查看: 2405|回复: 6
收起左侧

[技术原创] “苏拉克”病毒阴魂不散, 多款装机软件暗藏后门

[复制链接]
金山毒霸V11
发表于 2020-2-21 18:48:13 | 显示全部楼层 |阅读模式
本帖最后由 金山毒霸V11 于 2020-2-21 20:35 编辑

一、事件概述
近期毒霸安全团队在日常样本监控中发现一批云控后门模块的传播感染量大幅上涨,其主要宿主程序为"广州天行客网络科技有限公司"旗下的多款装机工具中,包括"韩博士"、"黑鲨"、"大地"等系统重装软件。
从我们的溯源结果分析发现,该款恶意装机软件"改头换面"成为驱动人生旗下的"一键重装",但是同样内嵌后门模块,这也是近期该后门感染量急剧上升的重要原因之一。虽然目前该后门模块暂时处于休眠状态,但是分析线索显示该后门和2015年肆虐网络的“苏拉克”Rootkit劫持病毒可能存在密切关联,安全隐患不容忽视。我们呼吁广大用户安装正版系统,避免不必要的安全损失。

二、技术分析
以下我们以"驱动人生一键重装"为例进行分析,该软件目前可在"驱动人生"官网下载,但数字签名依旧为"广州天行客网络科技有限公司",其中内嵌的后门模块为"InsNet.dll",该模块使用VMP加壳保护隐藏后门代码。
通过脱壳分析,该模块所有导出功能函数共用同一个工作线程,通过标记序号执行信息上报、渠道配置等功能,其中就包括后门代码,从相关日志函数字符串非常明显看出其后门功能身份,如此直白的恶意代码也非常少见。

后门模块优先从注册表读取后门服务器IP、端口配置,如果不存在则检查注册表中机器启动次数、特定标记和控制域名"1.xitongss.com"的解析状态,如果不满足条件则继续休眠,否则连接控制域名,通过自定义协议(RSA加密)获取后门相关配置。

从目前控制域名的解析状态和我们的跟踪监控情况来看,该后门长期处于休眠状态,但是安全风险不容忽视,我们在后门模块中还发现该后门模块和2015年肆虐网络的“苏拉克”Rootkit劫持病毒存在疑似关联,极有可能是其重要传播渠道之一。

如上图,后门工作代码指定的保护服务配置正是“苏拉克(surak)”病毒,该病毒作为顽固劫持Rootkit曾经通过ghost系统、激活工具等渠道在2015年广泛传播,除了主页锁定、推送病毒,还通过系统预置、破坏系统安全机制等手法大范围对抗安全软件正常安装使用。

我们尝试通过该软件安装windows系统之后,发现预装多款浏览器主页均被篡改并安装多款流氓插件,并且预装的360等安全软件的信任区被预先添加多款病毒、流氓软件,这也是恶意装机工具预置后门对抗查杀的常用手法。

三、安全建议
装机工具、盗版ghost系统、系统激活工具一直都是恶意顽固木马的传播温床,一般通过预置流量劫持类Rootkit木马、预装流氓软件、篡改用户主页、安装恶意浏览器插件等方式牟利,对用户系统安全性造成极大隐患,我们建议用户慎用此类风险软件,目前毒霸可以有效查杀拦截此类装机软件后门。
四、IOC
域名/IP/URL:
onekey.160.com
*.xitongss.com

HASH:
A0CADE54D6CD94A45901C93D4C197384
69D1BACE961BE35D7312064FCC181970
20B6F5BE730EA47C6ABBC76A249F5B88
57DA9932FA5BCBEB5C686913242A01D5
D7A2A5C87D6BBAA871046F93A7C31752

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
zay365
头像被屏蔽
发表于 2020-2-21 18:52:13 | 显示全部楼层
本帖最后由 zay365 于 2020-2-21 18:58 编辑

都说了是360了还有必要打码吗
poy
发表于 2020-2-21 18:52:13 | 显示全部楼层
本帖最后由 poy 于 2020-2-21 18:56 编辑


火绒表示安全

已经反馈给驱动人生官方,表示已经向技术反馈被毒霸查杀问题。

最新测试360也报安全。

火绒和360均“哑火”
@火绒工程师 @360主动防御



本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
zay365
头像被屏蔽
发表于 2020-2-21 18:54:03 | 显示全部楼层

怪了,为什么这几天火绒团队被金山安全团队打脸了好几次
poy
发表于 2020-2-21 19:08:16 | 显示全部楼层
zay365 发表于 2020-2-21 18:52
都说了是360了还有必要打码吗

驱动人生官方目前已经下架对应的软件了。估计回炉重造了。对应的官网目前打不开了
zay365
头像被屏蔽
发表于 2020-2-21 19:09:25 | 显示全部楼层
poy 发表于 2020-2-21 19:08
驱动人生官方目前已经下架对应的软件了。估计回炉重造了。对应的官网目前打不开了

刚看了下是这样的
zay365
头像被屏蔽
发表于 2020-2-21 19:13:06 | 显示全部楼层
怎么hash还用md5,用sha1的都不多了吧
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-12-24 08:14 , Processed in 0.128712 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表