搜索

[8226] 2014-08-27_揭秘“食鼠猫”病毒背后的灰色产业链

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2014-08-27_揭秘“食鼠猫”病毒背后的灰色产业链 揭 秘 “ 食 鼠 猫 ” 病 毒 背 后 的 灰 色 产 业 链 s n o w i e e   F r e e B u f   2 0 1 4 - 0 8 - 2 7 “ 食 鼠 猫 食 鼠 猫 ” 样 本 主 要 通 过 虚 假 色 情 播 放 器 等 流 氓 软 件 的 捆 绑 安 装 进 行 传 播 ， 感 染 主 机 会 被 强 制 安 装 多 款 推 广 软 件 ， 病 样 本 主 要 通 过 虚 假 色 情 播 放 器 等 流 氓 软 件 的 捆 绑 安 装 进 行 传 播 ， 感 染 主 机 会 被 强 制 安 装 多 款 推 广 软 件 ， 病 毒 通 过 篡 改 浏 览 器 快 捷 方 式 、 毒 通 过 篡 改 浏 览 器 快 捷 方 式 、 H o s t s 文 件 等 方 式 劫 持 用 户 电 脑 的 导 航 网 站 流 量 ， 病 毒 导 入 根 证 书 伪 造 数 字 签 名 逃 避 杀 文 件 等 方 式 劫 持 用 户 电 脑 的 导 航 网 站 流 量 ， 病 毒 导 入 根 证 书 伪 造 数 字 签 名 逃 避 杀 毒 软 件 查 杀 与 防 御 ， 还 尝 试 使 用 网 络 过 滤 驱 动 屏 蔽 杀 毒 软 件 的 升 级 与 云 查 杀 毒 软 件 查 杀 与 防 御 ， 还 尝 试 使 用 网 络 过 滤 驱 动 屏 蔽 杀 毒 软 件 的 升 级 与 云 查 杀 。 “ 食 鼠 猫 ” 样 本 作 为 典 型 的 推 广 类 病 毒 ， 对 于 当 前 国 内 病 毒 传 播 的 流 行 形 势 具 有 一 定 的 代 表 性 。 本 文 尝 试 通 过 对 样 本 行 为 、 传 播 源 头 的 相 关 分 析 ， 溯 源 追 踪 其 幕 后 黑 手 ， 揭 露 国 内 流 氓 推 广 类 病 毒 传 播 与 牟 利 的 灰 色 产 业 链 。 病 毒 样 本 行 为 分 析 病 毒 样 本 行 为 分 析 [ * ]   “ 食 鼠 猫 ” 病 毒 运 行 流 程 简 图 “ 食 鼠 猫 食 鼠 猫 ” 病 毒 捆 绑 在 一 款 名 为 病 毒 捆 绑 在 一 款 名 为 “ 好 爱 好 爱 F M 收 音 机 收 音 机 ” 的 流 氓 软 件 中 ， 主 要 通 过 一 些 色 情 站 点 和 下 载 站 点 的 诱 导 虚 假 下 载 链 的 流 氓 软 件 中 ， 主 要 通 过 一 些 色 情 站 点 和 下 载 站 点 的 诱 导 虚 假 下 载 链 接 进 行 传 播 。 接 进 行 传 播 。 样 本 使 用 d e l p h i 语 言 编 写 ， 通 过 多 层 L o a d e r 模 块 的 解 密 与 内 存 加 载 执 行 ， 下 载 运 行 最 终 功 能 模 块 ， 样 本 分 析 同 样 按 L o a d e r 层 和 功 能 模 块 层 分 为 两 大 部 分 。 一 、 L o a d e r 层 分 析 1 、 静 默 安 装 “ 爱 好 F M 收 音 机 ” 流 氓 软 件 ， 然 后 解 密 病 毒 模 块 A ， 直 接 在 内 存 中 加 载 运 行 。
2 、 模 块 A 访 问 h t t p : / / j s i o n . s i n - o . c o m / f a v i c o n . i c o ， 读 取 解 析 其 中 隐 藏 的 下 载 链 接 并 解 密 ， 然 后 访 问 此 链 接 下 载 模 块 B ， 解 密 后 再 次 内 存 装 载 运 行 。 3 、 模 块 B 的 主 要 功 能 包 括 病 毒 运 行 环 境 检 测 、 流 量 渠 道 标 记 保 存 、 后 续 恶 意 模 块 释 放 以 及 安 装 统 计 数 据 发 送 等 ： 1 ) 、 病 毒 运 行 环 境 检 测 ， 主 要 是 为 了 对 抗 分 析 检 测 。 使 用 的 手 法 也 比 较 常 规 ， 包 括 简 单 的 反 调 试 、 特 权 指 令 反 虚 拟 机 、 遍 历 检 测 系 统 窗 口 是 否 存 在 安 全 工 具 以 及 是 否 存 在 网 吧 管 理 程 序 进 程 等 。 2 ) 、 保 存 推 广 渠 道 流 量 标 记 信 息 到 注 册 表 ， 方 便 后 续 模 块 根 据 流 量 I D 读 取 对 应 的 配 置 信 息 。 渠 道 标 记 信 息 ： " f i f m _ s 1 _ 1 0 3 0 "   ( 文 件 名 ) 标 记 信 息 格 式 ： f i f m _ 渠 道 标 识 _ 安 装 包 标 识 注 册 表 ： H K E Y _ C U R R E N T _ U S E R S O F T W A R E _ a l t 3 ) 、 释 放 资 源 中 包 含 的 M S I 程 序 包 ( 模 块 C ) 到 临 时 目 录 ( ~ D F A N 9 F P . t m p ) ， 调 用 m s i e x e c . e x e 以 静 默 参 数 解 析 安 装 。 4 ) 、 获 取 主 机 的 M A C 地 址 、 系 统 版 本 以 及 安 装 包 路 径 ， 加 密 后 发 送 到 远 程 服 务 器 。 数 据 包 信 息 ： 0 0 0 X X 9 B 7 0 4 C 2 | H i d e | 5 . 1 . 2 6 0 0 . S e r v i c e   P a c k   3 | C : f i f m _ s 1 _ 1 0 3 0 . e x e | 1 统 计 后 台 地 址 ： h t t p : / / t j . 5 a s t y l e . c o m / _ o n e / G e t S t a t e . a s p x ? L o g i n = 4 、 模 块 C 实 际 为 m s i 格 式 的 安 装 包 程 序 ， 使 用 r o o t s u p d . e x e 工 具 导 入 根 证 书 ， 为 加 入 恶 意 代 码 的 I D r i v e r T . e x e 伪 造 数 字 签 名 ， 企 图 逃 避 安 全 软 件 的 查 杀 与 防 御 。
M S I 包 文 件 列 表 ： I D r i v e r T . e x e ： 作 者 修 改 某 款 d e l p h i 程 序 源 码 ( 个 人 电 脑 助 手 v 1 . 3 ) ， 在 其 中 添 加 了 恶 意 代 码 后 重 新 编 译 。 R C I m a g e . s k n ： I D r i v e r T . e x e 的 依 赖 模 块 ， 实 际 为 V M P r o t e c t 的 S D K 动 态 库 文 件 。 ~ D F D E 9 F D . t m p ： 实 际 为 r o o t s u p d . e x e ， 用 于 更 新 系 统 根 证 书 列 表 的 命 令 行 工 具 。 ~ D F C C B F E . t m p ： 根 证 书 文 件 ， 伪 造 S y m a n t e c   C o r p o r a t i o n 签 名 。 5 、 I D r i v e r T . e x e 在 正 常 程 序 的 基 础 上 添 加 恶 意 代 码 后 重 新 编 译 ， 运 行 以 后 解 密 模 块 D ， 继 续 内 存 加 载 运 行 。 6 、 模 块 D 访 问 远 程 服 务 器 下 载 h t t p : / / d l . z z x s s m . c o m / d a t a / _ C o n f i g . d a t （ 模 块 E ） ， 解 密 后 继 续 在 内 存 中 直 接 加 载 运 行 。 7 、 模 块 E 同 样 将 如 下 格 式 信 息 加 密 后 发 送 到 另 一 安 装 统 计 后 台 服 务 器 ， 可 以 看 到 此 次 的 病 毒 变 种 版 本 为 v 1 . 6 . 1 ； 然 后 与 模 块 B 一 样 再 次 对 病 毒 运 行 环 境 进 行 检 测 ； 最 后 检 测 " _ l o s t _ d o w n f i l e _ m o d _ " 互 斥 事 件 是 否 存 在 ， 如 果 存 在 则 发 送 另 外 一 条 安 装 统 计 信 息 后 退 出 ， 不 存 在 则 进 入 后 续 模 块 下 载 的 逻 辑 分 支 。 明 文 数 据 A ： 0 0 0 X X 9 7 C 9 D A 6 | v 1 . 6 . 1 | 5 . 1 . 2 6 0 0 . S e r v i c e   P a c k   3 | C : T e m p I D r i v e r T . e x e | 0 统 计 后 台 A ： h t t p : / / g . d 8 h t . c o m / s e t _ i n d e x . p h p ? V e r = 明 文 数 据 B ： 0 0 0 C 2 9 7 C 9 D A 6 | v 1 . 6 . 1 | 5 . 1 . 2 6 0 0 . S e r v i c e   P a c k   3 | C : T e m p I D r i v e r T . e x e | 0 # 0 # 0 # 0 # 0 # 2 统 计 后 台 B ： h t t p : / / g . d 8 h t . c o m / s e t _ s t a t . p h p ? V e r = 8 、 模 块 E 后 续 下 载 逻 辑 分 支 ： 发 送 安 装 统 计 数 据 包 ， 返 回 数 据 为 渠 道 的 安 装 位 置 量 ， 如 果 小 于 1 0 0 则 s l e e p 十 分 钟 后 退 出 进 程 ， 否 则 开 始 下 载 白 文 件 D u m p U p e r . e x e 和 恶 意 模 块 F 到 临 时 目 录 ， 读 取 恶 意 模 块 F 解 密 后 注 入 到 白 文 件 进 程 中 运 行 ， 命 令 行 参 数 为 “ 1 ” 。 注 入 方 法 为 常 规 手 法 ， 以 挂 起 方 式 启 动 白 文 件 进 程 ， 卸 载 原 进 程 镜 像 内 存 后 重 新 申 请 ， 拷 贝 自 身 并 修 复 导 入 表 ， 修 改 线 程 上 下 文 ， 将 目 标 进 程 O E P 指 向 自 身 入 口 ， 最 后 恢 复 进 程 运 行 。
明 文 数 据 ： 0 0 0 X X 9 7 C 9 D A 6 | v 1 . 6 . 1 | 5 . 1 . 2 6 0 0 . S e r v i c e   P a c k   3 | C : T e m p I D r i v e r T . E X E | 0 统 计 后 台 ： h t t p : / / g . d 8 h t . c o m / s e t _ i n d e x . p h p ? V e r = 白 文 件 链 接 ： h t t p : / / d l . z z x s s m . c o m / d a t a / 1 . j p g 文 件 目 录 ： % t e m p % / D u m p U p e r . e x e   [ 3 6 0 杀 毒 的 d u m p 上 报 进 程 文 件 ] 模 块 F 链 接 ： h t t p : / / d l . z z x s s m . c o m / d a t a / 6 . j p g 文 件 目 录 ： % t e m p % / Y Y M _ J F F M E H N 9 _ S % T 9 5 5 W D 3 8 . j p g   [ 加 密 文 件 ] 9 、 模 块 F 首 先 检 查 “ _ L o s t _ J u m p _ M o d _ 1 ” 互 斥 事 件 是 否 只 存 在 ， 存 在 则 退 出 进 程 ； 如 果 进 程 参 数 为 ” 0 ” 或 “ 1 ” 则 将 模 块 F 重 新 注 入 自 身 白 进 程 ， 命 令 参 数 为 ” 2 ” ; 如 进 程 参 数 为 “ 2 ” 则 删 除 模 块 F 文 件 ， 下 载 模 块 G 注 入 自 身 进 程 继 续 运 行 ， 启 动 参 数 为 渠 道 标 识 信 息 。 模 块 G 链 接 ： h t t p : / / d l . z z x s s m . c o m / d a t a / / 2 . j p g 1 0 、 模 块 G 读 取 服 务 器 配 置 信 息 ， 开 始 下 载 真 正 的 工 作 模 块 。 模 块 G 取 命 令 行 参 数 解 密 获 得 渠 道 标 记 ， 开 启 定 时 器 访 问 h t t p : / / i 1 . d 8 h t . c o m : 8 0 8 0 / G e t L o g . h t m l 获 取 配 置 信 息 ， 根 据 自 身 渠 道 标 记 去 读 取 对 应 的 配 置 信 息 ， 二 次 解 密 后 再 进 行 格 式 化 解 析 ， 下 载 链 接 信 息 ， 开 启 线 程 下 载 执 行 各 模 块 。 1 ） 访 问 h t t p : / / i 1 . d 8 h t . c o m : 8 0 8 0 / G e t L o g . h t m l 获 取 配 置 信 息 ， 共 2 6 条 有 效 数 据 ， 可 以 推 测 出 此 变 种 目 前 最 少 有 2 6 个 流 量 渠 道 进 行 推 广 ， 格 式 如 下 ： 2 ） 获 取 上 面 的 配 置 信 息 后 ， 模 块 G 根 据 自 身 的 渠 道 I D 读 取 对 应 的 条 目 ， 进 行 两 层 解 密 ， 然 后 进 行 格 式 化 解 析 ， 结 果 如 下 ： 3 ） 模 块 G 接 着 开 启 线 程 按 照 格 式 化 后 的 数 据 进 行 下 载 安 装 ， 本 例 中 推 广 软 件 安 装 包 为 百 度 杀 毒 、 百 度 卫 士 以 及 U C 浏 览 器 ， 下 载 安 装 包 到 配 置 信 息 中 的 指 定 目 录 ； 其 他 [ s e l f ] 标 签 的 模 块 为 自 身 工 作 模 块 ， 其 中 1 2 . j p g 为 推 广 包 安 装 模 块 ， 4 . j p g 为 浏
览 器 快 捷 方 式 篡 改 模 块 ， 8 . j p g 为 h o s t s 文 件 劫 持 模 块 ， t e s t . e x e 为 网 络 驱 动 对 抗 模 块 ， 以 上 [ s e l f ] 类 工 作 模 块 下 载 完 成 后 通 过 白 文 件 D u m p U p e r . e x e 进 程 注 入 启 动 。 主 要 工 作 模 块 功 能 列 表 ： h t t p : / / d l . z z x s s m . c o m / d a t a / t e s t . e x e   [ 网 络 驱 动 对 抗 模 块 ] h t t p : / / d l . z z x s s m . c o m / d a t a / 3 . g i f [ 链 接 失 效 ] h t t p : / / d l . z z x s s m . c o m / d a t a / 1 2 . j p g [ 推 广 包 安 装 模 块 ] h t t p : / / d l . z z x s s m . c o m / d a t a / 4 . j p g [ 浏 览 器 快 捷 方 式 篡 改 模 块 ] h t t p : / / d l . z z x s s m . c o m / d a t a / 8 . j p g [ h o s t s 文 件 劫 持 导 航 模 块 ] 功 能 模 块 层 分 析 功 能 模 块 层 分 析 1 、 网 络 驱 动 对 抗 模 块 [ * ]   网 络 过 滤 驱 动 对 抗 模 块 流 程 简 图 本 模 块 主 要 尝 试 加 载 T D I 过 滤 驱 动 来 屏 蔽 主 流 杀 毒 软 件 进 程 访 问 网 络 ， 屏 蔽 杀 毒 软 件 升 级 逃 避 云 查 杀 。 主 要 流 程 如 下 ： 1 ） 、 下 载 百 度 杀 毒 软 件 压 缩 包 释 放 ， 释 放 资 源 文 件 B D L i v e U p d a t e . e x e 、 d l . d l l 以 及 t w a i n . d a t ， 创 建 服 务 启 动 B D L i v e U p d a t e . e x e 进 程 ， 在 被 白 进 程 主 动 加 载 的 d l . d l l 中 解 密 t w a i n . d a t 模 块 ， 然 后 内 存 加 载 运 行 。 百 度 杀 毒 压 缩 包 ： h t t p : / / f i l e s . c n b l o g s . c o m / c f d o w n / b d _ d a t a . z i p 释 放 目 录 ： C : P r o g r a m   F i l e s B a i d u B a i d u L i v e U p d a t e 服 务 信 息 ： S e r v i c e N a m e   =   " B D L i v e U p S v c " D i s p l a y N a m e   =   " B D L i v e U p d a t e   S e r v i c e " B i n a r y P a t h N a m e   =   " " " C : P r o g r a m   F i l e s B a i d u B a i d u L i v e U p d a t e B D L i v e U p d a t e . e x e " "   - E m b e d d i n g " 2 ） 、 t w a i n . d a t 模 块 为 B D L i v e U p S v c 服 务 的 控 制 函 数 ， 主 要 负 责 后 续 网 络 过 滤 驱 动 的 加 载 。 创 建 V o l S t u b 驱 动 服 务 ， 根 据 操 作 系 统 类 型 释 放 相 应 x 8 6 / x 6 4 的 网 络 过 滤 驱 动 文 件 并 启 动 此 驱 动 服 务 ， 随 后 释 放 另 一 份 驱 动 文 件 ( 白 文 件 ： S s c R d C l s . s y s ) 替 换 掉 v o l s t u b . s y s ， 再 删 除 V o l S t u b 驱 动 服 务 。
X 8 6 / X 6 4 版 本 的 驱 动 文 件 签 名 ： ( X 8 6 版 本 数 字 签 名 是 通 过 导 入 根 证 书 伪 造 的 ) 3 ） 、 随 后 尝 试 打 开 网 络 过 滤 驱 动 设 备 ， 如 果 成 功 则 联 网 下 载 h t t p : / / j s i o n . s i n - o . c o m / d a t a . j s o n 并 解 密 ， 内 容 为 主 流 杀 软 的 进 程 列 表 ， 然 后 通 过 D e v i c e I o C o n t r o l 将 格 式 化 后 的 杀 软 进 程 列 表 数 据 发 送 给 驱 动 程 序 。 4 ） 、 网 络 过 滤 驱 动 程 序 内 容 比 较 简 单 ， 通 过 挂 载 t c p / u d p 驱 动 设 备 ， 对 常 见 杀 毒 软 件 进 程 访 问 网 络 进 行 过 滤 屏 蔽 。 2 、 推 广 包 安 装 模 块 本 模 块 主 要 负 责 前 面 下 载 的 推 广 软 件 包 的 安 装 ， 根 据 下 载 模 块 传 递 的 命 令 行 参 数 进 行 安 装 ， 参 数 分 别 为 安 装 目 录 环 境 变 量 、 推 广 包 名 、 安 装 后 进 程 名 称 。
1 ） 首 先 检 测 是 否 存 在 常 见 的 网 吧 管 理 程 序 进 程 ， 存 在 则 不 进 行 安 装 。 2 ） 检 查 指 定 目 录 下 的 推 广 包 是 否 存 在 ， 如 果 存 在 判 断 相 应 进 程 名 是 否 存 在 ， 防 止 重 复 安 装 。 3 ） 解 密 D m p U p e r . e x e ( 3 6 0 杀 毒 白 文 件 ) 作 为 宿 主 傀 儡 进 程 ， 将 安 装 包 程 序 注 入 其 中 运 行 ， 循 环 继 续 下 一 个 安 装 包 的 安 装 。 4 ） 统 计 安 装 成 功 结 果 数 量 ， 如 果 为 0 则 获 取 当 前 系 统 环 境 信 息 上 传 到 远 程 F T P 服 务 器 ， 信 息 内 容 主 要 包 括 系 统 信 息 、 活 动 窗 口 程 序 、 系 统 进 程 列 表 以 及 桌 面 截 图 等 。 5 ） 发 送 安 装 统 计 信 息 到 远 程 服 务 器 。 数 据 包 明 文 ： 0 0 0 C 2 9 1 5 3 2 4 A | v 1 . 5 . 1 | 5 . 1 . 2 6 0 0 . S e r v i c e   P a c k   3 | d e f _ d e f _ d e f | 1 # 0 # 0 # 1 # 0 # 0 统 计 后 台 A ： h t t p : / / g . d 8 h t . c o m / s e t _ s t a t . p h p ? V e r = 统 计 后 台 B ： h t t p : / / t j . 5 a s t y l e . c o m / t w o / G e t S t a t e . a s p x ? L o g i n = 3 、 浏 览 器 快 捷 方 式 篡 改 模 块 本 模 块 主 要 通 过 修 改 浏 览 器 快 捷 方 式 的 属 性 实 现 篡 改 主 页 功 能 。 1 ） 、 访 问 h t t p : / / w w w . d 8 h t . c o m / M o d e l / u r l _ m o d . h t m l 配 置 链 接 ， 按 启 动 参 数 指 定 的 渠 道 标 记 读 取 对 应 的 配 置 条 目 ， 解 密 后 内 容 如 下 ： 2 ） 、 修 改 注 册 表 ， 隐 藏 系 统 桌 面 原 生 I n t e r n e t   E x p l o r e r 图 标 。 [ H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r H i d e D e s k t o p I c o n s ] N e w S t a r t P a n e l ： " { 8 7 1 C 5 3 8 0 - 4 2 A 0 - 1 0 6 9 - A 2 E A - 0 8 0 0 2 B 3 0 3 0 9 D } " = d w o r d : 0 0 0 0 0 0 0 1 C l a s s i c S t a r t M e n u ： " { 8 7 1 C 5 3 8 0 - 4 2 A 0 - 1 0 6 9 - A 2 E A - 0 8 0 0 2 B 3 0 3 0 9 D } " = d w o r d : 0 0 0 0 0 0 0 1 3 ） 、 读 取 注 册 表 获 取 桌 面 、 开 始 菜 单 、 快 速 启 动 栏 等 目 录 ， 遍 历 目 录 对 快 捷 方 式 等 文 件 进 行 过 滤 ， 删 除 其 他 网 页 快 捷 方 式 ， 按 配 置 信 息 篡 改 主 流 浏 览 器 快 捷 方 式 的 目 标 属 性 ， 修 改 为 病 毒 指 定 的 导 航 网 站 。 4 、 h o s t s 文 件 劫 持 导 航 模 块 本 模 块 主 要 通 过 修 改 h o s t s 文 件 劫 持 域 名 解 析 ， 将 h a o 1 2 3 等 常 见 导 航 网 站 引 导 到 自 己 的 服 务 器 上 ， 通 过 自 己 导 航 站 点 的 广 告 推 广 赚 取 利 润 。 1 ） 、 读 取 注 册 表 解 析 自 身 的 渠 道 标 记 ， 访 问 h t t p : / / i 1 . d 8 h t . c o m : 8 0 8 0 / G e t I p . h t m l 配 置 链 接 ， 解 密 获 取 对 应 劫 持 I P 的 信 息 。
2 ） 、 遍 历 进 程 检 查 是 否 存 在 q q p c r t p . e x e （ 腾 讯 管 家 进 程 ） ， 如 果 存 在 则 放 弃 修 改 ， 否 则 将 常 见 导 航 网 站 的 域 名 加 上 劫 持 I P 写 入 到 h o s t s 文 件 中 。 导 航 网 站 劫 持 列 表 ： w w w . h a o 1 2 3 . c o m   /   h a o . 3 6 0 . c n   /   w w w . 3 6 0 0 . c o m h a o . q q . c o m   /   1 2 3 . d u b a . n e t   /   w w w . d u b a . c o m 1 2 3 . s o g o u . c o m   /   w w w . 1 1 4 l a . c o m   /   w w w . 2 5 6 . c c   /   w w w . u c 1 2 3 . c o m 通 过 上 述 的 分 析 可 以 看 出 “ 食 鼠 猫 ” 病 毒 所 使 用 的 对 抗 技 术 手 段 并 不 是 特 别 高 深 ， 但 是 另 一 方 面 又 具 有 一 定 的 代 表 性 ， 体 现 在 以 下 几 个 部 分 ： 1 、 样 本 l o a d e r 部 分 使 用 多 层 的 模 块 内 存 加 载 。 l o a d e r 进 行 解 密 再 内 存 加 载 配 合 “ 白 加 黑 ” 技 术 ， 已 经 成 为 对 抗 杀 毒 查 杀 的 常 见 手 法 ， 部 分 情 况 下 可 以 绕 过 杀 毒 查 杀 拦 截 。 2 、 修 改 正 常 软 件 源 码 添 加 恶 意 代 码 后 重 新 编 译 。 在 大 量 的 正 常 代 码 中 混 合 一 小 段 的 l o a d e r 代 码 ， 对 杀 毒 引 擎 的 鉴 别 能 力 和 人 工 病 毒 分 析 都 提 出 了 更 高 的 要 求 。 3 、 在 系 统 中 导 入 根 证 书 伪 造 正 常 签 名 。 可 以 绕 过 部 分 对 文 件 数 字 签 名 验 证 逻 辑 不 够 严 谨 的 安 全 软 件 。 样 本 追 踪 溯 源 样 本 追 踪 溯 源 [ * ] “ 食 鼠 猫 ” 样 本 溯 源 简 图 每 一 个 热 点 病 毒 的 传 播 过 程 都 并 非 孤 立 事 件 ， 从 样 本 编 写 、 传 播 渠 道 、 牟 利 方 式 以 及 到 最 终 的 受 害 用 户 ， 各 个 环 节 往 往 都 是 紧 密 关 联 的 ， “ 食 鼠 猫 ” 病 毒 同 样 如 此 ， 通 过 对 样 本 暴 漏 的 信 息 以 及 安 全 统 计 数 据 的 分 析 ， 尝 试 对 “ 食 鼠 猫 ” 病 毒 进 行 样 本 溯 源 ， 追 踪 病 毒 传 播 链 条 的 幕 后 黑 手 。 1 ） 、 通 过 对 病 毒 关 联 域 名 的 历 史 解 析 数 据 分 析 ， 可 以 此 流 氓 软 件 的 推 广 从 2 0 1 4 年 初 开 始 ， 变 种 文 件 最 少 在 3 0 个 以 上 ， 本 次
新 变 种 从 2 0 1 4 年 8 月 份 左 右 开 始 传 播 ， 大 多 通 过 诱 导 站 点 的 流 氓 软 件 捆 绑 传 播 ， 涉 及 到 的 推 广 渠 道 多 达 数 十 个 。 本 次 变 种 使 用 的 推 广 域 名 与 服 务 器 在 编 写 分 析 报 告 时 已 经 关 闭 ， 病 毒 作 者 可 能 更 换 了 新 的 下 载 域 名 和 渠 道 ， 后 续 传 播 情 况 有 待 进 一 步 的 监 控 。 [ * ]   传 播 渠 道 域 名 关 系 简 图 ( 部 分 数 据 ) 2 ） 、 部 分 病 毒 作 者 缺 乏 基 本 安 全 意 识 ， 经 常 使 用 邮 箱 、 F T P 服 务 器 等 方 式 上 传 信 息 ， 导 致 帐 号 密 码 信 息 暴 漏 。 “ 食 鼠 猫 ” 样 本 尝 试 上 传 到 F T P 服 务 器 上 的 信 息 主 要 包 括 两 类 ： 安 装 失 败 和 对 抗 监 控 ， 主 要 内 容 为 系 统 环 境 信 息 和 桌 面 截 图 。 从 F T P 的 上 传 文 件 中 我 们 可 以 看 到 一 些 比 较 有 意 思 的 内 容 ： ( 1 ) 、 信 息 上 传 按 日 期 创 建 目 录 ， 从 8 月 1 1 日 到 8 月 2 3 日 ， 这 也 说 明 本 次 新 变 种 从 近 期 开 始 传 播 ； 上 传 信 息 主 要 为 系 统 环 境 和 桌 面 截 图 ， 从 部 分 感 染 用 户 当 时 的 系 统 环 境 分 析 看 ， 主 要 是 被 诱 导 安 装 了 一 些 虚 假 色 情 播 放 器 （ 例 如 优 播 视 频 等 流 氓 软 件 ） ， 这 些 软 件 往 往 也 捆 绑 安 装 了 其 他 的 的 流 氓 病 毒 ， 在 “ 刚 需 ” 的 作 用 下 不 少 用 户 面 对 杀 毒 拦 截 选 择 了 放 行 。
( 2 ) 、 用 户 在 访 问 一 些 安 全 软 件 论 坛 时 也 会 触 发 上 传 策 略 ， 其 中 大 多 为 用 户 中 招 以 后 无 法 升 级 杀 毒 软 件 ， 访 问 论 坛 进 行 求 助 。 从 上 传 信 息 分 析 来 看 ， 很 明 显 实 际 情 况 并 非 像 某 杀 毒 厂 商 对 外 宣 传 的 很 早 就 可 以 完 美 查 杀 修 复 ， 更 不 存 在 所 谓 的 ” 凭 借 云 查 功 能 的 某 一 特 殊 保 护 机 制 ， 是 目 前 唯 一 未 被 “ 食 猫 鼠 ” 阻 断 云 安 全 服 务 的 安 全 软 件   ” 。 安 全 宣 传 应 该 本 着 实 事 求 是 的 态 度 ， 这 样 才 能 真 正 帮 助 用 户 解 决 问 题 。 ( 3 ) 、 病 毒 作 者 在 测 试 样 本 的 时 候 也 上 传 了 一 些 调 试 信 息 ， 包 括 系 统 信 息 、 代 码 截 图 等 。 可 以 发 现 一 个 有 趣 的 细 节 ， 作 者 当 时 正 在 浏 览 一 篇 网 页 “ D E L P H I 中 M e s s a g e B o x 的 用 法 ” , 从 这 个 细 节 中 我 们 可 以 看 出 作 者 可 能 是 个 d e l p h i 编 程 的 初 学 者 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理