江民分析極光漏洞始末 或為GOOGLE退出中國原兇

????美國時間1月14日，微軟官方發(fā)布了Microsoft Security Advisory (979352)安全公告，確認在IE6/7/8版本中，存在名為"Aurora"（極光）漏洞，涉及的操作系統(tǒng)包括：Windows 2000 SP4, Windows XP/2003/Vista/2008，Windows 7。微軟在安全公告中表示，IE在特定情況下，有可能訪問已經(jīng)被釋放的內(nèi)存對象導致任意代碼執(zhí)行，該漏洞可以被用來進行網(wǎng)頁掛馬。截止1月18日，微軟并沒有發(fā)布針對該漏洞補丁的時間表。

????漏洞最早發(fā)現(xiàn)于GOOGLE被攻擊事件

????江民反病毒專家表示，該漏洞最早可溯源于GOOGLE被攻擊事件。美國時間1月12日，Google在其官方blog上發(fā)表文章，稱Google和至少20家其他公司遭到了源自中國的攻擊。攻擊造成部分Google知識產(chǎn)權被盜。通過技術分析，這些攻擊帶有明顯的針對性，企圖監(jiān)視若干中國人權主義人士的 Google帳號，但并沒有成功。鑒于長期以來，來自中國的攻擊和中國對互聯(lián)網(wǎng)內(nèi)容的審查和限制，Google考慮幾周之內(nèi)和中國政府談判，有可能關閉網(wǎng)站，撤銷谷歌中國。而在此事件中，攻擊Google所利用的正是"Aurora"（極光）漏洞，Google據(jù)此認為其正在受到嚴重干涉，因此導致了其副總裁發(fā)布退出中國市場的聲明的事件。

????相關"Aurora"(極光)行動

????Google攻擊事件發(fā)生后，國外安全人士發(fā)表科技博客首先確認了該漏洞，通過他們分析，襲擊Google和其他若干公司的攻擊正是利用了IE瀏覽器的一個0-day漏洞。并把這次攻擊稱為"Aurora"(極光)行動（張韶涵有一首同名歌曲《歐若拉》）。技術人員在分析惡意exe文件時，發(fā)現(xiàn)exe調(diào)試信息中包含的開發(fā)環(huán)境路徑中存在"Aurora"，說明編寫惡意exe程序的程序員使用名為Aurora的文件夾來保存源代碼。安全人士據(jù)此認為黑客自己可能把此次攻擊攻擊代號取名為"Aurora"。

????江民殺毒軟件緊急部署監(jiān)控

????北京時間1月15日，包括江民科技在內(nèi)的微軟MAPP成員接到了微軟通知，獲知了相關漏洞詳細技術信息，微軟不但詳細解釋了漏洞原理，并給了一個可以造成IE崩潰的簡單示例代碼。江民科技迅即根據(jù)相關技術細節(jié)在殺毒軟件中進行相關技術部署，推出監(jiān)控和攔截利用漏洞的惡意網(wǎng)頁監(jiān)測代碼。由于MAPP成員與微軟簽有保密協(xié)議，因此MAPP成員并沒有對外界透露該漏洞的細節(jié)情況。1月16日，利用該漏洞的代碼在網(wǎng)上被國外某安全研究機構公布。

????江民反病毒專家提醒，根據(jù)以往經(jīng)驗，一旦代碼被公開，很快就會被大量應用于網(wǎng)頁掛馬。由于"Aurora"(極光)系“0-day”漏洞，微軟尚無補丁發(fā)布，并且該漏洞涉及IE版本眾多，可能對互聯(lián)網(wǎng)安全造成極大的影響。

????目前，微軟以及MAPP成員對該漏洞十分重視。作為MAPP成員之一，江民科技已經(jīng)緊急研發(fā)出監(jiān)測代碼并升級，一旦發(fā)現(xiàn)利用該漏洞的病毒或惡意代碼，將緊急升級殺毒軟件病毒庫進行攔截，請廣大用戶密切關注微軟以及其它安全廠商動態(tài)，及時下載相關安全補丁，開啟殺毒軟件網(wǎng)頁監(jiān)控功能，避免遭到利用該漏洞的病毒攻擊。