“净广大师”病毒HTTPS劫持深度分析

前些天，关于净广大师的丑闻闹的沸沸扬扬，火绒安全发现了净广大师的流氓行为并公布《“净广大师”病毒攻破HTTPS防线,劫持百度搜索流量牟利》，净广大师死不认账低级黑火绒流氓，虽然用过火绒的朋友都心知肚明，但是还是要深度分析一下净广大师的流氓行径，无论水军怎么瞎说，老殁只希望你安全。

有些朋友认为老殁发布净广大师丑闻的文章，是为了不让大家屏蔽shaoit.com的广告，老殁得告诉他，老殁发文的目的是提醒大家谨防净广大师毒害，并没有反对大家使用安全的广告过滤软件。

转《“净广大师”病毒HTTPS劫持技术深度分析》

分析报告下载：http://pan.baidu.com/s/1gfOai0V

一、背景

近期，火绒团队截获一个由商业软件携带的病毒，并以其载体命名为“净广大师”病毒。在目前广为流行的“流量劫持”类病毒中，该病毒策略高明、技术暴力，并攻破HTTPS的“金钟罩”，让百度等互联网厂商普遍使用的反劫持技术面临严峻挑战。且该病毒驱动在”净广大师“卸载后仍然会持续加载并劫持百度搜索流量，行为及其恶劣。

我们曾在此前报告（http://bbs.huorong.cn/thread-18766-1-1.html）中进行过病毒简述，本文中我们将对“净广大师”病毒进行详细分析。

二、样本分析

在“净广大师”安装过程中，我们注意到“AdAnti.exe”进程在系统驱动目录下释放了一个隐藏的文件名为“rtdxftex.sys”的驱动。如下图所示：

图2-2、病毒驱动文件

在病毒驱动加载后，通过提取内存字符串，我们获得到了更多与病毒相关的特征信息，而且这些特征在静态状态下是无法在病毒驱动文件中提取到的。如下图所示：

图2-4、病毒解密代码

根据其代码中的解密算法还原，我们可以解密出该驱动使用的一个病毒动态库和在其内部使用的一些关键的数据，如下图所示：

图2-6、病毒数据解密

通过对病毒驱动的分析，我们发现病毒会将其解密后的动态库通过APC注入的方式注入到“explorer.exe”进程中。如下图所示：

图2-8、APC注入代码（1）

图2-10、百度被病毒劫持

通过分析得知，该病毒是通过代理的方式，以中间人攻击的形式来劫持HTTPS流量。如下图所示，病毒驱动注入到explorer.exe进程的代码会监听10100端口。微博@老殁

图2-12、中间人攻击示意图

通过对该病毒注入explorer的动态库进行分析，发现在该动态库资源中，我们可以看到病毒”劫持”所用到的SSL证书。如下图所示：

图2-14、explorer.exe进程内存字符串

在将上述内存中的证书数据保存为证书文件后，将其与病毒劫持证书进行对比，两者的根证书与子证书完全一致。如下图所示：

图2-16、被劫持现场中显示的劫持证书（中为根证书、右为子证书）

三、同源性分析

通过在火绒样本管理平台中搜索“净广大师”病毒使用的百度计费ID“93718154_hao_pg”，我们得到了少量关联样本。如图所示：

图3-2、带有推广号“93718154_hao_pg”的病毒样本

通过分析，我们发现这些样本与之前截获的“净广大师“病毒样本具有极高的同源性，且火绒已全部检出。同时，我们也从VirusTotal上查到友商对该病毒的检出结果。如图所示：shaoit.com

图3-4、该病毒家族以往样本数据

通过上图我们可以看出，无论是病毒的数据特征，还是病毒工程的编译路径都显示该家族的所有病毒样本与“净广大师“病毒一样，都出自同一个人。根据我们收集到样本时间来看，近段时间以来该病毒正在不断地进行迭代更新。从最早期样本运行时会产生日志，再到后来使用多个推广计费号劫持百度搜索，到最后现在版本将病毒数据和病毒动态库以加密方式存放在驱动镜像中。随着病毒的不断迭代，病毒的复杂程度正在不断提升。

四、附录
文中涉及样本SHA1：wolege.com

“净广大师”病毒同源样本SHA1：shaoit.com

老殁结语

净广大师的流氓，火绒安全的干净纯粹，明白人自然都明白。
至于净广大师瞎黑火绒“偷偷下载手机助手、游戏”的公告，已经成为经典的二逼文案。