诺顿误伤微软 缘何错将“友军”当“敌军”

　　新华网北京5月21日专电（记者崔军强）除了国际杀毒软件诺顿的技术人员外，恐怕无人敢将微软“视窗ＸＰ”操作系统的正常文件视为病毒。这个听上去完全不靠谱的故事，却不幸真实上演。

　　5月18日，诺顿杀毒软件遭遇“黑色星期五”，误将“视窗ＸＰ”的两个关键文件判断为病毒，并毫不留情地予以“斩杀”，无数微软简体中文版操作系统因此崩溃。

　　诺顿失手“误伤”微软

　　成立于1982年的赛门铁克公司在世界各地拥有14000多名员工，是全球领先的信息安全服务商，其旗下的诺顿安全软件系列产品如雷贯耳。然而，这个泰斗级的跨国公司却离奇地“误伤”微软关键文件，让无数中国用户极为失望、愤怒。

　　从18日早上开始，中国内地大量同时安装“视窗ＸＰ”和诺顿杀毒软件的计算机相继出现异常：诺顿报警发现“哈克斯”后门病毒，强制隔离、清除了ＬＳＡＳＲＶ．ＤＬＬ、ＮＥＴＡＰＩ32．ＤＬＬ两个文件，并提示系统需要重新启动。很多用户按照诺顿提示重启电脑后，迎来的却是一场噩梦——电脑像犯了“羊角风”一样反复自动重启，根本无法正常进入系统。

　　由于诺顿设在北京等地的技术支持热线已被打爆，很多焦急的用户转而向江民、瑞星等国内安全软件厂商求助，不少人甚至抱着笔记本电脑登门寻求支持。到18日中午，互联网上相关的帖子已成一片汪洋。经过分析，江民等国内厂商的反病毒专家感觉到事发蹊跷：出现异常的电脑全部装有诺顿杀毒软件，而安装其他杀毒软件的电脑却平安无事。难道诺顿本身出了严重问题？

　　这一怀疑很快得到证实。原来，被诺顿误杀的两个文件并非什么病毒，而是“视窗ＸＰ”的两个关键文件。赛门铁克驻京机构随后承认，诺顿杀毒软件17日更新的病毒库出现误判，导致简体中文版“视窗ＸＰ”丢失重要文件，无法正常运行。到18日下午5时，尽管国家计算机病毒应急处理中心和国内主流杀毒软件厂商均公布了紧急补救方案，但“自摆乌龙”的诺顿已被推上火山口。不少网民声讨诺顿犯下了不可原谅的低级错误。

　　“误伤”事件破坏力超“熊猫烧香”“灰鸽子”

　　“熊猫烧香”和“灰鸽子”这两款臭名远扬的病毒，本来是诺顿剿杀的对象，然而“误伤”事件发生后，它们的名字被并列在一起。

　　瑞星公司在其今年首次发布的等级最高的红色安全警报中称，诺顿“误伤”事件是近年来最严重的一次安全事故。由于诺顿在企业级市场占有相当大的份额，特别在金融、电信等行业拥有优势，因此“误伤”事件导致许多企业网络完全瘫痪。瑞星初步预测此次受影响的电脑超过百万台，由此造成的整体经济损失甚至可能超过“熊猫烧香”。

　　国内另一家杀毒软件服务商江民公司则将“误伤”事件造成的严重后果与“灰鸽子”相提并论。江民的反病毒专家何公道告诉记者，杀毒软件在清除染毒文件时通常会自动备份，目的就是防止误杀。单从技术角度看，恢复被诺顿误杀的两个正常文件并不难，用户数据一般不会丢失或被破坏，但大范围“误伤”事件的间接破坏力甚至高于“灰鸽子”。

　　据记者了解，事发当日，北京不少公司、科研机构、媒体等都不同程度地被“误伤”事件波及，员工被要求不得重启电脑或暂停工作。

　　不仅是企业级用户，很多诺顿杀毒软件个人用户的生活也被搅乱。“误伤”事件发生很长一段时间内，赛门铁克并未及时发布相关公告，信息一度出现混乱。于是，不少人通过电话、手机短信等方式，通知使用诺顿杀毒软件的亲朋好友要么别开机，要么暂停操作。

　　截至20日记者发稿时，赛门铁克仍未公布“误伤”事件损失评估报告，但从中国“视窗ＸＰ”和诺顿杀毒软件的庞大用户群来分析，瑞星判断的“近年来最严重的一次安全事故”并非凭空想象。一些诺顿的用户和法律界人士，已开始将话题引向“索赔”。

　　诺顿缘何错将“友军”当“敌军”

　　如果将“视窗ＸＰ”比喻为一座庞大的大厦，诺顿扮演的就是卫兵角色。这个“卫兵”，至少在此次值勤中不称职，因为它把“友军”错认作“敌军”，瞄准，开火。

　　何公道认为，主流杀毒软件都是通过特征码技术来查杀病毒的，好比公安机关通过指纹抓获凶犯。无论从理论还是从实践来看，尽管概率很小，但病毒特征码和正常文件特征码存在重合的可能，稍有不慎，便会出现误判、误报、误杀。因此，安全软件厂商在更新病毒库时必须格外谨慎。

　　被诺顿误杀的“视窗ＸＰ”的两个关键文件，与后门病毒“哈克斯”有共同、相似的特征。显然，诺顿的技术人员将二者混淆了，但这不只是工作粗心所致。

　　何公道说，完全避免因特征码重合导致误报，这对杀毒软件厂商难度极大。江民公司为此设置了4道“防火墙”：一是凭经验判断系统中哪些地方相对安全，哪些地方高危；二是靠专业软件鉴别病毒和正常文件；三是建立了几十Ｇ容量的正常文件库作为参照，以免误杀；四是病毒库提供给用户更新前，必须首先上线内部测试、审查。

　　瑞星公司一位研发负责人的表态更加直白：部分反病毒厂商为了追求病毒数量、查杀率、新病毒反应时间等单项技术指标，降低了测试标准，最终会导致误报率上升、产品出现重大漏洞等后果。像“白名单”这项重要的测试，就已被大多数国外反病毒厂商放弃。

　　诺顿此次深陷“安全门”泥潭，让一些迷信“洋”杀毒软件的用户疑虑重重——为什么被“误伤”的仅是简体中文版“视窗ＸＰ”？为什么赛门铁克没有在第一时间发出警报和公布应急解决方案？赛门铁克是否漠视中国消费者？

　　北京市信息化工作办公室专家组一位成员告诉记者，长期以来，不少网民和大单位都认为“洋”杀毒软件更可靠，这其实是个误区。从近些年的病毒疫情报告来看，病毒本土化趋势明显，国内的黑客、有毒网页增多，上网者面临的安全风险主要来自国内，像“熊猫烧香”等破坏力较大的病毒都是国产杀毒软件率先截获的。他认为，国产杀毒软件更了解国内病毒制造者的心理、施毒技术与作案习惯，更适合国内用户使用。