某云盘下载器被有心人利用捆绑病毒

浅色

事件的起因是这个：http://bbs.win10go.com/forum.php?mod=viewthread&tid=16039

我作为这个论坛的某版块版主有时也会关注论坛上的帖子。直到我看到了这个帖子。

我很好奇在网上大部分分享的这个小软件的版本都是V1.1.1，而这个人却发布了一个V1.3版，而且在某站也找到了这个软件的原帖，也只更新到了

V1.1.1，这很明显有问题。





于是我就下载下来研究了一下。

说实在对于病毒研究我没什么经验，大概也只会虚拟机测试运行的程度……

虚拟机运行完发现和原版没有不同，但是关于页面还是写的V1.1.1……

我原本以为这只是个玩笑……标题党的类型

但是当我过一段时间打开虚拟机的浏览器（Firefox）后

世界都变了

我原本主页设置的是可能部分人以为不存在的网页……Google

但是打开却变成了另一个主页，并最终跳转到了hao123

我马上就检查了Firefox的主页设置

但奇怪的是Firefox里的设置还是Google

于是我检查了Firefox的快捷方式

后面多了一段网址

我就清楚了发生了什么

于是我把这个网址去掉

但是万万没想到

这个事情还没完

我再一次打开虚拟机的Firefox

还是这个主页。

我又检查了一次快捷方式

发现又被加上了这个网址

于是我在虚拟机里安装了火绒……这真的不是我打广告

全盘查杀查到了一个可疑文件

在C盘的Windows目录下



火绒的查杀报告：



这是哈勃的扫描报告：https://habo.qq.com/file/showdetail?pk=ADEGZl1lB24IOFs6

样本的下载地址：http://pan.stnts.com/s/G7sLG7h

心醉咖啡

猎豹

vm001

这个样本出来很长时间了

浅色

vm001 发表于 2017-3-13 21:16
这个样本出来很长时间了

借楼回复，另一个查杀报告：http://r.virscan.org/report/787648b6f768648d2f43dabcc01f21d6

浅色

vm001 发表于 2017-3-13 21:16
这个样本出来很长时间了

难道不应该为网络净化出一份力嘛…我估计很多人中招了。
这个样本我以前貌似接触过
WMI脚本捆绑主页
原理很简单

ShirahimeKanata

浅色 发表于 2017-3-13 21:19
借楼回复，另一个查杀报告：http://r.virscan.org/report/787648b6f768648d2f43dabcc01f21d6

virscan似乎不维护了，国内多引擎建议使用 https://x.threatbook.cn

vm001

浅色 发表于 2017-3-13 21:22
难道不应该为网络净化出一份力嘛…我估计很多人中招了。
这个样本我以前貌似接触过
WMI脚本捆绑主页

http://www.52pojie.cn/thread-572955-1-1.html
http://www.52pojie.cn/thread-562192-1-1.html

zcz844566541

那个人的  帖子还在啊    把他  封了啊   

小坏爷

被拉黑了

流水寒丶

NS插件 拦截并取消下载