於遠程控制，遠程管理，遠程監控軟體開發，主要產品為灰鴿子遠程控制系列。要把灰鴿子程序和灰鴿子病毒分開來看待，灰鴿子病毒並不是灰鴿子工作室的產品。灰鴿子軟體取得計算機軟體著作權登記證書 ，灰鴿子受軟體著作權法保護。本網站只做灰鴿子遠程管理軟體註冊使用。
1.灰鴿子工作室的軟體產品，是一款商業化的遠程控制軟體，提供給網吧／企業用戶及個人用戶進行電腦軟體管理使用；
2.在對外授權時，已經充分告知用戶要遵守中國法律法規的規定。
3.從技術上來看，此產品並不具備自我複製／傳播的特性，因此，並不是計算機病毒。
4.灰鴿子工作室亦譴責那些非法利用遠程控制工具於非法目的的行為，對於此類行為，灰鴿子工作室也開發了相應的軟體幫助廣大網民予以應對；
5.國外具備同等功能的軟體還有radmin等，其正常經營的時間比國內早得多，且並未被認定為病毒軟體；
對於金山相關言論的看法與聲明：對於金山相關言論的看法與聲明：近日因為金山總裁雷軍的話稱：「從某種意義上講，『灰鴿子』的危害超出『熊貓燒香』10倍。」引發一系列關注灰鴿子的事件。我們指責金山的這種炒作是無意義的。首先我們指責「灰鴿子」大規模爆發 謠言，瑞星稱未監測到爆發 江民：灰鴿子病毒未有大規模擴散跡象 。再次我們指責金山毒霸信息安全網發表不誠實的數字言論 ，言論中指出2005年在灰鴿子工作室的收入遠不止2190萬. 請寫這篇文章的人好好的想一想，中國的共享軟體，在存在有破解版本的情況下還會有多大的收入。現在灰鴿子工作室的網站的平均每日獨立IP訪問量在2760左右，這個數據來源我們的首頁統計系統。而你們寫出來的數字1.7萬獨立訪問的IP，2190萬的收入是我們從來想都沒有想過的天文數字，居然還說遠不止這個數。如果真的有這麼多的話我早就把金山的員工請過來開發灰鴿子了。你們寫了這麼多不真實的東西，其實真正的目的還不是為了讓更多的人關注吸引更多的目光看向金山毒霸。對於金山所說的打擊報復行為（金山網站遭攻擊，工程師接到匿名電話等）均非灰鴿子工作室成員所為，同時我們聲明絕不會因為這系列事件而做出有損對方的行為。同時希望金山能夠修正不誠實的言論。
灰鴿子和熊貓燒香的區別
功能上:
熊貓燒香所有功能都是自動執行,惡意破壞計算機系統,無任何用戶可使用功能!
灰鴿子功能為遠程管理計算機,所有功能均由管理者遠程管理計算機,程序本身沒有任何自動破壞計算機的功能.並進行了軟體著作權登記!
傳播上:
熊貓燒香本身能自動傳播,自動感染網際網路其它電腦
灰鴿子不具備任何傳播功能,必須由管理者拷貝和安裝
灰鴿子對使用者進行登記及有使用日誌,若有人非法使用灰鴿子,灰鴿子工作室能配合和提供相關數據
軟體安裝和使用公開聲明:
灰鴿子工作室網站和程序安裝過程都有使用聲明和用戶條款!
其它聲明：
因為灰鴿子早期版本的源代碼是公開的，所以網路出現很多模仿非本工作室發布的版本，這些程序是及其不安全可靠的，請用戶不要下載使用。
灰鴿子工作室
wwww.huigezi.net

3月15日，在曝光了「灰鴿子」病毒背後的黑色產業鏈后，金山毒霸網站遭到長達三小時的瘋狂攻擊。據介紹，攻擊者甚至還曾威脅反病毒工程師，揚言「請慎重考慮後果」。

昨晚
22點開始，來自台灣、河北廊坊、河北橫水、北京朝陽等眾多地區IP的上萬台計算機發起針對www.duba.net域名的瘋狂攻擊。經過工作人員調查，發現這些IP都是被操縱的「肉雞」。幕後黑手非常熟悉DNS操作，為防止被追蹤，以秒為單位不停切換「肉雞」，更換IP地址，並且在毒霸網站正在使用的一家鏡像服務供應商的伺服器中植入了變種木馬(木馬查殺軟體下載)。

網站受攻擊期間，瀏覽金山毒霸官網的部分用戶被挾持到幕後黑手指定的不法網站，三小時后毒霸官網才恢復正常。

記者從金山公司相關人員處了解到，兩天前曾有一位自稱是「灰鴿子工作室」成員的男人，在獲得金山毒霸反病毒工程師手機號碼后，致電該工程師，稱「請慎重考慮打擊灰鴿子的後果」。

自2001年，灰鴿子誕生之日起，就被反病毒專業人士判定為最具危險性的後門程序，2004年、2005年、2006年連續三年被評選為年度十大病毒。僅2007年2月一個月就感染超過25萬台計算機，占感染計算機總台數的12.5%。尤其因為其具有極強的隱蔽性和欺騙性，導致用戶容易在毫無察覺的情況下淪為被灰鴿子操縱的「肉雞」。

目前針對以「灰鴿子」為首的木馬團伙的瘋狂報復，金山工作人員已連夜向國家有關部門報告了案情，表示將追查到底。

法律的介入是必然的，只是不知道何時啊？