设为首页|收藏本站|
发帖
登录 注册
西兔生活网 › 华人生活 › 唐人街茶馆 › 流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 ...
回复 发帖
12下一页
返回列表 发新帖
开启左侧

[闲聊] 流氓软件传播病毒感染量数万 下载站仍是主要推广渠道

[复制链接]
13386 11
呢喃520 发表于 2022-4-20 13:44:20 | 只看该作者 打印 上一主题 下一主题
 
近期，火绒安全实验室根据用户反馈，发现一款名为“拉法日历”的病毒正在通过21压缩软件进行大肆传播，目前感染量达数万台。该病毒被植入终端后，会通过下载执行恶意驱动模块的方式，向用户实施捆绑安装、广告弹窗等恶意行为，严重威胁用户的信息安全。值得注意的是，该病毒仍在持续更新中，不排除后续下发新的恶意模块，添加新的恶意功能。目前，火绒安全软件已对该病毒进行拦截查杀。

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第1张图片

火绒查杀图

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第2张图片

21压缩下载界面

火绒安全实验室分析溯源发现，该病毒会伪装成一款名为“拉法日历”的程序。当用户运行该程序后，病毒会通过C&C服务器接收并执行病毒作者下发的各类指令，包括下载恶意模块，搜集用户访问的web站点信息，甚至具备恶意代理功能，可控制用户电脑作为流量跳板，使用户电脑成为黑客的代理服务器。同时，会在后台静默安装大量软件，造成电脑卡顿，还会定期弹出广告窗口。病毒恶意行为执行流程图，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第3张图片

病毒恶意行为执行流程图

今年315晚会，央视曝光了下载站的诸多乱象，如强制弹出、捆绑安装、诱骗下载等。火绒安全实验室近年来也在持续对下载站乱象进行关注，并曾多次曝光过病毒借助下载站传播的事件，由此可见下载站也已经成为病毒的主要传播渠道。
对此，火绒安全再次提醒广大用户，下载软件请通过官方网站；如必须使用某些不明程序，可以提前开启安全软件进行扫描、查杀，或者前往火绒官方论坛求助，确保文件、程序安全后再运行，以免遭遇风险。
一、详细分析

“拉法日历”主程序

“拉法日历”主程序名为LFCalendar.exe，但其本身不具有日历相关软件功能，主要功能是加载恶意驱动模块。首先从可执行文件资源中解密释放恶意驱动文件，之后为恶意驱动创建启动项。相关代码，如下图所示：  

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第4张图片

获取驱动文件

创建恶意驱动启动项，相关代码，如下图所示：  

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第5张图片

创建恶意驱动启动项

恶意驱动主模块

udwnapi.sys为恶意驱动主模块，根据C&C服务器下发的恶意配置信息下载执行其他恶意驱动模块。该病毒可以将受害者进行分类，针对不同的受害者下发不同的恶意配置信息。
从C&C服务器获取恶意配置信息，相关代码，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第6张图片

从C&C服务器获取恶意配置信息

接收到的恶意配置信息，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第7张图片

接收到的恶意配置信息

根据C&C服务器下发的配置信息，下载执行其他恶意驱动模块。相关代码，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第8张图片

根据C&C服务器下发的配置信息下载执行其他恶意驱动模块

内存映射执行恶意驱动模块。相关代码，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第9张图片

内存映射恶意驱动模块

恶意驱动过滤模块

该病毒会通过网络过滤驱动收集受害者访问的网址信息，当驱动检测到用户访问特定的站点时，即会弹出广告网页，被检测的网址包括：http://www.bAIdu.com 等。该病毒使用两种方式来判断是否弹出广告网页，第一种方式是在本地根据C&C服务器下发的规则进行判断；第二种则会将用户访问的网址信息发送给C&C服务器，由 C&C服务器决定是否执行弹出广告网页的代码逻辑。由于所有用户访问的网址信息均会被上传至病毒服务器中，导致中毒用户的信息安全可能会受到不同程度侵害。
由C&C服务器判断是否弹出广告（pop.sys）
记录受害者访问的web网址，相关代码，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第10张图片

记录受害者访问的web网址

将网址发送给C&C服务器，等待服务器返回响应结果后，将相关信息插入等待列表中。相关代码，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第11张图片

向C&C服务器发访问网址数据

本地判断是否弹出广告（homepop.sys）

C&C服务器下发的本地网址过滤规则，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第12张图片

C&C服务器下发的的本地网址过滤规则

当网络过滤驱动检测到访问特定的网址时，将相关信息插入等待列表中，相关代码，如下图所示：  

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第13张图片

检测受害者访问特定的网址

弹出广告网页（ExpFc64.dll）

推广模块会获取等待列表，并弹出广告。相关代码，如下图所示：  

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第14张图片

弹出广告网页代码

火绒剑检测到的行为信息，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第15张图片

火绒剑检测到的行为信息

恶意驱动代理模块

proxy.sys驱动代理模块，会使受害者终端成为黑客的代理服务器资源，来转发C&C服务器下发的的网络请求。恶意代理功能执行流程，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第16张图片

恶意代理功能执行流程

转发逻辑代码，如下图所示：  

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第17张图片

转发逻辑代码

恶意推广模块

ExpFc.dll作为恶意推广模块，具有多种恶意推广手段，如：后台静默推广软件、弹出广告网页、弹出广告窗口、劫持相关网页等恶意行为。dll.sys驱动会将恶意代码注入Explorer进程中执行恶意行为，以提高相关病毒模块的隐蔽性。
注入Explorer

恶意驱动dll.sys通过HOOK  TranslateMessage函数来执行Shellcode，相关代码，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第18张图片

HOOK TranslateMessage函数

Shellcode会将恶意推广模块内存映射进Explorer进程内存中，相关代码，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第19张图片

Shellcode代码

恶意推广行为

弹出广告网页相关代码，如下图所示：  

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第20张图片

弹出广告网页

后台静默安装推广软件，相关代码，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第21张图片

后台静默安装推广软件

火绒拦截到的软件安装行为，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第22张图片

火绒拦截到的软件安装行为

弹出广告窗口，相关代码，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第23张图片

弹出广告窗口代码

二、溯源分析

火绒工程师通过对“拉法日历“进行溯源分析，发现该程序以静默安装包的形式被推广到用户电脑上，在用户并不知情的情况下被安装上，该安装包的数字签名是上海九罗网络科技有限公司，相关信息，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第24张图片

拉法日历数字签名

对上海九罗网络科技有限公司进行溯源，产权信息，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第25张图片

上海九罗网络科技有限公司产权信息

在分析过程中，火绒工程师发现21压缩软件会推广此病毒程序，21压缩数字签名如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第26张图片

21压缩数字签名

对重庆智领云英教育科技有限公司进行溯源，确认21压缩为该公司所开发软件，产权信息，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第27张图片

重庆智领云英教育科技有限公司产权信息

对21压缩进行溯源发现21压缩由第三方下载站和高速下载器进行传播，虽然推广21压缩的高速下载器已经全部下架，但第三方下载站还存在大量21压缩相关软件。百度搜索“21压缩”，可以看到不同下载站关于21压缩的软件下载链接。相关信息，如下图所示：

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第28张图片

百度搜索结果

三、附录       

C&C服务器:

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第29张图片

SHA256:

流氓软件传播病毒感染量数万 下载站仍是主要推广渠道 第30张图片


上一篇：土猪认养放养，不再吃饲料猪，送你一个农场要吗？
下一篇：还在吃饲料猪?大家都在农村认养放养的了
标签：教育安装
@
免
责
声
明
1.西兔生活网 CTLIVES 内容全部来自网络;
2.版权归原网站或原作者所有;
3.内容与本站立场无关;
4.若涉及侵权或有疑义，请点击“举报”按钮，其他联系方式或无法及时处理。
举报

关联主题
回复

使用道具 举报

 

精彩评论11

正序浏览
跳转到指定楼层
沙发
ZHMGW88 发表于 2022-4-20 13:45:06 | 只看该作者
 
没人的吗？[思考]
回复 支持 反对

使用道具 举报

 
板凳
海尔手机专卖 发表于 2022-4-20 13:46:05 | 只看该作者
 
留名
回复 支持 反对

使用道具 举报

 
地板
遥望星空q 发表于 2022-4-20 13:46:25 | 只看该作者
 
顶火绒。汪汪汪
回复 支持 反对

使用道具 举报

 
5#
happyguy 发表于 2022-4-20 13:46:40 | 只看该作者
 
留名
回复 支持 反对

使用道具 举报

 
6#
随风随和718 发表于 2022-4-20 13:47:05 | 只看该作者
 
听说，很多病毒是杀毒软件公司故意放出来的。
回复 支持 反对

使用道具 举报

 
7#
Jebedish 发表于 2022-4-20 13:47:59 | 只看该作者
 
干杯
回复 支持 反对

使用道具 举报

 
8#
谁懂我心。 发表于 2022-4-20 13:48:19 | 只看该作者
 
很可能是付费杀软时代的流言。
回复 支持 反对

使用道具 举报

 
9#
故园２３ 发表于 2022-4-20 13:48:41 | 只看该作者
 
假装我看懂了[飙泪笑][飙泪笑][飙泪笑]
回复 支持 反对

使用道具 举报

 
10#
晃晃2003 发表于 2022-4-20 13:48:54 | 只看该作者
 
能做出这样东西的人也挺厉害了
回复 支持 反对

使用道具 举报

 
下一页 »
12下一页
返回列表
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

呢喃520白金会员

0关注

8粉丝

450帖子

热门图文
热门帖子
排行榜
  • 日
  • 周
  • 月
活跃网友
返回顶部快速回复上一主题下一主题返回列表APP下载手机访问
Copyright © 2016-2028 CTLIVES.COM All Rights Reserved.  西兔生活网  小黑屋| GMT+8, 2024-5-10 06:28