游戏盒暗藏劫持插件，劫持超2600个网站

360主动防御

近期360安全大脑监测到大量网站被劫持跳转，经分析发现，又是一起浏览器恶意扩展劫持攻击，而来源主要是一款叫做游迅游戏盒子的软件，其在启动后会静默向浏览器安装恶意扩展劫持浏览器，该扩展通过云控劫持超过2600个网站，并且还对部分网站指定劫持开始、结束的时间段在下班或深夜时候进行劫持。数据监测显示累计有超过百万用户受到影响。

行为分析：

样本：

安装说明中诱导用户退出杀软的提示

该游戏盒子程序主要通过游迅网进行传播，在其安装说明中诱导用户允许或关闭杀毒软件运行；游戏启动器在用户点击关闭按钮退出时则会下载执行配置文件中配置的伪装成刺激战场游戏的木马程序，该木马执行后判断杀软环境又会去云端(hxxp://box.bainuonet.com/extendU/ChggmeePlugin.zip)拉取恶意扩展在多个浏览器进行安装，并且云端还会不断变换扩展名称：

添加到浏览器中的部分恶意浏览器扩展(页游、时钟提醒、今日惠购等)，如下图所示：

该扩展会随着浏览器的打开而在后台运行，从链接hxxp://lusang.cckyedu.com/cgi/NewPageJumpConfiguration.ashx/pagejumpconfig/getconfig?intermode=0&ver=读取json配置用于流量劫持的配置列表,同时为了防止被用户轻易发现，其在多个连接的劫持配置中还设置了进行劫持的时间段控制代码，在指定的时间段才会劫持；另外如果不在劫持时间段内则会通过一个触发机率控制参数”Odds”来控制触发劫持行为的机率。

云控读取劫持列表

redirectUrl方法跳转劫持页面代码片断

之后就会在后台跳转匹配其规则的链接，有的带上其自己的推广标识，有的甚至直接跳转到其自建的同类型的网站地址或下载链接，完成流量劫持；配置规则包含了电商、导航、页游、直播、下载站、彩票、私-Fu等类型(如淘宝、天猫、京东、2345、hao123、知乎、携程、华为商城、苏宁易购等超过2600个网站链接)

劫持时间段分布

劫持规则示例

部分劫持规则截图：

部分劫持实例：

1)访问淘宝被劫持跳转到带ID的天猫链接：

2)访问hao123导航被劫持跳转到带ID的2345导航：

3)QQ游戏、4399、7k7k等常见游戏网站被劫持到一个棋牌游戏网站：

4)其它一些私-Fu网站则全部劫持到该私-Fu页面：

受影响区域分布：

360安全卫士查杀图：

结语：

360安全大脑提醒用户：

1、  对于杀毒软件报毒的程序，不要轻易选择添加信任或退出杀软运行

2、  如发现浏览器访问正常网站出现自动跳转到带计费链接的网站时尽快使用安全软件进行查杀

3、  建议用户选择正规渠道如360软件管家安装游戏，以免自己的电脑成为不法分子控制劫持的工具

IOCs:

MD5:

825bc6a32ebc87a793e2e28801fa7954

82A6D4E42E3868D4E6EA978B2C81F532

Urls:

hxxp://hggpe.sj789521[.]com/cgi/NewPageJumpConfiguration.ashx/pagejumpconfig/getoddsconfig?ip=25.0.0.3&ver=27.0.0.1

hxxp://lusang.cckyedu[.]com/cgi/PlugConfigFileConfiguration.ashx/plugconfigfileconfig/getconfig?ver=25.0.0.6

hxxp://sdmv.wxyxch[.]cn/Instnew/Install/WebkitAssistance_qdq.exe

Crx ID:

mlpghoohnhjmflmlengdemipchgjodae

ELOHIM

微软已阻止访问该网址。