[交流]百度旗下网站暗藏恶意代码——劫持用户电脑疯狂“收割”流量

5.电商流量劫持：使用IE浏览器访问京东等电商网站时，先跳转到电商导流网站站，然后再跳转回该电商网站。

先跳转到电商导流网站妖猴网（http://www.xmonkey.com），再返回原购物网站之后，电商网站链接就加上了妖猴网的计费名，电商网站就会按照流量向妖猴网支付推广费用，妖猴网再向恶意代码制作者分钱。

该工作例程会判断启动进程是否需要注入，完整的注入列表如下：

如果满足注入条件，就会注入bime.dll（1.7.0.5）到指定进程。LcScience.sys实现了两种注入方式：一种通过patch系统动态库ntdll.dll的入口将动态库bime.dll注入到制定进程；另一种则是通过patch系统动态库ntdll.dll的NtTestAlert函数实现注入bime.dll到指定进程，相关代码如下图：

1.2        保护

WaNdFilter.sys（0.5.30.70）同LcScience.sys（0.4.0.130）都使用了注册表回调保护自己的注册表启动项不被删除，除此以外WaNdFilter.sys（0.5.30.70）还有两个保护点，如下图所示：

1）开机后执行HSoftDoloEx.exe，HSoftDoloEx.exe会向服务器[url]http://update.123juzi.net/update.php发送升级请求，每次请求返回的都不是最新版本，一般来说从下载器自带的0.2.0.1版本需要至少重启三次计算机 ，才可以更新到3.2.0.4版本。

1）开机后执行HSoftDoloEx.exe，HSoftDoloEx.exe会向服务器http://update.123juzi.net/update.php发送升级请求，每次请求返回的都不是最新版本，一般来说从下载器自带的0.2.0.1版本需要至少重启三次计算机 ，才可以更新到3.2.0.4版本。

2）除了HSoftDoloEx.exe会向服务器发送请求更新以外，3.2.0.4版的nvMultitask.exe中包含的1.7.0.5版的bime.dll ，会在注入系统进程Explorer.exe之后，也会向服务器[url]http://update.123juzi.net/ccl.php发送请求。

3）请求得到的数据是一段Base64编码后的字符串，解码后可以得到win_32_1.0.0.11.dat的下载地址后开始下载。这是一个新出现的恶意代码。

4）win_32_1.0.0.11.dat是加密的32位版本的svcprotect.dat（1.0.0.11）。

5）bime.dll解密后调用svcprotect.dat名为“Run”的导出函数，释放恶意代码“iexplorer_helper.dat” （5.0.0.1）

6）svcprotect.dat还会检查当前系统中是否存在“C:ProgramDatauserdatadata.dat”这个文件，如果不存在或者该文件最后写入时间距今相差30天以上，svcprotect.dat就会在“%HOMEPATH%AppDataRoaming{E233850D-5D6E-48E3-98B5-8049F7E9FC68}”目录中释放假iexplore.exe（1.5.9.1098）。“C:ProgramDatauserdatadata.dat”是一个0字节文件，会在svcprotect.dat第一次释放iexplore.exe后被svcprotect.dat创建。

svcprotect.dat释放的文件都包含在它的PE资源中，如图：

加载到explorer.exe中的svcprotect.dat会向服务器http://update.123juzi.net/getupfs2.php发送请求获取控制指令。

svcprotect.dat和C&C服务器通信流程如下表：

通过C&C服务器得到的JSON各键名含义：

在用户启动无命令行参数的浏览器快捷方式时，如果配置文件中对应的概率命中，则会添加带有自己计费号的百度搜索网址参数，如果启动的浏览器是系统IE，劫持网址就是带有计费号的hao123链接。针对360安全浏览器和360极速浏览器这种当启动参数为其他导航站时，就会跳转到[url=http://hao.360.cn/]http://hao.360.cn的浏览器，劫持网址就是带有计费号的百度搜索链接。

用户双击浏览器快捷方式（包括带网址参数和不带网址参数两种）或者通过explorer.exe直接启动时，如果“per”键值中的概率没有命中，则会继续使用“perie”键值中的概率进行第二次随机。如果命中第三方浏览器替换为系统IE。这种手法主要用于当第三方浏览器启动参数为hao123导航时，为了保住这些流量不会因为使用其他第三方浏览器而跳转到其他导航站（如：[url=http://hao.360.cn/]http://hao.360.cn），所以将第三方浏览器替换为系统IE，从而保护其固有流量。

因为当360安全浏览器和360极速浏览器的启动参数为[url=http://www.hao123.com/]http://www.hao123.com时，会默认打开http://hao.360.cn，所以为了更加彻底地劫持流量，svcprotect.dat中的恶意代码会将这两款浏览器替换为假IE，从而达到其劫持目的。除了启动后会默认打开hao123导航外，当假IE的启动参数为百度搜索时，其实际使用的计费号依然为自己的计费号（如下图，在访问网址时我们可以看到上述网址在浏览器标题栏中一闪而过）。

2）向C&C服务器发送获取控制指令，一共发送三个请求：

a)请求http://update.qyllq.net/test_json.php获取的云控指令，我们命名为hijack_cmd1。

b)请求http://api.qyllq.com/url_loc.php获取云控指令，我们命名为hijack_cmd2。

c)请求http://update.qyllq.com/tnpp.php获取云控指令，我们命名为hijack_cmd3。

3）内核态流量劫持模块

HSoftDoloEx.exe接收C&C服务器云控指令发送给MsVwmlbkgn.sys进行HTTP收发包的流量劫持。从C&C服务器接收到的云控指令包含了普通导航站的劫持和百度网盟广告的劫持。

在x64系统zethelpEx64.exe(3.2.0.3)负责发送云控指令给MsVwmlbkgn.sys。

内核态负责流量劫持的模块列表：

内核态负责流量劫持的云控指令文件:

3.1        云控指令获取

HSoftDoloEx.exe连接C&C服务器（http://update.qyllq.net）得到的加密的云控指令，解密后通过API函数DeviceIoControl，发送给设备“\.{D87A9329-ED85-49C3-A8D2-534474363333}”对应的驱动程序”MsVwmlbkgn.sys“。

HSoftDoloEx.exe通过C&C服务器获取运控制令流程：

指令B（iecompb.dat）

MsVwmlbkgn.sys是一个WFP驱动程序，该驱动会向WFP FWPM_LAYER_STREAM_V4和FWPM_LAYER_STREAM_V6注册Callout（我们标记为wfp_classify_callout）来分别过滤IPv4和IPv6的TCP数据流：

http_hijack函数中，根据HSoftDoloEx.exe接收C&C服务器云控指令对收发数据有选择地进行劫持，具体劫持流程如下：

如果请求的URL在C&C服务器返回的劫持列表中，接下来驱动还会对当前发起进程进行判断，最后再计算C&C服务器返回的对当前URL的劫持概率。

MsVwmlbkgn会保留请求包中原始”Host“地址，在地址前添加“http://”子串后进行base64编码，在编码后的字符串前添加"&s="，构成一个新的字符串，结果保存在url_from_http_get_request。恶意代码制造者会通过该字符串统计截取流量的来源。

以“http://hao.qq.com/ ”为例，转换后”&s=aHR0cDovL2hhby5xcS5jb20vIA==“，保存该字符串在对应的应答包中使用，用于服务器后台统计。

标记为“8”的劫持方式：

如果是方式“8”直接添加插入一个请求数据包，在”Host“地址后面修改推广号，具体实现在construct_send_hijack_packet中完成。

以用户访问“[url]http://hao.qq.com/ ”为例，经过内核态劫持后，真正的访问链接就变成了“https://www.hao123.com/?tn=70000 ... 2hhby5xcS5jb20vIA==”

3.3.3        百度网盟广告劫持

通过云控指令一节中可以看到，指令A中劫持的网站列表中绝大多数都是导航站，但是最后两个却是百度网盟的广告js脚本，劫持关系如下表：

用户访问有投放百度广告的网站时，恶意代码会劫持百度广告，具体流程如下：

1）http://cpro.baidustatic.com/cpro/ui/c.js和http://cpro.baidu.com/cpro/ui/c.js是用于展示从百度网盟获取广告的js脚本。

2）访问带有百度广告脚本的网站时，步骤1的“c.js”脚本被劫持替换成http://update.qyllq.net/r.php?c=30&v=3或http://update.qyllq.net/r.php?c=31&v=3。

3）步骤2的PHP页面会继续跳转到http://xz.mascldl.com/ifr/c3w.js，得到”c3w.js”脚本。

4）继续跳转到http://xz.mascldl.com/ifr/cw3.js，得到”cw3.js”脚本。

5）”cw3.js”脚本就是最终得到负责劫持的百度网盟广告的js脚本。

“cw3.js”脚本劫持百度网盟广告的流程如下：

1）首先拼接劫持到的目的网址，这些网址都是跳转链接：

五、附录

1.        恶意代码攻击时间线