Potplayer | 音乐 | MXPlayer | PDF | 看图 | OCR | 皮肤 | 壁纸 | 网络 | 搜狗 | 优化 | 浏览器 | 主题 | 下载 | 迅雷 | Android | office | 小说 | 度盘 | windows7

绕开北京等4城市,带毒激活工具感染近60万用户

2018.05.18 17:21:43  

​​​一、概述

近日,火绒安全团队发现,用户在知名下载站"系统之家"下载安装"小马激活"及"OFFICE2016"两款激活工具时,会被植入病毒"Justler",该病毒会劫持用户浏览器首页。病毒"Justler"作者极为谨慎,会刻意避开北京、厦门、深圳、泉州四个网络安全监察严格的地区的IP。除这几个地区以外的用户,下载到的软件均可能带毒。据"火绒威胁情报系统"监测和评估,截至目前,该病毒感染量已近60万。

三千院雨写真

病毒"Justler"通过知名下载站"系统之家"(xitongzhijia.net)传播。当用户试图下载"小马激活"及"OFFICE2016"两款激活工具时,"系统之家"会识别访问IP,当用户IP地址不属于北京、厦门、深圳、泉州四个地区时,则会跳转到被植入病毒代码的软件下载链接。

另外根据跳转链接域名,我们进一步发现了一个站点名同为"系统之家"(win.100ea.com)的网站。而该网站中提供的系统盘也同样携带病毒"Justler"。

一旦运行"小马激活工具"、"OFFICE 2016激活工具"安装包,病毒"Justler"也随之被激活。之后,该病毒将篡改被感染电脑的浏览器首页,劫持流量。

火绒安全团队发现,利用激活工具和系统盘进行传播病毒和流氓软件的现象有逐渐增多趋势。由于激活工具通常是装机后首先安装的软件,因此此类病毒和流氓软件利用介入时机更早的优势与安全软件进行对抗。

三千院雨写真

"火绒安全软件"最新版可拦截并查杀病毒"Justler"。对于已经感染该病毒的非火绒用户,可以下载使用"火绒专杀工具"彻底查杀该病毒。

二、样本分析

本次火绒所截获的病毒样本将自己伪装成了小马激活工具,在运行原版小马激活工具的同时,还会释放加载恶意驱动进行流量劫持。样本来源为名叫 "系统之家"的软件站(www.xitongzhijia.net),该站点在百度搜索"系统之家"后的搜索结果排名中居于首位,且被标注有"官网"标志。百度搜索"系统之家"后的搜索结果,如下图所示:

三千院雨写真

百度搜索结果

该站点主页页面,如下图所示:

三千院雨写真

站点页面

病毒将自己伪装成小马激活工具,病毒在运行首先会释放运行原始的小马激活工具,之后会释放加载病毒驱动进行流量劫持。病毒的下载页面(hxxp://www.xitongzhijia.net/soft/28841.html)会根据访问者IP的不同而变化,例如当访问用户的IP对应区域为北京时,下载地址链接,如下图红框所示:

三千院雨写真

病毒下载页面(北京IP访问)

但在我们使用HTTP代理访问后,下载地址链接出现了变化,变为了百度云盘下载。通过一段时间的测试我们发现,在使用HTTP代理的情况下,下载页面并不是每次都会显示百度云盘下载链接,病毒作者可能利用这种方式对抗安全厂商的样本收集。下载页面,如下图所示:

三千院雨写真

病毒下载页面(HTTP代理访问)

点击上图中的"百度云盘下载"链接后,页面会跳转至hxxp://go.100ea.com/oem9/down.html。该页面中包含的JavaScrIPt脚本可以根据用户的当前IP地址所属地域,跳转至不同的百度云盘地址。如果通过IP地域查询,获取到当前所属城市为北京、厦门、深圳或泉州,则会跳转到无毒版本小马激活工具的百度云盘下载页面;如果当前所属地为其他城市,则会跳转到带毒小马激活工具的下载地址。脚本内容,如下图所示:

三千院雨写真

跳转脚本内容

带毒小马激活样本由三层释放器构成,病毒整体结构如下图所示:

三千院雨写真

病毒整体结构

三层释放器中都带有检测安全软件的代码逻辑,如果检测到安全软件则会弹出提示"为了顺利激活系统,请先退出杀毒软件",最后退出执行。提示弹窗,如下图所示:

三千院雨写真

提示弹窗

相关代码,如下图所示:

三千院雨写真

相关代码

oem9.exe和uuu.exe代码逻辑大致相同,均是对原始PE映像解密后进行释放。以oem9.exe为例相关代码,如下图所示:

三千院雨写真

释放器代码逻辑

前两层释放器释放结束后会释放执行xxx.exe,xxx.exe资源"RES"中包含被加密的压缩数据,该资源起始处可以看到RAR标记,但是其实起始位置数据是用来迷惑分析人员的。相关资源数据,如下图所示:

三千院雨写真

RES资源其实位置内容

真正的压缩数据起始位置为该资源偏移为0x41BB0B(0x41BB0B = 0x41BF0B(传入参数) - 0x400)的位置,压缩数据被逐字节加0x62加密过,解密后可以得到原始7z压缩数据。相关代码,如下图所示:

三千院雨写真

压缩数据解密代码

将数据解压后我们得到了恶意驱动压缩包(解压后驱动名为jus3310s.sys)和原始的小马激活工具(ActE.exe),如下图所示:

三千院雨写真

解压后文件

在火绒虚拟行为沙盒中的运行情况,如下图所示:

三千院雨写真

虚拟行为沙盒运行情况

恶意驱动jus3310s.sys加载后,会注册映像加载回调劫持浏览器启动参数。当映像文件名为浏览器文件名时,恶意驱动会将浏览器启动参数劫持为如下网址。劫持所使用的网址,如下图所示:

三千院雨写真

劫持网址列表

受影响浏览器列表,如下图所示:

三千院雨写真

受影响的浏览器列表

恶意驱动首先会对加载映像的文件名进行检测,检查是否为浏览器文件名,之后对其父进程进行检测查看父进程是否为桌面进程(包括系统explorer、360桌面助手和360安全桌面),如果父进程是桌面进程则会对启动参数进行劫持。过滤浏览器进程相关代码,如下图所示:

三千院雨写真

过滤浏览器进程代码

检测父进程是否为桌面进程相关代码,如下图所示:
三千院雨写真

进程父进程代码

三、溯源分析

通过我们对下载到病毒的系统之家网站内容进行排查,我们发现类似的带毒激活工具并不只有一个。在该网站的软件总排行列表中,我们暂时发现带毒的激活工具共有两个,且通过百度云盘链接最终下载到的病毒程序也在不断更新,病毒行为也可能不断进行变化。网站软件总排行列表,如下图所示:

三千院雨写真

软件总排行列表

如上图,红框所示即为带毒的激活工具,两款激活工具排名非常靠前,排名分别在第五位和第六位,以此来诱骗用户进行下载执行。另一款带毒的激活工具最终所释放的恶意驱动(bus3310s.sys)与前文中所述恶意驱动(jus3310s.sys)具有很高的相似性,显然两个病毒样本出自同一病毒作者之手。同源代码,如下图所示:

三千院雨写真

同源代码

除此之外,通过搜索前文中提到包含跳转脚本的网址域名(hxxp://100ea.com),我们发现该域名还存在一个名为hxxp://win.100ea.com的子域名,该站点名同为"系统之家"。我们在该网站中下载的(hxxp://win.100ea.com/dngs64win10.html)系统盘镜像中也同样发现了同样的病毒样本,而且系统盘中的恶意驱动(yhxmabc.sys)样本哈希与前文中所述样本jus3310s.sys(x64)哈希相同,即该站点中的系统盘也同样包含有相同病毒。该网址页面,如下图所示:

三千院雨写真

win.100ea.com网站页面

带毒的系统盘下载页面,如下图所示:

三千院雨写真

带毒系统盘下载页面

样本哈希对比,如下图所示:

三千院雨写真

样本哈希对比

四、延伸样本分析

火绒近期发现,利用激活工具和系统盘进行传播的病毒和流氓软件有逐渐增多趋势,此类病毒和流氓软件利用介入时机更早的优势与安全软件进行对抗。此前在火绒发布的报告《"小马激活"病毒新变种分析报告》和《盗版用户面临的"APT攻击"风险》中,也对利用这两种方式进行传播的病毒样本进行过详细分析。除了上述样本外,火绒近期还截获了另一款利用系统盘途径进行传播流氓软件,该流氓软件会利用一键装机工具下载带有流氓软件系统镜像的方式进行传播。

现象

本次火绒截获到的流氓软件名为"主页守护神",会通过一款名为"云骑士装机大师"的一键装机工具下载带有流氓软件系统镜像,之后在本地对系统镜像进行安装从而达到传播目的。流氓软件运行后,除了首页锁定功能外还具有软件推送的功能,将来可能用于进行软件推广或者广告程序推广。经过火绒对"云骑士装机大师"软件的溯源分析,我们发现传播该流氓软件的一键装机工具数量众多。如下图所示:

三千院雨写真

传播该流氓软件的装机工具及官网网址

上述一键装机工具官网页面,如下图所示:

三千院雨写真

云骑士装机大师官网

上述装机工具在下载系统镜像时,会在同一服务器地址(hxxp://hsds.ruanjiandown.com)下载相同的gho文件至本地进行安装。在该系统镜像中,除了会预装流氓软件外,还会预装安全软件(360安全套装和QQ管家安全套装),由于这两款安全软件并不会检测该流氓软件,所以通过该装机工具安装系统的用户通常并不会知道系统已经被植入了流氓软件。"安全套装"选择窗口,如下图所示:

三千院雨写真

"安全套装"选择窗口

系统安装完成后,"主页守护神"会被安装到系统中的Program Files\PageGuard目录下。该流氓软件表面上的软件功能为主页保护,但在其软件代码中还包含有软件推送的相关代码逻辑。但截至到报告发布前,软件推送的相关配置暂时尚未设置软件推送数据,但不排除该流氓软件将来借助软件推送功能进行软件静默推广或广告程序推送的可能性。在双击运行该软件的主程序时,会弹出首页及默认浏览器的设置界面,但是该软件的自启动项中被设置了隐藏执行参数,自启运行时不会显示软件界面。软件界面,如下图所示:

三千院雨写真

"主页守护神"软件界面

该软件的启动项注册表,如下图所示:

三千院雨写真

启动项

该软件被安装后不会创建桌面快捷方式,在系统控制面板中也无法找到该软件的卸载项。该软件以隐藏方式启动后,如果运行软件推送逻辑,用户将很难对其软件推送行为有所察觉。

详细分析

在该软件安装目录中,存放有首页锁定功能的相关配置。配置信息,如下图所示:

三千院雨写真

劫持配置

首页锁定功能是通过PGFltMgr.sys(包含劫持与自保功能)和PGFltMgrLib.dll(与驱动进行通讯)来实现的,PGFltMgrLib.dll为ring3层调用PGFltMgr.sys驱动的唯一接口。在调用PGFltMgrLib.dll导出函数SetHomePageLockerW后,PGFltMgr.sys驱动的会在映像加载时,将BrowserInjectDll.dll注入到指定进程中。BrowserInjectDll.dll镜像内容可以通过远程服务器进行下载,现阶段其中代码会Hook GetCommandLineA和GetCommandLineW,最后通过篡改命令行参数达到首页锁定目的。PageGuard.exe中的首页锁定功能相关代码,如下图所示:

三千院雨写真

劫持功能相关代码

BrowserInjectDll.dll中的Hook代码,如下图所示:

三千院雨写真

Hook代码

除了首页锁定功能外,还会根据配置调用Downloader.exe利用迅雷的下载组件下载推送其他程序,但是相关功能配置暂时为空,暂时不会进行软件推送。软件推送配置文件内容,如下图所示:

三千院雨写真

软件推广配置信息

软件推送相关代码逻辑,如下图所示:

三千院雨写真

执行推送程序代码

三千院雨写真

软件推送下载代码

该流氓软件除了上述功能外,还有具有一定的自保能力,可以对与自身软件相关的启动项进行保护。被保护的键值包括:PageGuard主程序启动项、PageGuard服务启动项和IE首页项。相关代码,如下图所示:

三千院雨写真

注册表保护代码逻辑

五、附录

文中涉及样本SHA256:

三千院雨写真

​​​​​

👍 点 赞 支 持 一 下

相关推荐

发表评论

  1. 庄生梦蝶hjl 2018年06月22日 下午10:25  Δ11楼 回复
    Internet Explorer 11 Windows 10

    06年获得人生中第一台电脑【从没买过台式】,不到三月就遭遇了熊猫烧香。此后杀毒软件和官方镜像标准安装是我的基本标准,电脑里除了rar,7z和其它一些特殊解压工具是必备的,毕竟绝大多数有毒软件都是夹带模式,直接和原软件融合的少之又少

  2. guokr 2018年06月16日 下午8:28  Δ12楼 回复
    Chrome 67 Windows 10

    测试一下本地IP

  3. 泰森 2018年06月04日 上午7:55  Δ13楼 回复
    QQ浏览器 Windows 10

    幸亏在北京,楼上也是吧!病毒?
    清除不了?--@《火绒》
    重装总可以吧。
    ……%%%%最后问一下,有没有去掉。高速下载里面广告的方法?(除了安装火绒)难道用虚拟机?手机下载再传?

  4. 111111 2018年05月28日 上午7:50  Δ14楼 回复
    QQ浏览器 Windows 10

    已经开始使用正版

  5. 弟大活好 2018年05月21日 上午8:39  Δ15楼 回复
    Chrome 66 Windows 10

    网警介入,相关作案人员直接判刑。

 评论审核不过?点这里    

为你推荐

· 正 版 6折 IDM 下载神器

· 正 版 2折 Office 办公软件

· 正 版 2折 Windows10 操作系统

· 正 版 2折 WiseCare365 全能优化

· 正 版 5折 AdGuard 广告过滤神器

· 正 版 4折 白描 OCR文字识别

· 正 版 7折 MindMaster 思维导图

· 正 版 4折 DeepFreeze 冰点还原精灵

· 正 版 5折 Protected Folder 加密工具

本站声明

本站一贯非常高度重视知识产权保护并遵守中国各项知识产权法律、法规和具有约束力的规范性文件。重视官方原版,打击盗版。根据法律、法规和规范性文件要求,本站旨在保护权利人的合法权益的措施和步骤,当权利人发现在本站生成的链接所指向的第三方网页的内容侵犯其合法权益时,权利人应事先向本站发出"权利通知",本站将根据中国法律法规和政府规范性文件采取措施移除相关内容或链接。

本站尊重各网络文件的版权问题,所有软件文件均出自网络,所有提供下载的软件和资源均为软件或程序作者提供和网友推荐收集整理而来,仅供学习和研究使用。如有侵犯您的版权,请电邮我们,本站将立即改正。本站对互联网版权绝对支持。

访问本站的用户必须明白,本站对提供下载的软件等不拥有任何权利,其版权归该资源的合法拥有者所有。 

本站保证站内提供的所有可下载资源(软件等等)都是按“原样”提供,本站未做过任何改动;但本网站不保证本站提供的下载资源的准确性、安全性和完整性;同时本站也不承担用户因使用这些下载资源对自己和他人造成任何形式的损失或伤害。 

根据二00二年一月一日《软件保护条例》规定:为了学习和研究软件内含的设计思想和原1理,通过安装、显示、传输或者存储软件等方式使用软件的,可以不经软件著作权人许可,不向其支付报酬!鉴于此,也希望大家按此说明研究软件!谢谢!

不论何种情形我们都不对任何由于使用或无法使用本站提供的信息所造成的直接的、间接的、附带的、特殊的或余波所及的损失、灵失、债务或中断负任何责任﹝不论是可预见或是不可预见的,即使我们巳被告知这种可能性﹞。

未经本站的明确许可,任何人不得大量链接本站下载资源;不得复制或仿造本网站。本网站对其自行开发的或和他人共同开发的所有内容、技术手段和服务拥有全部知识产权,任何人不得侵害或破坏,也不得擅自使用。