Potplayer | 音乐 | MXPlayer | PDF | 看图 | OCR | 皮肤 | 壁纸 | 网络 | 搜狗 | 优化 | 浏览器 | 主题 | 下载 | 迅雷 | Android | office | 小说 | 度盘 | windows7

2345流氓软件把用户电脑变为挖矿肉鸡

2017.12.01 22:21:10   17,991   36

本文原标题:"2345联盟"通过流氓软件推广挖矿工具 用户电脑沦为"肉鸡",来自火绒实验室。

一、概述

12月1日,"火绒安全实验室"发出警报,一款名为"云计算"的软件,正通过各种流氓渠道大肆推广,该软件除了把用户电脑当"肉鸡"进行挖矿外,没有任何其他功能,是一种纯粹的挖矿工具(生产"零币")。而被植入"云计算"软件的电脑,则沦为挖矿的"肉鸡",大量系统资源被侵占,出现速度变慢、发热等异常现象。

"云计算"软件由2345公司旗下的"2345王牌技术员联盟"进行推广,众多流氓软件通过该"联盟"领取推广任务,利用各种手段在用户电脑上偷偷安装该软件,然后根据安装量领取相应的报酬。

根据"火绒威胁情报系统"的监控,参与推广"云计算"挖矿工具的流氓软件有:"云爱PE工具箱"、"凌哥绝地求生助手V1.1.0"、"美捷便签"、"swf播放精灵"、"美捷闹钟"等。这是一种常见的联盟式流氓推广渠道--任何流氓软件都可以参与进来,最终按照安装量从"联盟"领取报酬。

"云计算"挖矿工具使用了一些病毒团伙常用的开源恶意代码,被"火绒安全软件"直接拦截、查杀。这些恶意代码很早就被火绒团队截获、处理过,所有利用这些恶意代码的病毒和流氓软件,都会被火绒产品自动截杀。

请广大火绒用户放心,"火绒安全软件"无需升级,即可查杀"云计算"挖矿工具。非火绒用户,请立刻通过火绒官网下载产品,清除上述流氓软件和挖矿工具。

二、样本分析

近期,火绒发现一些流氓软件会静默推广"挖矿"程序挖取零币(ZCoin),该程序安装包来自2345官网(jifen.2345.com)下载的"云计算"安装包,且安装包带有2345官方签名。安装包文件信息,如下图所示:

用户安装2345流氓软件后电脑成为挖矿肉鸡

▲安装包文件信息

安装包释放的LoveCloud.exe为数字货币矿工程序,用于挖取零币。该程序中用户数据均为加密存放,在CRTInit中完成解密。代码如下图所示:

用户安装2345流氓软件后电脑成为挖矿肉鸡

如上图,加密数据偏移+4的位置存放有32位哈希值,用来进行数据校验。数据验证有效后,调用decrypt_data_by_xor进行抑或解密(key数据为0x78817433563212F9,解密后数据地址存放在miner_data_base,下文中不再赘述)。完成解密后数据,如下图所示:

用户安装2345流氓软件后电脑成为挖矿肉鸡

▲解密后数据

解密后数据中,存放有矿工用户名、密码及矿池地址等数据。矿工相关数据,如下图所示:

用户安装2345流氓软件后电脑成为挖矿肉鸡

▲矿工信息

使用矿工用户名和密码可以登录矿池领取任务,执行挖矿逻辑。如下图所示:

用户安装2345流氓软件后电脑成为挖矿肉鸡

▲登录矿池代码

当检测到当前计算机CPU个数大于2时,即会开启挖矿逻辑。如下图所示:

用户安装2345流氓软件后电脑成为挖矿肉鸡
▲代码逻辑

三、附录

文中涉及样本SHA256:
用户安装2345流氓软件后电脑成为挖矿肉鸡

老殁吐槽

2345的软件,老殁基本不会使用,其中的看图王也只能使用修改后的版版本。

当年上海瑞创的多特软件站就有涉足黑产作恶,好压一开始也是非常优秀的压缩软件,后来慢慢变质,2011年上海瑞创还因为侵权赔偿了微软3600万,后来2345通过网址导航和装机联盟推广,越做越大,现在的2345全家桶已经超越了当年的奇虎360,稳居国内流氓软件宝座。

殁漂遥shaoit.com

后来一直想居上的百度全家桶因为公司名声太大还会有点收敛,2345靠着众多的电脑维修店铺、电脑城装机人员,把2345网址导航和2345全家桶软件装到了用户电脑上,并且公司都弄上市了。

上市后的2345,生怕别人不知道自己是上市了,导出都是上市广告。

殁漂遥shaoit.com 殁漂遥shaoit.com

软件也改名成为各种王,还顺带推出了浏览器、输入法和安全软件。

殁漂遥shaoit.com

我觉得吧,大家心里应该都有数,我就不多言表了。

👍 点 赞 支 持 一 下

相关推荐

发表评论

  1. 2020年10月08日 下午4:25  Δ21楼 回复
    Chrome 79 Windows 8

    遥进不了北京的科技公司 被东北村袍嘲笑

  2. 小宮太一 2018年03月04日 下午4:38  Δ22楼 回复
    Chrome 55 Windows 10

    一直有在用看圖王,其餘的早就不用了

  3. 萝莉泡 2018年02月21日 下午10:28  Δ23楼 回复
    Safari 8 Mac OS X 10.10

    前两天去用了一下我叔的电脑卡爆了,然后查看任务管理器发现2345一直占用CPU,还是满负荷的,一气之下就开始卸载,愣是搞了半天,重启了几次才卸载完。然后电脑感觉又活过来了

  4. 2423432 2017年12月07日 下午5:04  Δ24楼 回复
    世界之窗 Windows 7

    强制锁浏览器主页,流氓行为

  5. 梧桐车队番薯酱 2017年12月05日 上午9:18  Δ25楼 回复
    Chrome 62 Windows 10

    用了几年好压和看图王了,广告全部能关掉,没出现什么挖矿啊,我刚才用火绒试了一下 没有什么问题!


    • 殁漂遥 2017年12月05日 下午12:33  ∇地下1层 回复
      Chrome 55 Windows 10

      挖矿不会让你看见,广告能关掉不敢苟同

    • ff 2017年12月05日 下午10:39  ∇地下1层 回复
      Firefox 57 Windows 10

      前两天放弃了好压跟看图王,你一个压缩软件跟看图软件居然要注册服务开机自启???


      • 殁漂遥 2017年12月06日 上午8:10  ∇地下2层 回复
        Chrome 55 Windows 10

        开机自启好激活其他东西顺带开机时把广告加载好

  6. 鱼刺 2017年12月03日 下午12:42  Δ26楼 回复
    Chrome 62 Windows 7

    从流氓始祖3721开始,顺带着对2345从来就未有过好感和使用欲,事实上也确实是个流氓。360、百度、腾讯,各种助手管家卫士一概不用。之前360国际版还不错,新版之后也弹广告了。

  7. Zothany 2017年12月03日 上午11:51  Δ27楼 回复
    Firefox 59 Android 7.0

    2345导航首页劫持至今不知道怎么去除

    • aiker 2018年01月20日 上午8:45  ∇地下1层 回复
      Chrome 63 Windows 10

      修改地址,找到火狐的打开应用程序,随便修改后,发送到桌面快捷方式,以后就点击桌面快捷方式打开

  8. 嘻哈仔 2017年12月02日 下午9:25  Δ28楼 回复
    Chrome 55 Windows 10

    用了几年好压和看图王了,广告全部能关掉,没出现什么挖矿啊,知道2345在返利推广,我神舟笔记本买回来就预装2345全家桶。

评论审核不过?点这里

为你推荐

· 正 版 6折 IDM 下载神器

· 正 版 2折 Office 办公软件

· 正 版 2折 Windows10 操作系统

· 正 版 2折 WiseCare365 全能优化

· 正 版 5折 AdGuard 广告过滤神器

· 正 版 4折 白描 OCR文字识别

· 正 版 7折 MindMaster 思维导图

· 正 版 4折 DeepFreeze 冰点还原精灵

· 正 版 5折 Protected Folder 加密工具

本站声明

本站一贯非常高度重视知识产权保护并遵守中国各项知识产权法律、法规和具有约束力的规范性文件。重视官方原版,打击盗版。根据法律、法规和规范性文件要求,本站旨在保护权利人的合法权益的措施和步骤,当权利人发现在本站生成的链接所指向的第三方网页的内容侵犯其合法权益时,权利人应事先向本站发出"权利通知",本站将根据中国法律法规和政府规范性文件采取措施移除相关内容或链接。

本站尊重各网络文件的版权问题,所有软件文件均出自网络,所有提供下载的软件和资源均为软件或程序作者提供和网友推荐收集整理而来,仅供学习和研究使用。如有侵犯您的版权,请电邮我们,本站将立即改正。本站对互联网版权绝对支持。

访问本站的用户必须明白,本站对提供下载的软件等不拥有任何权利,其版权归该资源的合法拥有者所有。 

本站保证站内提供的所有可下载资源(软件等等)都是按“原样”提供,本站未做过任何改动;但本网站不保证本站提供的下载资源的准确性、安全性和完整性;同时本站也不承担用户因使用这些下载资源对自己和他人造成任何形式的损失或伤害。 

根据二00二年一月一日《软件保护条例》规定:为了学习和研究软件内含的设计思想和原1理,通过安装、显示、传输或者存储软件等方式使用软件的,可以不经软件著作权人许可,不向其支付报酬!鉴于此,也希望大家按此说明研究软件!谢谢!

不论何种情形我们都不对任何由于使用或无法使用本站提供的信息所造成的直接的、间接的、附带的、特殊的或余波所及的损失、灵失、债务或中断负任何责任﹝不论是可预见或是不可预见的,即使我们巳被告知这种可能性﹞。

未经本站的明确许可,任何人不得大量链接本站下载资源;不得复制或仿造本网站。本网站对其自行开发的或和他人共同开发的所有内容、技术手段和服务拥有全部知识产权,任何人不得侵害或破坏,也不得擅自使用。