近期,火绒安全实验室拦截到一批携带病毒的“小马激活工具”。病毒启动后会从远程服务器上下载恶意配置信息,并执行静默安装软件的恶意行为。推广的软件包括“360”、“2345”系列软件以及“腾讯电脑管家”等其他软件,不排除后续下发其他恶意配置的可能。火绒安全软件可查杀该病毒;【软件安装拦截】功能可拦截被推广的软件。
被推广的软件
病毒查杀图
通过百度搜索“激活工具”发现,排名靠前的三条搜索结果都在传播该病毒,这说明病毒作者妄图通过购买百度竞价排名的方法大范围传播病毒。
百度搜索结果
进一步溯源该激活工具的网址hxxp://wd9.hmd888.top,发现该域名属于“桂林市木兮网络科技有限公司”,该公司的网站备案信息,如下图所示:
该公司网站备案信息
详细分析
病毒启动后会从远程服务器上下载恶意配置信息,并执行对应的恶意行为,如:下载、执行任意文件,后台静默安装软件等。病毒的执行流程,如下图所示:
病毒的执行流程
Setup_Activator.exe是初始化模块,该模块是个Autoit脚本编译的,并使用混淆手段来躲避杀毒软件查杀。相关代码,如下图所示:
释放激活工具和恶意模块代码为恶意模块
创建任务计划进行持久化,每次开机的时候都会启动。相关代码,如下图所示:
创建计划任务进行持久化
根据系统版本来执行不同的激活工具。相关代码,如下图所示:
根据系统版本的不同执行不同的激活工具
在kmsactivation.exe 模块中,首先从hxxp://qfxzq.tyd28.com/0406jh/info_online_mh.txt 获取恶意配置信息,再根据恶意配置信息来执行特定的恶意行为,如:下载、执行任意文件,后台静默安装软件等。相关恶意配置信息,如下图所示:
恶意配置信息
根据恶意配置信息下载、执行任意文件。相关代码,如下图所示:
根据恶意配置信息下载、执行任意文件
该模块还会过滤指定城市,对指定城市以外的地方,额外安装一些软件(腾讯电脑管家),获取用户当前所在城市。相关代码,如下图所示:
过滤用户所在城市
根据恶意配置信息,后台静默推广软件,并对指定城市以外的地方,额外安装一些软件(腾讯电脑管家)。相关代码,如下图所示:
后台静默推广软件
附录
C&C服务器列表:
举个栗子
建筑工地上施工员,闲暇时弄个博客打发时间,
相关文章
猜你喜欢
- 推荐9个最佳WordPress社区论坛插件 2023-06-21
- 2022年小学数学思维培训 2022-12-22
- 火车采集器(V10.22) 发布新功能 OSS上传 2022-11-15
- Bulk Post Category Creator 批量添加分类 2022-10-30
- Navicat 15激活时:No All Pattern Found! File Already Patched? 2022-10-25
- windows11安装VirtualBox7,解决报错:Microsoft Visual C++2019 2022-10-16
- 从word、wps、excel、pdf和txt文件中查找文本的工具 2022-10-16
- 激活工具带毒,静默安装360、2345系列软件 2022-10-15
- 当心!软件推广瞄准Bing搜索 月访问量已超百万 2022-10-15
- 开源:wordpress图片本地化插件 2022-08-28