为何杀毒软件开发商未能提前发现Flame和Stuxnet

安全软件公司F-Secure研究总监Mikko Hypponen说他在听到Flame的消息后，特意去查了下恶意程序样本库，吃惊的发现他们已有了Flame的样本，时间是在2010年到2011年之间。他说，这意味着杀毒软件公司在两年甚至更长时间里没能检测出Flame，“这既是F-Secure的一次重大失败，也是整个安全行业的一次惨败。”

为什么杀毒软件公司未能提前发现Flame、Duqu和Stuxnet呢 ？ 答案是网络战不希望被提前曝光。Flame、Duqu和Stuxnet极有可能是西方情报机构研发的，不被发现是秘密战争的一部分，这些恶意程序在躲避检 测上做的非常出色。以Stuxnet和Duqu为例，Stuxnet在传播出伊朗之外后有超过一年时间未被发现，Duqu情况类似，它们使用了数字签名， 看起来像可信任的合法应用程序，它们没有使用加壳和混淆引擎去试图保护代码，它们就藏在人们的眼皮底下。

以Flame为例，它使用了SQLite、 SSH、SSL和Lua库，整个代码像是一个企业数据库系统而不是恶意程序。Hypponen说，消费级杀毒软件无法保护消费者抵抗此类有针对性的攻击， 这些恶意程序有充足的资金，以国家为后盾。更多的类似攻击可能已经展开，但安全公司还没能检测出来。Flame是安全行业的一次失败，他们在自己的游戏中 已经显得力不从心。