FortiGate 六月病毒榜：兩新變種殺入前十
Fortinet FortiGate 2006 年 6 月截獲威脅排行顯示，W32/BagleZip.GL@mm（3%）與 W32/BagleZip.FY@mm（2%）兩新變種擠入前十。後者來勢洶洶，疑針對防毒引擎專門優化，需重點關注。
核心技術：密碼保護 ZIP + 圖片隱寫密碼 + 隨機 DLL 多態
- 密碼保護 ZIP 繞過網關掃描：標準 ZIP 加密下，防毒郵件網關無法解壓掃描內部文件。除非破解加密（標準 ZIP 加密極難破解），否則內部惡意代碼對網關「不可見」。
- 密碼隱寫於圖片附件：密碼不寫在郵件正文，而是嵌入附件圖片中（如 LSB 隱寫）。防毒引擎若嘗試 OCR/圖像分析提取密碼，作者可輕松變換隱寫算法對抗。這是「攻防對抗」的經典博弈。
- 隨機 DLL 實現文件級多態：ZIP 內含惡意主程序 + 隨機垃圾代碼填充的 DLL。每次生成 ZIP 時 DLL 內容不同，導致整個壓縮包哈希值全異，完美繞過基於哈希/特徵碼的靜態查殺。作者利用「宿主」資源（ZIP 庫）實現多態，而非自身帶多態引擎，技術門檻低、效果極佳。
防禦端破解之道：特徵識別而非破解加密
Fortinet 研究員指出：ZIP 加密格式本身存在可識別特徵（如文件頭結構、加密標記位），掃描器可在不解密、不破壞加密的前提下識別「這是一個加密的可執行文件容器」。結合郵件上下文（發件人信譽、主題關鍵詞、圖片附件異常），可在網關層直接隔離可疑加密郵件，交由沙箱動態分析（沙箱模擬用戶輸入密碼解壓運行）。
用戶端風險提示
- 收到帶密碼 ZIP 附件，且密碼在圖片/文本文件中單獨提供 → 高風險，切勿解壓運行。
- 郵件聲稱「密碼已修改、請查收附件」等社工話術 → 直接刪除。
- 企業郵件網關建議策略：
— 默認拒絕/隔離加密壓縮包；
— 白名單機制放行業務必需加密郵件；
— 沙箱自動化提交分析可疑樣本。
趨勢預判
隨著群發蠕蟲演進，「加密容器 + 社工密碼傳遞 + 內部多態」將成常態化組合拳。防毒廠商需從「掃描文件內容」轉向「分析文件結構行為、郵件上下文關聯、沙箱動態執行」。用戶端核心防線仍是：不打開不可信來源的任何可執行內容，無論其包裝多精巧。