至少推广快压和rising的样本 这年头压缩软件都加驱

linzh

尘梦幽然 发表于 2017-1-7 21:46
快压这个软件还不错，因为它要有一个挂载镜像的功能，所以需要加驱

win10都能自己挂载镜像了...也有其他软件可以
但是快压真的是一个彻头彻尾的流氓啊，自己压缩完的文件其他压缩软件打不开，什么超级压缩压缩比正常压缩的还大一些（貌似还是rar（告诉你如何下载快压解压）+7z更改压缩头让压缩软件无法识别的套壳玩意）
卸载只能卸载掉主程序，广告程序是卸载不掉的，驱动还在，广告继续弹，贼烦人

你不会是把好压和快压弄混淆了吧。。

linzh

趋势普通模式信誉拦截

点击打开文件，趋势杀

linzh

抱歉连贴，SEP14：
源文件（提示更新版本的那个）：B杀

新文件：扫描miss（未开a杀）
然后出来了个一眼就看出来是快压的命令行

过了一会，IE打开了，卧槽 。。。这玩意到底想干什么

然后一堆窗口出来一起安装，虚拟机卡死（渣渣电脑配置太低 ）

恢复快照

GreenCodes

linzh 发表于 2017-1-8 00:28
win10都能自己挂载镜像了...也有其他软件可以
但是快压真的是一个彻头彻尾的流氓啊，自己压 ...

快压绝对是超级流氓

linzh

分析一波，正好车长带头搞事，卫队神宠镇
本小白知识有限，请见谅 。先贴在线分析：
魔盾：https://maldun.com/analysis/YXNkZmRzZmFkc2Y1MjY2MmRzZmFzZGZhc2Rm/
hybrid-analysis：https://www.hybrid-analysis.com/ ... a?environmentId=100
总而言之，这货是一个完完全全的国产流氓，甚至还得到各大网站的默许，明目张胆的静默安装各种软件，从域名上来看，全都连接到国内著名的网站，例如百度，瑞星，腾讯等等......看来他们和流氓脱不了干系啊
[mw_shl_code=css,true]d.kpzip.com
f.i1236.com
w.x.baidu.com
dl1sw.baidu.com
center.rising.com.cn
down.818wy.com
p.x.baidu.com
speedxbu.baidu.com
rsup10.rising.com.cn
cloudinfo.rising.com.cn
cdn.xunshark.cn
cloud11.rising.com.cn
szcloud.baidu.com
dl.sz.baidu.com[/mw_shl_code]

---

但从安装文件上来看，有：百度某产品（55902abv_1202000632.exe，Copyright (C) 2014 Baidu Inc.），快压，BlueMoon，金山全家桶，腾讯旋风（QBDownload），还有各种不知名的小流氓等等，

里面最流氓的莫过于快压了，加驱可以更方便的耍流氓，卸载不掉广告照弹，自己压缩的东西别的压缩软件打开只有一个文件名名单，还有详细的步骤要求你下载快压才能解压，开机增加自启动；快压的大多组件或多或少都有杀软报毒拉黑
不知道为何在线分析的似乎并没有弹出那些不可描述的网站
各种流氓的下载地址：
快压：http://d.kpzip.com/kzliuyy/KuaiZip_Setup_-957132086_liuyy_001.exe
百度某文件：http://w.x.baidu.com/go/mini/201/1202000632
                http://dl1sw.baidu.com/pcunion/55902abv_1202000632.exe
某流氓软件：http://down.818wy.com:8089/zoyx_Y_10010.exe
                http://cdn.xunshark.cn/lany_Y_907453_feitian.exe
该流氓的更新地址：http://www.qigemingzi.net/wg/

---

55902abv_1202000632.exe为百度输入法：

某流氓软件一栏的下载网址趋势全部拉黑

下载下来发现是两个小游戏的样子：

小米天启，趋势网址拉黑下载下来报木马：http://download.qiangxm.com/xiaomi_1303.rar

以下貌似是流氓下载流氓然后安装的流氓：
搜狗壁纸：http://dl.bizhi.sogoucdn.com/dl/ ... aper_guide_2407.exe

瑞星杀毒软件：
URL: http://g.quwen320.com/d/ins1256858.exe (AV positives: 4/68 scanned on 10/09/2016 01:11:20)
URL: http://t.mbai3.com/d/ins1256858.exe (AV positives: 2/68 scanned on 10/07/2016 14:00:05)
URL: http://d.gaox1.com/d/setup1256858.exe (AV positives: 1/68 scanned on 10/07/2016 04:40:07)
URL: http://d.gaox1.com/d/ins1256858.exe (AV positives: 1/68 scanned on 10/06/2016 15:23:00)

成功无视卡巴斯基静默安装上去：

因为安装上了快压，快压在后台继续静默安装的， 小快头条（听都没听说过。。。）：
URL: http://i.kpzip.com/n/tui/tpop/tpop3/v3.0.7.0/tpop3-10.exe/ (AV positives: 9/68 scanned on 01/07/2017 16:40:05)
URL: http://i.kpzip.com/n/tui/mininew ... /mininewsxktt-4.exe (AV positives: 8/68 scanned on 01/07/2017 16:34:29)
URL: http://i.kpzip.com/n/tui/mininew ... /mininewsxktt-7.exe (AV positives: 7/68 scanned on 01/07/2017 16:29:19)
URL: http://i.kpzip.com/n/tui/mininew ... ininewsxktt-10.exe/ (AV positives: 8/68 scanned on 01/07/2017 16:10:04)


以上网址有一部分趋势可以拦截，全都是静默安装包，可以测测你的杀软拉黑流氓网址的能力 也可以看看各位的杀软能杀多少PUA软件

drow

刚开始没注意的时候 快压还是折腾过我十分钟的……

TIS_OMiddle

patube？一言不合就开车啊

罗曼语

linzh 发表于 2017-1-8 02:31
分析一波，正好车长带头搞事，卫队神宠镇
本小白知识有限，请见谅 。先贴在线分析：
魔盾：https:/ ...

这东西还真是可怕

a445441

微点拦截

§夢非夢§

这年头WinRAR都完全免费了，啥子才用国产压缩