“瘦男孩”木马狂攻百万电脑 360独家截杀

曹亮亮

当你在网上购物付款时，一个名为“瘦男孩” 的木马很可能偷偷潜伏在系统里，暗中篡改 付款对象劫持交易资金。据360互联网安全 中心的追踪分析，“瘦男孩”木马已攻击了近 百万台电脑，是2015年国内爆发的规模最大 、隐蔽性最强的木马家族。Google旗下在线 杀毒扫描平台VirusTotal的检测结果显示， 迄今全球仅360杀毒和安全卫士可查杀“瘦男 孩”木马。

图：VirusTotal显示全球仅360可查杀“瘦男 孩”木马

“瘦男孩”大胃口：专偷网购资金

该木马之所以称为“瘦男孩”，是因为它的早 期版本使用了lanker-boy.com域名作为木马 服务器，木马的关键恶意代码则是隐藏在la nker.dll加密文件中。

图：“瘦男孩”木马伪装为记事本图标诱骗受 害者点击

据360QVM引擎团队分析，“瘦男孩”木马主 要通过压缩包文件传播，如果系统设置不显 示隐藏文件和文件后缀，木马程序很容易被 误认为一个名为“123”的记事本，但它实际 上却是exe格式的可执行程序。

如果电脑没有开启360安全卫士实时防护， 一旦点击运行木马，电脑上的网购支付操作 将会被木马劫持，付款对象变为黑客指定的 支付账户，整个过程非常隐蔽，普通网友难 以察觉。对受害者来说，这意味着网购时明 明付款了，交易记录中却查不到商品的付款 信息。

装委屈，“瘦男孩”让多家杀毒软件大开绿灯

普通木马病毒面对杀毒厂商避之唯恐不及， 狡猾的“瘦男孩”偏偏反其道而行之，竟主动 在国内各大杀毒软件论坛提出“误报”反馈， 使一些杀毒厂商放松了警惕，对此木马解除 “误报”后不再查杀，这也使“瘦男孩”得以大 肆传播。

图：“瘦男孩”木马作案流程

在网上搜索“lanker-boy”相关信息可以发现 ，这个账号从2015年初就活跃在各家杀毒软 件论坛中，并多次以“软件被误报了，希望 工程师及时处理”为主题发表帖子。如果杀 毒软件工程师仅仅查看“lanker-boy”上传的 文件附件，而没有分析木马所有组件完整的 行为，那么很容易被其蒙混过关。某杀毒厂 商就因此在一个月内对“瘦男孩”木马四次放 行。

360安全专家石晓虹博士提醒广大消费者， 网购时切勿轻易打开卖家发来的可疑压缩包 ，下载软件和游戏时也要选择官方网站或软 件管家等安全渠道，以免电脑感染“瘦男孩” 木马。如果在网购付款时发现网址异常跳转 、浏览器卡慢等现象，应立即终止付款，并 使用360安全卫士等专业安全软件扫描查杀 木马。