搜索

[10911] 2017-01-09_流氓软件化身“卫士”，携带病毒对抗安全软件

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-01-09_流氓软件化身“卫士”，携带病毒对抗安全软件 流 氓 软 件 化 身 “ 卫 士 ” ， 携 带 病 毒 对 抗 安 全 软 件 火 绒 安 全   F r e e B u f   2 0 1 7 - 0 1 - 0 9 * 本 文 原 创 作 者 ： 火 绒 安 全 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 一 、 背 景 一 、 背 景   近 期 我 们 接 到 用 户 反 馈 。 刚 刚 装 好 的 系 统 无 法 安 装 火 绒 安 全 软 件 ， 表 现 为 ： 安 装 程 序 执 行 安 装 步 骤 到 一 半 的 时 候 ， 安 装 程 近 期 我 们 接 到 用 户 反 馈 。 刚 刚 装 好 的 系 统 无 法 安 装 火 绒 安 全 软 件 ， 表 现 为 ： 安 装 程 序 执 行 安 装 步 骤 到 一 半 的 时 候 ， 安 装 程 序 自 己 消 失 ， 除 此 以 外 浏 览 器 首 页 也 被 恶 意 篡 改 。 通 过 定 位 问 题 ， 我 们 在 用 户 计 算 机 上 提 取 了 和 中 毒 现 象 相 关 的 八 个 病 毒 序 自 己 消 失 ， 除 此 以 外 浏 览 器 首 页 也 被 恶 意 篡 改 。 通 过 定 位 问 题 ， 我 们 在 用 户 计 算 机 上 提 取 了 和 中 毒 现 象 相 关 的 八 个 病 毒 文 件 。 文 件 。 在 进 一 步 的 分 析 中 我 们 发 现 ， 提 取 的 文 件 是 一 组 病 毒 ， 并 且 和 两 个 叫 做 “ 卫 士 ” 的 软 件 有 关 联 ， 分 别 是 ： “ 浏 览 器 卫 士 ” 和 “ 铠 甲 卫 士 ” 。 这 个 发 现 并 不 让 我 们 感 到 意 外 ， 这 些 年 免 费 的 “ 卫 士 ” 类 软 件 不 断 出 现 ， 一 般 都 是 广 告 满 天 、 弹 窗 不 断 ， 浏 览 器 主 页 “ 被 ” 保 护 ， 当 然 这 些 都 是 “ 增 值 功 能 ” ， 大 多 还 是 有 安 全 防 护 能 力 的 。 但 是 今 天 这 两 个 ” 卫 士 “ ， 颠 覆 了 我 们 的 三 观 ： 打 着 卫 士 的 幌 子 ， 作 着 流 氓 的 生 意 ， 没 有 安 全 软 件 的 功 能 ， 却 屏 蔽 安 全 软 件 的 安 装 ， 和 真 正 危 害 计 算 机 安 全 的 病 毒 的 共 存 ， 所 谓 的 “ 卫 士 ” ， 最 主 要 的 功 能 除 了 锁 首 截 取 导 航 站 流 量 ， 下 载 推 广 软 件 。 二 、 病 毒 分 析 二 、 病 毒 分 析 中 毒 计 算 机 可 以 在 C : W I N D O W S s y s t e m 3 2 Q p r o t e c t 目 录 找 到 以 下 六 个 文 件 （ x 6 4 系 统 安 装 目 录 就 是 C : W i n d o w s S y s W O W 6 4 Q p r o t e c t 目 录 ） ： “ Q P r o t e c t . s y s 、 Q P r o t e c t 6 4 . s y s 、 s v c h o s t . e x e 、 Q P r o t e c t . d l l 、 Q P r o t e c t 6 4 . d l l 、 c s r s s . e x e ” 。 在 C : W i n d o w s S y s t e m 3 2 D r i v e r s 目 录 下 找 到 另 外 两 个 以 “ u s b ” 字 母 开 头 ， 文 件 名 称 随 机 的 驱 动 文 件 。 根 据 提 取 的 文 件 ， 我 们 在 火 绒 病 毒 实 验 室 复 现 了 用 户 现 场 。 Q p r o t e c t 文 件 夹 下 的 病 毒 文 件 名 相 似 ， 创 建 时 间 也 相 同 。 其 余 两 组 文 件 u s b 3 5 6 8 . s y s 、 u s b 7 9 7 0 1 . s y s 看 起 来 和 第 一 组 病 毒 没 有 太 大 关 系 。 但 是 这 些 病 毒 的 数 字 签 名 的 签 名 人 姓 名 一 致 ， 签 名 日 期 相 近 ， 很 可 能 是 由 一 个 病 毒 释 放 器 安 装 的 ， 如 图 2 - 1 ：
图 2 - 1 、 病 毒 文 件 数 字 签 名 一 致 中 毒 的 计 算 机 有 两 个 明 显 的 现 象 ： 安 全 软 件 无 法 安 装 ， 首 页 被 劫 持 。 除 此 之 外 还 有 一 个 不 太 容 易 注 意 到 的 问 题 ， 就 是 安 装 某 些 软 件 的 时 候 ， 启 动 的 安 装 程 序 并 不 是 用 户 自 己 下 载 的 。 按 照 现 象 我 们 分 为 三 组 ： 第 一 组 病 毒 的 负 责 替 换 用 户 下 载 的 常 见 软 件 安 装 包 ， 替 换 为 带 有 病 毒 作 者 推 广 信 息 的 安 装 包 ， 截 取 软 件 安 装 量 。 相 关 文 件 有 ： Q P r o t e c t . s y s 、 Q P r o t e c t 6 4 . s y s 、 s v c h o s t . e x e 、 Q P r o t e c t . d l l 、 Q P r o t e c t 6 4 . d l l 、 c s r s s . e x e 。 第 二 组 病 毒 , 只 有 u s b 3 5 6 8 . s y s 一 个 文 件 。 负 责 对 抗 安 全 软 件 ， 阻 止 安 全 软 件 进 入 中 毒 计 算 机 。 病 毒 文 件 名 很 可 能 会 有 不 同 变 化 ， 一 般 规 律 是 “ u s b “ 字 母 开 头 后 跟 4 位 数 字 。 第 三 组 文 件 也 只 有 一 个 “ u s b 7 9 7 0 1 . s y s ” ， 该 病 毒 文 件 名 称 也 是 随 机 ， u s b 字 母 开 头 后 跟 5 位 随 机 数 字 ， 负 责 对 抗 安 全 软 件 的 首 页 保 护 功 能 ， 截 取 浏 览 器 导 航 页 面 流 量 。 三 组 病 毒 按 照 功 能 ： “ 推 广 软 件 安 装 ” ， “ 阻 止 安 全 软 件 安 装 ” 和 “ 破 坏 安 全 软 件 功 能 ” 分 别 进 行 分 析 。 2 . 1 推 广 软 件 安 装 推 广 软 件 安 装 Q p r o t e c t 目 录 下 的 病 毒 是 第 一 组 。 c s r s s . e x e 这 个 文 件 是 整 组 程 序 的 主 模 块 。 它 接 受 一 个 参 数 “ / l o a d ” ， 添 加 该 参 数 启 动 后 ， c s r s s . e x e 会 执 行 以 下 流 程 ： 1 .   将 病 毒 从 任 意 目 录 复 制 到 C : W I N D O W S s y s t e m 3 2 Q p r o t e c t 目 录 下 ， x 6 4 系 统 安 装 目 录 就 是 C : W i n d o w s S y s W O W 6 4 Q p r o t e c t 。 2 . 加 载 驱 动 文 件 Q P r o t e c t . s y s ， x 6 4 下 是 Q p r o t e c t 6 4 . s y s 。 3 . 联 网 在 h x x p : / / b b u p . 2 0 1 0 6 1 . c o m 下 载 带 有 病 毒 作 者 推 广 信 息 的 安 装 包 到 % W i n d i r % Q h o t f i x 目 录 下 ， 如 图 2 - 2 ：
图 2 - 2 、 c s r s s . e x e 执 行 流 程 4 .       x 8 6 下 c s r s s . e x e 会 对 新 启 动 进 程 注 入 Q p r o t e c t . d l l ， x 6 4 位 程 序 由 s v c h o s t . e x e 负 责 注 入 。 Q p r o t e c t . d l l 、 Q p r o t e c t 6 4 . d l l 动 态 库 的 功 能 相 同 。 注 入 后 的 Q p r o t e c t 动 态 库 会 挂 钩 C r e a t e P r o c e s s I n t e r n a l W 系 统 函 数 ， 拦 截 被 注 入 进 程 启 动 的 程 序 。 如 图 2 - 3 ：
图 2 - 3 、 Q p r o t e c t 挂 钩 C r e a t e P r o c e s s I n t e r n a l W 系 统 函 数 以 Q p r o t e c t . d l l 注 入 资 源 管 理 器 （ e x p l o r e r . e x e ） 为 例 ， Q p r o t e c t . d l l 会 调 用 V e r Q u e r y V a l u e W 函 数 得 到 e x p l o r e r . e x e 欲 启 动 程 序 的 详 细 信 息 ， 调 用 证 书 相 关 A P I 得 到 启 动 程 序 的 签 名 信 息 ， 和 病 毒 内 置 的 推 广 软 件 安 装 包 信 息 进 行 对 比 。 如 果 e x p l o r e r . e x e 启 动 的 程 序 是 一 个 安 装 包 ， 并 且 在 病 毒 自 己 的 列 表 内 ， 就 会 启 动 % W i n d i r % Q h o t f i x 目 录 下 的 对 应 的 安 装 包 安 装 ， 以 Q Q 浏 览 器 为 例 ， 如 图 2 - 4 、 2 - 5 ：
图 2 - 4 、 用 户 下 载 的 Q Q 浏 览 器 和 e x p l o r e r . e x e 启 动 的 Q Q 浏 览 器 不 同
图 2 - 5 、 e x p l o r e r . e x e 启 动 的 Q Q 浏 览 器 这 些 安 装 包 都 包 含 有 渠 道 商 信 息 ， 如 果 不 使 用 监 控 工 具 ， 用 户 根 本 不 可 能 知 道 自 己 下 载 的 安 装 包 被 替 换 运 行 过 ， 通 过 此 方 法 可 以 悄 声 无 息 的 截 取 软 件 安 装 量 。 病 毒 内 完 整 功 能 的 推 广 列 表 如 下 （ 图 2 - 6 ） ：
图 2 - 6 、 提 取 病 毒 和 推 广 软 件 功 能 相 关 的 可 见 字 符 Q P r o t e c t . s y s 驱 动 负 责 保 护 H K L M S O F T W A R E Q p r o t e c t 、 H K L M S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s Q p r o t e c t 注 册 表 项 不 被 修 改 删 除 。 保 护 Q p r o t e c t 文 件 夹 下 的 病 毒 文 件 不 被 修 改 、 删 除 。 这 样 病 毒 可 以 长 期 驻 留 用 户 计 算 机 。 这 一 组 病 毒 文 件 模 块 众 多 ， 表 面 功 能 简 单 。 但 是 仔 细 分 析 可 以 发 现 ， 病 毒 不 是 只 有 表 现 的 这 些 功 能 。 在 分 析 Q p r o t e c t . s y s 代 码 时 ， 我 们 发 现 了 该 驱 动 可 以 “ 保 护 ” 默 认 浏 览 器 注 册 表 项 ， 阻 止 安 装 第 三 方 浏 览 器 的 功 能 ， 但 是 实 际 测 试 时 并 没 有 生 效 。 如 图 2 - 7 ：
图 2 - 7 、 Q p r o t e c t . s y s 中 没 有 用 到 的 字 符 串 同 样 在 病 毒 程 序 c s r s s . e x e 的 资 源 文 件 中 ， 我 们 发 现 一 个 名 为 Z I P R E S 0 0 8 3 0 8 0 4 的 压 缩 包 资 源 ， 解 压 出 来 可 以 看 到 如 下 内 容 （ 图 2 - 8 、 2 - 9 ） ：
图 2 - 8 、 c s r s s . e x e 内 包 含 的 图 片 资 源 图 2 - 9 、 c s r s s . e x e 内 包 含 的 文 字 资 源 一 个 是 默 认 浏 览 器 注 册 表 项 和 浏 览 器 列 表 ， 一 个 是 “ 浏 览 器 卫 士 ” 的 贴 图 和 文 字 资 源 ， 而 以 上 两 点 ， 都 没 有 看 到 病 毒 使 用 。 这 说 明 该 病 毒 和 名 为 ” 浏 览 器 卫 士 ” 软 件 存 在 联 系 。 在 同 源 性 分 析 章 节 ， 我 们 会 对 ” 浏 览 器 卫 士 ” 这 条 线 索 继 续 追 查 ， 证 明 此 事 。 2 . 2     阻 止 安 全 软 件 安 装 阻 止 安 全 软 件 安 装 第 二 组 病 毒 u s b 3 5 6 8 . s y s 就 是 在 用 户 计 算 机 上 无 法 安 装 安 全 软 件 的 元 凶 。 病 毒 功 能 简 单 ， 就 是 对 抗 安 全 软 件 的 安 装 ， 如 果 有 安 全 软 件 在 安 装 ， 就 会 结 束 安 装 包 的 进 程 。 该 病 毒 驱 动 加 载 后 会 初 始 化 过 滤 文 件 列 表 ， 列 表 内 包 含 有 绝 大 多 数 的 安 全 软 件 关 键 文 件 名 称 ， 只 要 出 现 在 该 列 表 内 文 件 ， 都 会 在 病 毒 文 件 过 滤 功 能 中 拦 截 ， 病 毒 发 现 若 是 有 安 装 程 序 创 建 列 表 内 的 文 件 ， 就 会 调 用 内 核 函 数 Z w T e r m i n a t e P r o c e s s 将 创 建 文 件 的 进 程 结 束 ， 阻 止 安 装 程 序 继 续 安 装 。 有 意 思 的 是 ， 该 病 毒 调 试 日 志 丰 富 ， 如 果 启 动 内 核 调 试 器 调 试 ， 可 以 看 到 病 毒 打 印 出 来 的 调 试 日 志 信 息 ， 调 试 信 息 中 包 含 了 病 毒 要 过 滤 文 件 的 完 整 列 表 ， 列 表 内 包 含 了 国 内 外 几 乎 常 见 的 所 有 安 全 软 件 关 键 文 件 ， 如 图 2 - 1 0 ：
图 2 - 1 0 、 病 毒 打 印 的 日 志 和 第 一 组 病 毒 一 样 ， 我 们 发 现 u s b 3 5 6 8 . s y s 包 含 部 分 代 码 不 会 被 调 用 ， 比 如 ： 病 毒 创 建 的 设 备 “ D e v i c e K J A n t i ” 、 还 有 “ K J C l i e n t P o r t ” 都 可 以 和 上 层 应 用 程 序 进 行 通 信 。 但 是 在 用 户 计 算 机 上 没 有 找 到 上 层 应 用 。 这 的 符 号 名 中 都 包 含 “ K J ” 也 是 重 要 的 线 索 ， 在 同 源 性 分 析 章 节 ， 也 会 继 续 追 查 ， 寻 找 病 毒 源 头 。 2 . 3     破 坏 安 全 软 件 功 能 破 坏 安 全 软 件 功 能 第 三 组 程 序 u s b 7 9 7 0 1 . s y s 是 整 个 病 毒 的 核 心 ， 负 责 截 取 用 户 首 页 流 量 ， 也 是 功 能 比 较 多 的 一 个 驱 动 模 块 。 病 毒 中 包 含 的 所 有 有 用 信 息 全 都 被 加 密 保 存 对 抗 分 析 ， 这 是 其 他 两 组 程 序 没 有 的 。 u s b 7 9 7 0 1 . s y s 驱 动 首 次 加 载 后 ， 会 复 制 自 身 到 系 统 d r i v e r s 目 录 下 ， 然 后 删 除 驱 动 原 始 文 件 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理