小红伞报的奇怪文件

xiaojinglf

qftest 发表于 2014-4-4 10:15
晓月大大你不使用回复功能我收不到消息提醒呀，还好我还记得这帖子的事
xinstaller.sys是不是迅雷 ...

这回这个我是先前使用了一年多的金山，谁知道漏掉一些东西。这次这个比较特殊，采用数据流方式。我先前都没有太注意。

qftest

xiaojinglf 发表于 2014-4-4 21:17
这回这个我是先前使用了一年多的金山，谁知道漏掉一些东西。这次这个比较特殊，采用数据流方式。我先前都 ...

你是用官网下载的迅雷极速版么？
我那天回帖后试着安装，安装的同时跟踪了一下官方版的极速与看看，安装过程中没有看到释放xinstaller.sys的动作

xiaojinglf

qftest 发表于 2014-4-4 21:22
你是用官网下载的迅雷极速版么？
我那天回帖后试着安装，安装的同时跟踪了一下官方版的极速与看看，安装 ...

我安装过两次，第一次是安装的官方极速版。后来发现官方极速版的确有后台不断网络访问。因此又从自由天空论坛下载过睿派克修改版。后来无意间看小红伞日志，发现此现象。

随后我在虚拟机对在自由天空下载的该文件进行测试。果然发现问题：
改安装包会先释放原版睿派克修改版迅雷极速版，然后偷偷完成病毒行为。迅雷会被正确安装。
但是该包在windows\media文件夹建立数个文件：

qq.txt（内容为：532A4C47595E545F47434C797E764CA4E2C3B1ABEA3E6B22222227712228203D237175713D212026293D712274753D2028202022722320232029746D4C7568607C7F62753E6468642A7568607C7F62753E756875A979B4ECA）
api.txt（内容为：C:\WINDOWS\system32\COM_ActiveX.ocx）
windows 还原.wav(该文件实际是txt文件，内部记录了当前安装时间）。
替换desktop.ini
建立数据流驱动C:\WINDOWS\system32\wbem\Desktop.ini:wmic.js和C:\WINDOWS\syswow64\wbem\Desktop.ini:wmic.js
同时，我监控时候捕捉到一个c:\Windows\Media\ActiveX.ocx的建立，但是随后再也找不到了，应该是被移动到C:\WINDOWS\system32\COM_ActiveX.ocx和syswow64\COM_ActiveX.ocx了

根据我进一步观察，发现这个COM_ActiveX.ocx日益庞大，我机器发现后已经是126M。打开后发现文件头为MZ，但是此文件应该是在记录某些资料

然后我还原虚拟机，直接用提取的睿派克迅雷安装，无以上问题，证明文件被人恶意修改过。为证实是否是睿派克有问题。我又从睿派克官网下载新版本极速迅雷ThunderSpeed1.0.3.32。安装无问题。
证明是自由天空论坛的 1.0.3.28是被人修改后的恶意版本。再次翻查自由天空论坛该贴，发现找不到。不知道是版主发现后删除，还是发布者删除了。然后我发现出现了新版本，下载再次测试，发现为同一现象。
对应帖子是【2014/04/01】迅雷极速版1.0.3.32精简优化版(高速通道 离线下载) - PC 精品软件资源分享区 - IT天空
http://bbs.itiankong.com/forum.p ... &extra=page%3D1

感兴趣的朋友请尽快前往抓取。http://aql99ai2uy.l28.yunpan.cn/lk/QIe3whBiSL2tw

qftest

xiaojinglf 发表于 2014-4-5 04:18
我安装过两次，第一次是安装的官方极速版。后来发现官方极速版的确有后台不断网络访问。因此又从自由天 ...

恩恩，安装该修改版时确实发现了很多危险动作，比较有趣的是该样本并非常规的修改启动项、貌似利用windows启动机制在载入桌面和系统音效文件的同时执行脚本加载服务，看动作应该属于盗取隐私信息的间谍木马而不是破坏性的感染类病毒

王虎虎

支持   谢谢。

liu5678

几个文件都把KIS过了~~~不知道是神马原因。。