社区应用 最新帖子 精华区 社区服务 会员列表 统计排行
  • 1013阅读
  • 2回复

[分享]流氓软件传播病毒感染量数万 下载站仍是主要推广渠道

楼层直达
z3960 
级别: FLY版主
发帖
644979
飞翔币
167355
威望
214917
飞扬币
1678181
信誉值
8

[font=-apple-system, BlinkMacSystemFont, &quot][size=; font-size: 12pt,12pt]近期,火绒安全实验室根据用户反馈,发现一款名为“拉法日历”的病毒正在通过21压缩软件进行大肆传播,目前感染量达数万台。该病毒被植入终端后,会通过下载执行恶意驱动模块的方式,向用户实施捆绑安装、广告弹窗等恶意行为,严重威胁用户的信息安全。值得注意的是,该病毒仍在持续更新中,不排除后续下发新的恶意模块,添加新的恶意功能。目前,火绒安全软件已对该病毒进行拦截查杀。
[font=&amp][size=; font-size: 11pt,11pt][font=&amp][size=; font-size: 11pt,11pt] [size=; font-size: 16pt,16pt]                              
[font=&amp][size=; font-size: 11pt,11pt]火绒查杀图
[font=&amp][size=; font-size: 11pt,11pt]
[size=; font-size: 16pt,16pt][font=&amp][size=; font-size: 11pt,11pt]21[font=&amp][size=; font-size: 11pt,11pt]压缩下载界面[font=&amp][size=; font-size: 11pt,11pt]
[font=&amp][size=; font-size: 12pt,12pt]火绒安全实验室分析溯源发现,该病毒会伪装成一款名为“拉法日历”的程序。当用户运行该程序后,病毒会通过C&C服务器接收并执行病毒作者下发的各类指令,包括下载恶意模块,搜集用户访问的web站点信息,甚至具备恶意代{过}{滤}理功能,可控制用户电脑作为流量跳板,使用户电脑成为黑客的代{过}{滤}理服务器。同时,会在后台静默安装大量软件,造成电脑卡顿,还会定期弹出广告窗口。病毒恶意行为执行流程图,如下图所示:
[font=&amp][size=; font-size: 12pt,12pt]
[font=&amp][size=; font-size: 12pt,12pt][font=&amp][size=; font-size: 12pt,12pt]今年315晚会,央视曝光了下载站的诸多乱象,如强制弹出、捆绑安装、诱骗下载等。火绒安全实验室近年来也在持续对下载站乱象进行关注,并曾多次曝光过病毒借助下载站传播的事件,由此可见下载站也已经成为病毒的主要传播渠道。
[font=&amp][size=; font-size: 12pt,12pt]
[font=&amp][size=; font-size: 12pt,12pt][font=&amp][size=; font-size: 12pt,12pt]对此,火绒安全再次提醒广大用户,下载软件请通过官方网站;如必须使用某些不明程序,可以提前开启安全软件进行扫描、查杀,或者前往火绒官方论坛求助,确保文件、程序安全后再运行,以免遭遇风险。
一、详细分析
“拉法日历”主程序
“拉法日历”主程序名为LFCalendar.exe,但其本身不具有日历相关软件功能,主要功能是加载恶意驱动模块。[font=&amp]首先从可执行文件资源中解密释放恶意驱动文件,之后为恶意驱动创建启动项。相关代码,如下图所示:
[font=&amp][font=&amp]
[font=&amp]获取驱动文件[font=&amp]创建恶意驱动启动项,相关代码,如下图所示:
[font=&amp][font=&amp]
创建恶意驱动启动项
恶意驱动主模块
[font=&amp]udwnapi.sys为恶意驱动主模块,根据C&C服务器下发的恶意配置信息下载执行其他恶意驱动模块。该病毒可以将受害者进行分类,针对不同的受害者下发不同的恶意配置信息。从C&C服务器获取恶意配置信息,相关代码,如下图所示:
[font=&amp]
[font=&amp]从C&C服务器获取恶意配置信息
[font=&amp]
接收到的恶意配置信息,如下图所示:
[font=&amp]
[font=&amp]接收到的恶意配置信息
根据C&C服务器下发的配置信息,[font=&amp]下载执行其他恶意驱动模块。相关代码,如下图所示:
[font=&amp]
根据C&C服务器下发的配置信息下载执行其他恶意驱动模块
内存映射执行恶意驱动模块。相关代码,如下图所示:
[font=&amp]
内存映射恶意驱动模块
恶意驱动过滤模块
该病毒会通过网络过滤驱动收集受害者访问的网址信息,当驱动检测到用户访问特定的站点时,即会弹出广告网页,被检测的网址包括:[font=&amp]www.baidu.com 等。该病毒使用两种方式来判断是否弹出广告网页,第一种方式是在本地根据C&C服务器下发的规则进行判断;第二种则会将用户访问的网址信息发送给C&C服务器,由C&C服务器决定是否执行弹出广告网页的代码逻辑。由于所有用户访问的网址信息均会被上传至病毒服务器中,导致中毒用户的信息安全可能会受到不同程度侵害。
[font=&amp]由C&C服务器判断是否弹出广告(pop.sys)
[font=&amp]
记录受害者访问的web网址,相关代码,如下图所示:
[font=&amp]
记录受害者访问的web网址
将网址发送给C&C服务器,等待服务器返回响应结果后,将相关信息插入等待列表中。相关代码,如下图所示:
[font=&amp][font=&amp]向C&C服务器发访问网址数据
[font=&amp]本地判断是否弹出广告(homepop.sys)
[font=&amp]C&C[font=&amp]服务器下发的本地网址过滤规则,如下图所示:
[font=&amp][font=&amp]C&C[font=&amp]服务器下发的的本地网址
过滤规则[font=&amp]当网络过滤驱动检测到访问特定的网址时,将相关信息插入等待列表中,相关代码,如下图所示:
[font=&amp][font=&amp]
[font=&amp]检测受害者访问特定的网址[font=&amp]
[font=&amp]弹出广告网页(ExpFc64.dll)
[font=&amp]
推广模块会获取等待列表,并弹出广告。相关代码,如下图所示:
[font=&amp]   [font=&amp]
弹出广告网页代码
火绒剑检测到的行为信息,如下图所示:
[font=&amp]
[font=&amp]火绒剑检测到的行为信息
恶意驱动代{过}{滤}理模块
[font=&amp]proxy.sys[font=&amp]驱动代{过}{滤}理模块,会使受害者终端成为黑客的代{过}{滤}理服务器资源,来转发C&C服务器下发的的网络请求。恶意代{过}{滤}理功能执行流程,如下图所示:
[font=&amp]
[font=&amp]恶意代{过}{滤}理功能执行流程[font=&amp]
转发逻辑代码,如下图所示:
[font=&amp]  
[font=&amp][font=&amp]转发逻辑代码
恶意推广模块
[font=&amp]ExpFc.dll[font=&amp]作为恶意推广模块,具有多种恶意推广手段,如:后台静默推广软件、弹出广告网页、弹出广告窗口、劫持相关网页等恶意行为。dll.sys驱动会将恶意代码注入Explorer进程中执行恶意行为,以提高相关病毒模块的隐蔽性。
注入Explorer
[font=&amp]
恶意驱动dll.sys通过HOOK  TranslateMessage函数来执行Shellcode,相关代码,如下图所示:
[font=&amp]HOOK TranslateMessage函数
[font=&amp]Shellcode[font=&amp]会将恶意推广模块内存映射进Explorer进程内存中,相关代码,如下图所示:
[font=&amp]
Shellcode代码
恶意推广行为
[font=&amp]
弹出广告网页相关代码,如下图所示:
[font=&amp]   [font=&amp]
[font=&amp]弹出广告网页
后台静默安装推广软件,相关代码,如下图所示:
[font=&amp]
后台静默安装推广软件
火绒拦截到的软件安装行为,如下图所示:
[font=&amp]
[font=&amp]火绒拦截到的软件安装行为
弹出广告窗口,[font=&amp]相关代码,如下图所示:
[font=&amp]
弹出广告窗口代码
[font=&amp]二、[font=&amp]溯源分析
[font=&amp]
火绒工程师通过对“拉法日历“进行溯源分析,发现该程序以静默安装包的形式被推广到用户电脑上,在用户并不知情的情况下被安装上,该安装包的数字签名是上海九罗网络科技有限公司,相关信息,如下图所示:
[font=&amp]
[font=&amp]拉法日历数字签名
对上海九罗网络科技有限公司进行溯源,产权信息,如下图所示:
[font=&amp]
[font=&amp]上海九罗网络科技有限公司产权信息
在分析过程中,火绒工程师发现21压缩软件会推广此病毒程序,21压缩数字签名如下图所示:
[font=&amp]
[font=&amp]21[font=&amp]压缩数字签名
对重庆智领云英教育科技有限公司进行溯源,确认21压缩为该公司所开发软件,产权信息,如下图所示:
[font=&amp]
[font=&amp]重庆智领云英教育科技有限公司产权信息
对21压缩进行溯源发现21压缩由第三方下载站和高速下载器进行传播,虽然推广21压缩的高速下载器已经全部下架,但第三方下载站还存在大量21压缩相关软件。百度搜索“21压缩”,可以看到不同下载站关于21压缩的软件下载链接。相关信息,如下图所示:
[font=&amp]
[font=&amp]百度搜索结果
[font=&amp]三、 [font=&amp]附录[font=&amp]  
[font=&amp]C&C[font=&amp]服务器
: [font=&amp]
SHA256:
[font=&amp]
关键词: 下载 软件
我不喜欢说话却每天说最多的话,我不喜欢笑却总笑个不停,身边的每个人都说我的生活好快乐,于是我也就认为自己真的快乐。可是为什么我会在一大群朋友中突然地就沉默,为什么在人群中看到个相似的背影就难过,看见秋天树木疯狂地掉叶子我就忘记了说话,看见天色渐晚路上暖黄色的灯火就忘记了自己原来的方向。
级别: 超级版主
发帖
714023
飞翔币
177908
威望
223888
飞扬币
1796738
信誉值
0

只看该作者 1 发表于: 05-16
来看一下
级别: 超级版主
发帖
714023
飞翔币
177908
威望
223888
飞扬币
1796738
信誉值
0

只看该作者 2 发表于: 05-16
不错,了解了