杀毒软件「消亡史」
是什么推动的时代前进，让曾经每份拷贝两三百元的的杀毒软件逐渐退出了人们的视野呢？
对于很对80、90年代的孩子来说，瑞星的小狮子就是他们童年时对计算机最深刻的印象。
2017年，网上还传出了「去掉杀毒与防火墙功能」的桌面小狮子供大家怀念往日时光。
如今上网的人们恐怕大多数都不会记得那只在电脑右下角模仿各种动作的狮子了。众多免费的杀毒软件让曾经的杀毒软件洗牌，但随着近些年技术的变革，似乎杀毒软件无论免费与否都已不再是装机的必备软件之一。
那是什么推动的时代前进，让曾经每份拷贝两三百元的的杀毒软件逐渐退出了人们的视野呢？
源起：病毒的出现
在说到杀毒软件的历史之前我们先来看看什么是病毒。
从法律层面上来看1，「计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。」
其实通俗的来说，计算机病毒也是一种程序，只是一些怀有恶意的程序。
不过病毒是怎么开始的呢？说起来你可能不信，最早病毒通常只是工具，其作用和今日相去甚远。
在早期，学生们用病毒来做一些学术研究和提高自己的编程水平，有时也会拿一些病毒来开一些同学的玩笑；施乐的工程师们用蠕虫病毒去寻找闲置的网络资源；许多的开发者使用引导扇区病毒（boot sector virus）来反盗版。
在1988年之前开发的病毒基本都没有什么危害，比如世界上的第一个诞生的在 Windows 上的病毒 ——大脑病毒（Brain） —— 是由时年17岁和24岁的两兄弟 Basit 和 Anjad Farooq Alvi 开发的，他们当时制作了一款用于心跳检测的程序，而由于他们当时所在的地区盗版成风，他们便制作了这个主要用于防止盗版拷贝的病毒。只要有人安装了非正版的软件，Brain 便会将盗版使用者的剩余空间吃掉，并在引导磁道里写下一段中毒提示文字，并附上了两兄弟的联系电话，告知如果中毒请联系以获得「解药」。
不过当两兄弟将该病毒发布之后，他们马上收到了潮水般的电话，甚至不少是从国外打过来寻求「解药」的，这对兄弟也吓了一跳，并开始解释他们不是恶意的。
再比如新中国成立以来的第一例病毒 ——1988年发现的小球病毒，它的发作条件是当系统时钟处于半点或整点，而系统又在进行读盘操作。发作时屏幕出现一个活蹦乱跳的小圆点，作斜线运动，当碰到屏幕边沿或者文字就立刻反弹，削去碰到的部分文字。
最早制作病毒的人只是怀有「炫耀技术」的心态，使用一些显性的、展示性较强的病毒，或者他们只是将病毒用于一些工具性质的场景中。之后，病毒的发展开始呈现带有显性破坏的趋势，比如在2000年左右的情书病毒（Loveletter virus)，在它发布后就攻击了数以万计的电脑——通过给用户发送一封表白邮件，引诱你打开 I Love You 的附件，便开始将用户的本地图片、文件替换，并将该邮件再次发给通讯录中的其他好友。
进入二十一世纪之后，病毒的「炫技」开始变味，一些病毒惊人的破坏力为刚刚普及的互联网带来了巨大的风波。比如对于中国触网较早的「网虫」来说，2003年的冲击波病毒和2007年的熊猫烧香病毒记忆犹新。前者利用Windows 的一个网络服务的漏洞进行无感传播，同时会导致被感染的计算机不断重启无法使用。后者则会将感染计算机内的所有把文件与程序变成一个烧香的熊猫图标无法打开。
比如迄今为止最严重的病毒攻击——在2008年出现的 Conficker 病毒，它借助当时 Windows 的一个内存漏洞，破坏系统默认设置，并且自动寻找局域网内其他有该漏洞的电脑，创建链接，将自己复制过去，然后在本地接受远程控制着的指令，收集个人信息、下载安装附加的恶意程序到受害者的个人计算机中，让用户防不胜防。
熊猫烧香「锁死计算机内信息」的模式，在后续逐渐发展出了勒索病毒这一门类，病毒从一种「恶趣味」变成了一种「非法生意」，2017年「永恒之蓝」是这一模式的最高峰。
但比起「破坏」和「直接索要钱财」，更多企图商业化的病毒制作者选择让病毒变得「越来越无害」。其中的逻辑十分简单，一般用户都在计算机出现明显异常的时候才会想到采取措施，如果病毒能够一声不响的长期运行于用户的设备中，那么病毒就能更多的窃取用户的信息、数据或有周边价值的内容。
这一模式被称之为高级长期威胁高级长期威胁（英语：advanced persistent threat，缩写：APT），策划这些攻击的不再只是某一个「黑客」，而可能是一整条产业链。他们的目标也不再是让用户产生直接损失，甚至对于用户来说有可能都没有发现「任何损失」。
但实际上，病毒通过默不做声的获取用户的最高权限，可以窃取用户在设备上的敏感信息或商业秘密乃至国家机密。这些信息被窃取之后，进行数据整理后成为一个个黑产数据库在「暗网」上明码标价。
防御者：杀毒软件
安全需求是人类最基本的需求，既然有攻，自然就有防，自1986年的大脑病毒问世，人们就开始思考如何对抗病毒程序，直到1987年 IBM 发布了面向个人用户的第一款杀毒软件。
说到杀毒软件，我们简单介绍下杀毒软件基本的工作流程 ——其工作流程大致可以分为3个阶段：
捕获其他程序的程序行为：如它在内存中干嘛了，和网络互相传输了什么等等；给予引擎机制的规则判断：如某个病毒具备一个特征标记，则看看有没有文件也有同样的标记；通过病毒库进行确认：可以理解为病毒库中存储了绝大多数病毒的特征和标记，通过和存储的病毒库中的病毒做对比，来确认某个文件是否是病毒。其中第2步是杀毒软件技术水平区别的最大的地方，好的杀毒软件通常可以在第2步就拦下大多数的病毒而不需要进入到第3步，而第3步 ——保持病毒库同步则是用户必须持续更新的重要原因。
所以自然而然一个生意模式就产生了，产商提供杀毒软件以及实时更新的病毒库，用户支付一个年费来获得病毒库和引擎的更新权利（一般还会赠送一个新的界面）。
说到中国的杀毒软件供应商，我们就不得不提到以江民、瑞星、金山等为代表的第一批入海者。
在1990年代初，瑞星通过出售防病毒卡坐拥该市场的半壁江山，不过防病毒卡的安装需要拆插硬件，在之后一度也较少更新。
此时，近40岁开始进行计算机创业的王江民先生带来了纯软件的杀毒方案KV100，并于1996年创立江民新科技术有限公司后，面向市场推出了可以通过软盘使用的KV300杀毒软件。
由于90年代，大部分的计算机存在于学校、科研机构的机房或早期网吧中，硬件的防病毒卡需要「每台机器买一台」，而杀毒软件一个机房只需要买一份在每个电脑上运行，因此杀软一举打掉了防病毒卡的市场份额。
不过，防病毒卡的早期引领者瑞星并没与因此而陨落，也迅速推出了杀毒软件。并在1999年CIH病毒席卷中国的时候，率先推出了查杀工具，一度夺回失地。
在当时，杀毒软件一套可以卖到198元，当时的大型游戏（4张光盘）也仅售64元，极大的利润也吸引着新的对手的进入。
2000年左右，雷军携研发三年之久的金山毒霸也杀入这一市场，用相对极低的价格吸引着用户，由于普通的用户并不能区分杀毒软件的区别。于是，付费杀毒软件市场陷入了一场持续的价格战。
在那个时代，国内的金山、瑞星、江民，国外的卡巴斯基、NOD32、麦咖啡、诺顿等杀毒软件你方唱罢我登场，为中国早期互联网用户留下了一段回忆。
但在价格战背后，杀毒软件的研发成本与维护成本其实十分高昂。虽然在后期技术演进上逐渐升级，但在早期杀毒软件与病毒之间就是一场纯粹的「消耗战」。基本的工作流程是，杀毒软件公司嗅探新病毒、编写针对新病毒的识别特征库、将特征库推送到用户安装的杀毒软件本地、最终对病毒进行查杀。
据报道，全球2003年一年新增的病毒约为3万个。但到了2009年，一年新增的病毒数量高达2000万。因此，杀毒软件的商业模式逐渐从一次性售卖，转向病毒库更新订阅。但随着价格战的白热化，杀毒软件的商业模式发生了质变。
收费模式的余晖：360的杀入
2008年7月17日下午，还在打着价格战的杀毒软件江湖出现了一个外来者_奇虎360。不管前几家如何打着价格战，但是总还有一个底线，就是用户始终是要付费的，而此时的这个入场者却使用了一个当时看来不可思议的奇招。
它首先宣布自己的杀毒软件本身对用户永久免费，其后又瞄准了当时的软件下载分发。这里需要解释一下，在之前之所以很多用户很容易中毒，和当时的整体特殊环境是有密不可分的关系的——当时的用户普遍不了解如何找到官方下载链接，而提供下载服务的网站有的是通过弹窗广告来盈利，有的则就是直接在提供的下载软件中挂马，更有甚者就直接提供一个木马的可执行程序，将下载显示的名字改为你搜索的软件便提供下载，如此用户就非常容易中毒。
值此时机，360推出了自己的软件管家，收录了主要的软件的官方版本并提供更新。当然，这个服务也是免费的，无意间其实也打开了渠道分发这个商业模式的盒子。
拥有免费的管家+杀毒的360切到了当时 PC 用户的痛点，并迅速占领了半壁江山。在之前，几乎所有的杀毒软件产商都嘲笑并抗拒着这种免费的模式。因为正如前文所述，杀毒软件的研发与维护需要大量的持续投入。
然而没有想到的是，360通过流量模式这种「羊毛出在猪身上」的做法彻底占下了杀毒软件的市场。随着金山也在2010年11月宣布永久免费，曾经连续9年稳坐江湖头把交椅的瑞星也发现不对，并在2011年3月宣布个人安全产品免费，然而360的先发优势，在这一轮变革中坐稳了前排位置。
昔日的杀毒软件霸主已经退场，杀毒软件的直接付费模式也宣告落幕。
操作系统生产商的介入：后软件时代
2010年6月8日，随着乔布斯在 Moscone West 会展中心发布 iPhone 4，互联网也在走向2.0移动时代。
在杀毒软件主战场尘埃落定的同时，杀毒软件的产商也在纷纷思考如何推出移动时代的产品。
但在移动时代，杀毒软件行业迎来了一个降维打击的竞争对手——操作系统生产厂商。
移动操作系统不同传统 PC 操作系统，主流的 Android 和 iOS 都是相对封闭的体系，有自己的安全机制。即便是Android 操作系统，在不 root 操作系统的前提下，病毒也没有什么施展拳脚的空间。在系统层级，内置的安全机制解决了原本杀毒软件需要解决的大部分事情。
于是，各家的产商便将目光放到了软件管家、装机助手、内存优化这些领域。
在这个时期，在 PC 上失利的金山瞄上了性能优化——通过对 Android 排行榜前列的 App 进行逐个分析如何优化——推出了猎豹清理大师，据统计，猎豹清理大师的下载量在2015年便达到了20亿次，一举挽回了 PC 战场的颓势。
之前在 PC 杀软江湖凯歌高奏的360也把握住了机遇，顺势移植了渠道分发的思路，将自己的软件管家移植到了移动端，并也针对性的开发了些优化功能和小工具推出了自己的助手顺利占下了这个坑。
不过遗憾的是反观昔日的霸主瑞星却是完美的错过了这次风口，没有把握住转型移动的机遇，基本彻底退出了个人市场的争夺。
另一方面，PC端操作系统也在效仿移动操作系统，建立更为底层的安全机制。
2014年10月1日，微软在旧金山召开新品发布会，对外展示了新一代的操作系统 Windows 10，这个跳过了数字「9」的全新Windows里面内置了免费的杀毒软件 Windows Defender。
不用怀疑 Windows 做杀毒软件不专业，从世界权威测评机构 AV-TEST 的最近的几次认证中我们都可以看到4，Windows Defender 在保护性、运行速度以及易用性上都获得了极高的分数。
操作系统产商的介入让这场杀毒软件之战又进入了另一个时代，在众所周知的浏览器大战中，微软正是凭借着预装 IE 的模式取得了最后的胜利，而无广告、无弹窗并且和操作系统兼容更好的 Windows Defender 会否让大家开始不再加装杀毒软件呢？
另外，在 Windows 中的官方商店也会解决许多安全性的问题。用过苹果操作系统的用户可能都有一个感觉，在使用 macOS 的时候基本没考虑过要装一个杀毒软件，那么苹果是怎么做到这点的呢？
除了由于苹果的用户基数相对 Windows 较小，黑客没有创作Mac平台病毒的原动力之外。苹果的系统里面内置了 App Store（与iPhone上的类似），所有提交到上面的程序需要满足一定的设计规则，并通过苹果官方的审核。
其中很重要的就是包含了沙盒机制——应用程序对其他文件、程序的权限需要声明在一个文件里，程序只能在其声明的小范围里进行操作，而操作的行为将会在提交到 App Store 的时候经过严格的审核以保证用户从 App Store 下载的程序具备极强的安全性。
如果之后 Windows Store 也借鉴了该方式并且在渠道占有率上有一定份额之后，使用 Windows 的用户也会极大的降低中毒的风险，从而使得对杀毒软件的依赖再度下降。
未来
安全问题彻底解决了吗？
其实并没有。正如前文所说，如今的病毒已经不再是一个单纯的「技术问题」，而是它已经被杀毒软件和操作系统逼成了一个不纯粹是技术的问题。病毒的感染与运作方式也变得更为隐蔽、复杂和多样化。这使得数字安全的防护也变得超出「一个杀软」可以解决的范畴。
如今，在对网路安全需求较为强烈的公司或机构中，往往不止采购杀毒软件，同时会进行配套部署较为完善的信息安全解决方案。其中除了包含杀毒软件之外，还包括设备的使用规范、网络的接入方式和各类权限系统等等，以确保那些「没见过的病毒」也能在其被发现之前就拒之门外，这实际上与物理世界里的安保系统越来越相似。
而对于个人用户而言，除了使用更安全的操作系统（随时保持操作系统的更新）和安装免费的杀毒软件以拦截大多数的攻击之外。更重要的是需要保持在使用网络、计算机与手机上的安全意识。
比如：伴随网络病毒诞生以来的一句「亘古名言」是「不要随便打开来自网络的可疑文件」。
也许，因相信并遵从这句话而免于被攻击的用户，比历史上所有杀毒软件的用户加起来还要多。
–END–
参考文献：
[1]中华人民共和国中央人民政府.中华人民共和国计算机信息系统安全保护条例[OL].
[2]上海证券交易所.三六零安全科技股份有限公司2018年年度报告[OL].
[3]全国中小企业股份转让系统.北京瑞星网安技术股份有限公司2018年年度报告[OL].
[4]AVTEST.Thebest antivirus software for Windows Home User[OL].
作者：老木，TRI轻作者，公众号：腾讯研究院（ID：cyberlawrc）
来源：https://mp.weixin.qq.com/s/vKMwetErBgyYTNQPVdWNvw
题图来自Unsplash，基于CC0协议
从7月19日微软蓝屏事件想到的
微软蓝屏事件是一次严重的全球性服务中断，影响了多地的Windows系统用户，导致电脑出现蓝屏现象。这次事件与第三方安全软件CrowdStrike的更新有关，该更新导致了包括新西兰、澳大利亚、日本、印度等地区在内的Windows系统出现故障。微软也报告了Microsoft 365应用程序和服务的中断，影响了全球的企业和用户。包括特斯拉的自动化生产工厂。以及许多关键行业。例如，航空公司取消了航班，金融机构、铁路系统和证券交易所等也受到了波及。
类似的事件也发生过，句两个例子：
一、赛门铁克（Symantec）的诺顿杀毒软件（Norton Antivirus）在2007年发生了一起著名的误报事件，被称为“误杀门事件”。当时笔者就在这家公司供职。在这次事件中，诺顿杀毒软件错误地将Windows XP操作系统的netapi32.dll和lsasrc.dll文件判定为Backdoor.Haxdoor病毒，并进行了隔离，导致重启电脑后无法进入系统，并出现蓝屏、重启等现象，造成了大量的数据丢失和系统崩溃 。
这次误报主要影响了安装了MS06-070补丁的Windows XP简体中文版用户。赛门铁克在事件发生后迅速作出反应，于5月18日发布了LiveUpdate更新定义来更正这一问题，并提供了使用微软恢复控制台来恢复系统的解决方案 。此外，赛门铁克对由此给用户带来的不便深表歉意，但最初并未提及赔偿事宜 。
后续，赛门铁克公布了赔偿方案，为受影响的个人用户提供了额外12个月的许可证延长，并免费获赠诺顿储存还原大师2.0软件。受影响的企业级用户则根据受到影响的计算机数量享受Ghost解决方案套件授权许可 。
这次误报事件对赛门铁克的声誉和市场地位产生了一定影响，同时也给了国内杀毒软件厂商提供了机会，瑞星等公司迅速提出了解决诺顿错误的方案 。赛门铁克表示，此次误报是由自动化系统中的一个改动无意中引发的，公司已经采取了措施，以确保未来不再发生类似问题 。
二、在2010年4月，McAfee发生了一起误报事件，其杀毒软件错误地将Windows系统文件识别为病毒并进行了隔离或删除。这次误报主要影响了使用Windows XP Service Pack 3的用户，导致系统稳定性和可用性受到了影响。McAfee迅速对此问题做出了反应，并在发现问题后不久就从所有下载服务器中删除了存在缺陷的更新，以防止进一步的影响。McAfee团队还发布了更新的病毒定义文件(5959)，并为受影响的用户提供指南以帮助修复系统。McAfee为此向客户表示了歉意，并承诺采取措施防止类似事件再次发生。
这次误报事件中，McAfee识别到的威胁是w32/wecorl.a，这是一个Downloader威胁，会利用微软漏洞(MS08)实施攻击。McAfee的评估逻辑不够严密，导致了误报。为了恢复系统，McAfee建议用户以安全模式启动系统，并使用Extra DAT进行恢复，具体步骤包括将Extra DAT复制到McAfee的特定目录下，以及通过VSE控制台的隔离管理器恢复被隔离的系统文件。
这次虽然还有很多云服务商受到影响，这在以前是没有的。虽然表面上看，这类风险很容易避免，只要做合适的病毒库指纹检查，就能避免新生成的病毒库恰巧和系统文件的指纹重复，防止造成防病毒软件误杀系统文件。
但既然人为可以控制，那么这完全可以当做是战备演练。本次演练是微软系的系统和用户遭受了损失。但是如果将指纹改成别的，植入适当库中，其他操作系统、甚至个地域的系统，完全可以变成袭击目标。因为这不是操作系统的漏洞，是正常使用防毒软件的系统，正常导入了新的病毒库，造成了死机。
我们的防毒厂商要和其他系统、软件、工具厂商密切配合，找到一个【万无一失、滴水不漏】的方案，避免类似事件的发生。不然对手是不会白做这种演练的。
也提醒我们不仅会利用云服务商提供的算力，也要考虑到其失效的可能性。在本地建立适当的备份系统，日常支持办公，关键时刻，支撑核心生产。虽然不能避免全部损失，但最核心的算力损失减少，意味着日后能更快恢复。
相关问答
感染型病毒 win32 /trojan.spy.6da怎么办啊?删不掉啊!!!哭!-ZO...一般的杀毒软件都可以处理掉,如果不放心的话,就换装个卡巴斯基或者AVAST,然后在安全模式下全盘杀一下。有用(0)回复FANLINLIN1225建议楼主下载安装腾讯电脑...
诺顿 可以卸载吗-ZOL问答卸载方法:打开“控制面板”》》》添加删除程序》》》找到诺顿卸载。一般笔记本买的时候商家都会给您装杀毒软件,如果您觉得不好,可以直接卸载,不会对系统产生影...
诺顿杀毒软件 怎么样?诺顿杀毒软件是Symantec公司个人信息安全产品之一,亦是一个广泛被应用的反病毒程序。该项产品发展至今,除了原有的防毒外,还有防间谍等网络安全风险的功能。...
谁有 诺顿杀毒软件 免费版?[最佳回答]诺顿企业版不错,监控很强悍,杀毒性能也不错,世界第5的杀毒软件,使用很方便,可以无限升级使用,我是开网站的,一直在用,没有中过毒,推荐楼主选用。免...
怎样暂时关闭 诺顿杀毒软件 - 懂得暂时关闭杀毒软件方式右键底部菜单栏中的诺顿图标,点击“禁用智能防火墙”、“禁用自动防护”即可,点击这两个菜单项时,会让你选择禁用的时间,根据...
win 32 .Trojan.Agent.cbih是什么病毒?开机时出现提示?win32/trojan.e6d是什么冲击波病毒,他可以修改注册表,实现开机自启,感染此种病毒后会无法使用ghost软件恢复操作系统,并导致死机。解决方法:1、安装腾讯电...
哪里可以 下载 免费 杀毒软件 (正版的) - sorryyuetea 的回答 - 懂得正版原程序:朝华·安博士(VirusClean)是朝华软件应用服务有限公司与韩国安博士有限公司联合开发的针对Win9X/Me/2000Professional/XP客户端专用的计...
下载 了一个传奇私服, 杀毒软件 提示为病毒自动删除了,怎么设置啊?我用的 诺顿 ?您好,诺顿是一款对病毒定义非常严格的安全软件,如果您非常信任您所下载的程序为安全,您可以做如下操作:1.打开NIS主页面,选择设置;2.在“电脑”选项卡下...
如何清除此木马病毒:C:WINDOWSSYSTEM 32 NMGAMEXILOBBYILOBBY.exe?http://www.gougou.com/search?search=Auto%E7%97%85%E6%AF%92&id=3下载解压后扫一下即可3.解除U盘锁定状态,解决拔出时无法停止设备...
rootkit.win 32 .hplocker.78是什么?rootkit.win32.hplocker.78是盗取个人信息的木马病毒。解决方法如下:1.重启电脑按F8进入安全模式下,使用腾讯电脑管家杀毒软件即可;2.也可以使用其他的杀毒...