【原創文章，版權所有，賽迪獨家發佈，合作網站如欲轉載，請註明出處“賽迪網”和文章作者“freedom”！謝絕非合作網站轉載，違者，賽迪網將保留追究其法律責任的權利！】
如果您是一位Windows的用戶，就需要注意到微軟網站上看一下，您就會發現評述一個稱為Win32/Jowspry的惡意程式的報告。這個惡意程式利用了Windows的自動更新服務將文件下載到用戶的電腦上，對用戶的電腦系統大肆進行破壞。當然，你可能會想到，一個理智的做法是停止使用Windows的更新服務，這可以防止惡意軟體的安裝。雖然“防守是最好的攻擊。”但如何保障一台Windows電腦在更新時免受新的安全威脅呢？
任何問題總有解決的辦法。我們知道，電腦系統要與Windows的更新站點進行交互，就必須使用後臺智慧傳輸服務，即所謂的BITS。BITS利用用戶系統未用的帶寬來下載補丁和更新文檔。它還使得Windows伺服器更新服務、系統管理伺服器以及微軟的即時通信產品的文件傳輸更加容易。在許多系統中包含BITS功能，如Windows XP Service Pack 1、Windows 2000 Service Pack 3以及現在最新的Windows作業系統。
我們發現，作為當前作業系統（如Windows XP和Windows Vista等）一部分的Windows防火牆允許BITS發送和接收來自互聯網的數據，卻不會激發任何警告。也就是說不會彈出類似如下的窗口：
很顯明，通過劫持這種服務，在試圖利用Windows漏洞時，惡意軟體的作者能夠快速地繞過其主要的障礙。繞過防火牆的過濾器能夠在無需警告用戶的情況下實現惡意文件的安裝。即使用戶採用了基於網路的防火牆，並盡力區分BITS可以下載的數據和絕對不能下載的數據。BITS活動的低帶寬消耗和異步傳輸特性也會使得防火牆難於檢測任何惡意活動。
事實上，這種攻擊並不是由Windows更新的缺陷引起的。任何攻擊者都沒有也不可能將惡意文件上傳到微軟的網站上用於BITS下載。要讓攻擊工作，用戶必須先下載Win32/Jowspry並執行它。也只有這樣這種特洛伊木馬程式才能BITS安裝額外的惡意軟體。想要惡意地使用BITS，特洛伊木馬程式需要存在於用戶電腦上。BITS並非最初感染的攻擊源。一旦將自身安裝到電腦上，惡意軟體就用這樣一種機制繞過防火牆技術。
我們權且將這種攻擊稱之為Windows更新攻擊，迎戰這種攻擊的最佳方法在於在公司的用戶中增強防範意識，教育他們如何處理來自未知或意外的源站點的資訊（包括鏈結和文檔、程式等）。這就會減少用戶下載Jowspry或其他能夠感染電腦的惡意程式的機會。一些安全專家建議將BITS限制為只能給經核準的或可信任的站點或鏈結。然而，許多第三方的軟體廠商用它來發佈軟體更新，這種限制就會引起不少麻煩，你需要仔細維護經認可的站點，需要籌劃該將哪些站點列入優良者名單。
雖然這種攻擊只不過是眾多攻擊中的小菜一碟，不過卻向我們展示了各種攻擊日益增加的複雜性和驚人的發展速度，並可以幫助我們深入理解Windows作業系統本身。(責任編輯：李磊)
