重磅，假冒 Google Chrome 安装程序（携带有效数字签名）劫持用户浏览器主页 - 〖系统安全〗

z3960

级别: 茶馆馆主

发帖: 770867

飞翔币: 207694

威望: 215657

飞扬币: 2511641

信誉值: 8

只看楼主更多操作 0 发表于: 2023-06-04

一、背景近日，在进行日常样本捕获过程当中发现一假冒的 Google Chrome 安装程序，携带“上海都点网络科技有限公司”有效数字签名，如下图所示：

该样本来源于某假冒 Google Chrome 下载的恶意网站（chrome[.]jshkck[.]cn），该网站为了躲避安全分析研究人员的分析，其加载的加密js r.js会使得浏览器的F12审查元素无法正常工作，如下图所示：

并且发现，如果将r.js进行阻断，或使用查看网页源代码的方式查看下载URL，得到的下载URL与直接下载得到的URL与文件名称并不相符，如下图所示（左图正常访问下载，中图阻断干扰调试的r.js进行下载，右图为网页源代码）：

可以显而易见地看到，只有正常下载时才会下载得到带有数字文件名称的恶意安装程序并且在无cookies的情况下，该链接无法被访问，如下图所示：

同时还发现每次下载时该链接与下载文件名称当中的数字不一定会相同，如下图所示：

测试时环境下三次下载得到的文件 Hash 值，如下图所示：

我们发现该网站被收录于Bing必应搜索当中，如下图所示：

二、样本行为运行样本后，程序会使用恶意拓展锁定 Microsoft edge 与 Google Chrome 的浏览器主页、新标签页和搜索跳转页面，如下图所示：

恶意拓展相关信息，如下图所示：

恶意拓展相关代码，如下图所示：

恶意程序释放恶意拓展与恶意模块部分过程，如下图所示：

该样本还存在复制cmd.exe执行行为的行为，尚不清楚作用是什么，存在较高的安全风险与安全隐患，如下图所示：

样本检出率仅1家，如下图所示：

我们发现了多个同源样本，如下图所示：

该家族样本使用多个恶意拓展与恶意模块，其网站对调试器进行干扰与欺骗，强制锁定用户浏览器主页、标签页、搜索结果页，用户很难手动改回，且对用户的其他浏览器进行同样的操作，已严重越界，手法与木马病毒无异。三、搜索引擎随机取样既然该网站收录于Bing必应搜索引擎，我们在该搜索引擎当中随机取样。当搜索“谷歌浏览器”为关键词时，页面顶端出现了许多广告，我们取其中某个广告（bb[.]yiliwl[.]top）与在广告下面的第一个搜索结果对象（chrome[.]xahuapu[.]net）进行下载，如下图所示：