激活工具带毒,静默安装360、2345系列软件
近期,火绒安全实验室拦截到一批携带病毒的“小马激活工具”。病毒启动后会从远程服务器上下载恶意配置信息,并执行静默安装软件的恶意行为。推广的软件包括“360”、“2345”系列软件以及“腾讯电脑管家”等其他软件,不排除后续下发其他恶意配置的可能。火绒安全软件可查杀该病毒;【软件安装拦截】功能可拦截被推广的软件。
被推广的软件
病毒查杀图
通过百度搜索“激活工具”发现,排名靠前的三条搜索结果都在传播该病毒,这说明病毒作者妄图通过购买百度竞价排名的方法大范围传播病毒。
百度搜索结果
进一步溯源该激活工具的网址hxxp://wd9.hmd888.top,发现该域名属于“桂林市木兮网络科技有限公司”,该公司的网站备案信息,如下图所示:
该公司网站备案信息
一
详细分析
病毒启动后会从远程服务器上下载恶意配置信息,并执行对应的恶意行为,如:下载、执行任意文件,后台静默安装软件等。病毒的执行流程,如下图所示:
病毒的执行流程
Setup_Activator.exe是初始化模块,该模块是个Autoit脚本编译的,并使用混淆手段来躲避杀毒软件查杀。相关代码,如下图所示:
被混淆的代码
将其去混淆后,发现该模块会释放、执行原始的激活工具和kmsactivation.exe恶意模块,并创建任务计划进行持久化。释放激活工具和恶意模块。相关代码,如下图所示:
释放激活工具和恶意模块代码
为恶意模块创建任务计划进行持久化,每次开机的时候都会启动。相关代码,如下图所示:
创建计划任务进行持久化
根据系统版本来执行不同的激活工具。相关代码,如下图所示:
根据系统版本的不同执行不同的激活工具
在kmsactivation.exe模块中,首先从hxxp://qfxzq.tyd28.com/0406jh/info_online_mh.txt获取恶意配置信息,再根据恶意配置信息来执行特定的恶意行为,如:下载、执行任意文件,后台静默安装软件等。相关恶意配置信息,如下图所示:
恶意配置信息
根据恶意配置信息下载、执行任意文件。相关代码,如下图所示:
根据恶意配置信息下载、执行任意文件
该模块还会过滤指定城市,对指定城市以外的地方,额外安装一些软件(腾讯电脑管家),获取用户当前所在城市。相关代码,如下图所示:
过滤用户所在城市
根据恶意配置信息,后台静默推广软件,并对指定城市以外的地方,额外安装一些软件(腾讯电脑管家)。相关代码,如下图所示:
后台静默推广软件
二
附录
C&C服务器列表:
病毒HASH:
HUORONG
火绒安全成立于2011年,是一家专注、纯粹的安全公司,致力于在终端安全领域为用户提供专业的产品和专注的服务,并持续对外赋能反病毒引擎等相关自主研发技术。多年来,火绒安全产品凭借“专业、干净、轻巧”的特点收获了广大用户的良好口碑。火绒企业版产品更是针对企业内外网脆弱的环节,拓展了企业对于终端管理的范围和方式,提升了产品的兼容性、易用性,最终实现更直观的将威胁可视化、让管理轻便化,充分达到保护企业信息安全的目的。
相关文章
- Qt Creator下载和安装(详细教程)
- 软件打包安装软件小记
- 安装linux对磁盘分区的要求_ubuntu磁盘分区教程
- Docker安装elk
- 矢量制图Ai软件Adobe Illustrator(Ai)各版本 安装 下载
- 最新版CAD2022软件下载及安装教程cad软件全版本下载
- Photoshop CS4软件下载地址及安装教程(mac+windows全版本PS,包括最新2023)
- Adobe Audition CC 2021破解软件下载以及详细安装教程 AU软件全版本下载
- 软件分享 | 第六期 服务器远程连接工具获取和安装
- AutoCAD 2022软件免费下载及安装教程--cad所有版本!
- CAD2022软件下载及安装指导--所有cad版本都有!
- Adobe Acrobat XI Pro 11 软件安装步骤 PDF编辑器全版本下载
- 实现矢量图的编辑和拼图,不用安装AI软件,也能快速出图!这个拼图工具快快用起来~·
- Premiere PR Pro CC2018软件安装教程--Premiere全版本软件下载
- ps软件安装错误代码1怎么解决?ps2023中文版下载安装教程
- 科研分析作图软件origin2022中文版下载,origin2022 win/mac安装
- Axure RP 9.0原型设计工具中文版,Axure软件简体中文版安装方法
- CAD丨CAD2013软件安装教程-cad软件全版本下载地址
- 专业数据分析工具SPSS最新中文版,SPSS2023软件安装教程下载
- PostgreSQL 安装和简单使用第1/2页
- jBPM 6 发布,快速安装,新功能介绍详解编程语言
- 的安装Linux Yed安装必备教程(linuxyed)
- 安装Linux源文件安装:从基础到专家(linux的源文件)
- Linux下BC软件的安装教程(linuxbc安装)
- HAProxy负载均衡器的安装及配置
- Linux盒子软件安装指南(linux盒子安装软件)
- 无法运行Redis电脑没有安装(电脑上没有安装redis)
- Yum安装Redis 5,一步到位(yum redis5)
- 安装Oracle 11g绿色环境更有保障(oracle 11绿色版)