Backdoor/Jsctrl（有效数签）

Jerry.Lin

原帖：http://bbs.huorong.cn/thread-41044-1-1.html

一、概述

　　近日，火绒安全实验室发出警报，病毒团伙正在利用多款热门游戏疯狂传播后门病毒"Backdoor/Jsctrl"，每天有数十万台电脑受到感染。感染病毒之后，病毒制作者可随时通过远程指令对电脑做出下载其他病毒程序、劫持流量在内的多种破坏行为，牟取利益。

　　据火绒安全团队分析，该病毒被制作者伪装成安装数据统计组件，植入到《传奇世界》、《传奇霸业》、《蓝月传奇》、《九天封神》等热门游戏的微端安装包内。用户在PChome、下载吧等网站下载某些软件时，会被捆绑安装这些游戏微端，而病毒也借机进入用户电脑。

　　这些游戏推广力度非常大，重金邀请张家辉、古天乐等知名港星代言，网络推广铺天盖地，病毒也得以借势传播。根据"火绒威胁情报系统"的统计和评估，目前每天约有30-50万台电脑感染病毒。火绒安全团队表示，该病毒团伙很可能是部分游戏推广渠道商，建议以上游戏厂商尽快彻查自家游戏推广渠道。

　　病毒入侵电脑后，病毒制作者可以通过修改服务器上的后门代码，远程操控受害者电脑，进行多种破坏行为，包括下载其他病毒程序、后台暗刷流量等。

　　病毒"Backdoor/Jsctrl"极为顽固、隐蔽，不仅无法通过卸载游戏清除，还具备"反追踪"设置，可以监测远程协助软件（如安全厂商常用的TeamViewer等）中的运行窗口，一旦发现正在被远程协助，则会彻底删除病毒相关所有文件，以免被安全研究人员追踪。

　　目前，"火绒安全软件"已升级病毒库，可以率先拦截、查杀"Backdoor/Jsctrl"。火绒工程师提醒广大用户，尽量通过官方网站下载软件，以免在被捆绑推广的同时，感染病毒。

链接: https://pan.baidu.com/s/1o7HG19S 密码: ubbi

样本1：tdzs.dll  样本2：zlib1.dll

VT（14/65） https://www.virustotal.com/#/fil ... 7e08d88d6/detection              
    （ 5/65 ） https://www.virustotal.com/#/fil ... 550751ed4/detection

zlib1.dll已添加

卡巴1信任,2未知
在线扫描不报，已提交

阿拉爱宁波

WIN 10 WD 不报

和泉纱雾

卡巴扫描不报

阿拉爱宁波

难道又是白名单文件？

Jerry.Lin

阿拉爱宁波 发表于 2017-10-16 19:42
难道又是白名单文件？

受信任的数字签名

DF快递

avast
zlib1.dll miss

独赢缠身

avast kill

bbs2811125

这次ESET的表现让我惊喜，看来作为保留曲目没有让我失望

j2016

红伞二杀一

心醉咖啡

管家扫描miss