警惕，又有传奇私-FuRootKit正在传播

wwwab

近日，有用户反馈使用一款传奇私-Fu游戏后无法多次尝试修改注册表AutoConfigURL项，如下图所示：


该用户提供的是传奇私-Fu网站下载地址，如下图所示：


我们发现样本“永恒大陆V2.1.exe”会在当前安装目录下创建一个PlugIn文件夹并释放文件cz_m.dll

该dll可以直接通过rundll32执行，执行之后会往安装盘根目录释放一个01.exe（使用华为的无效数字签名），如下图所示：


01.exe双击后可见恶意驱动被注册，如下图所示：


运行完成之后成功复现连接gwww.dkrjfvz.com:2508/baidu.txt（用户端被强制劫持的AutoURL项）：


之后我们发现，在 Windows 7 环境下执行恶意行为病毒会与u.wgd3ow.xyz尝试建立通信，而在 Windows 10 环境下执行恶意行为病毒会与a.qrltgx.icu尝试建立通信

通过威胁情报查询，我们发现了大量同源样本（此处不一一呈现或者进行说明），行为基本一致，如下图所示：


第二天再次进入该下载地址下载样本后，发现样本压缩包哈希发生变化，解压之后发现样本“永恒大陆V2.1.exe”哈希再一次发生变化

新样本仍然是在PlugIn文件夹下释放恶意dll模块，文件名变化为xr_m.dll，新旧样本对比图如下图所示：



样本执行流程图，如下图所示：


Iocs：

永恒大陆V2.1.exe（旧）	cz_m.dll	01.exe	永恒大陆V2.1.exe（新）	xr_m.dll
0502141902b112c61caf86f32b0c5da6	9eccccd455b58a53b46b8f2409399a2e	50738087a145201cd34ee866e2dd5356	fb6ec25704e343738908ebf1d9f04852	4c3cc418401a36c9c7fb388021ca7fc6

lvseqiji

又有FuRookit了，关键是玩私-Fu基本都不会信杀毒软件，杀了也白杀，难顶。

Shake2333

发现了我的图

kuroandsan

超出天际的表格

00006666

前几天遇到一个释放rootkit的客户端

会释放三个驱动.....

00006666

lvseqiji 发表于 2022-8-19 14:04
又有FuRookit了，关键是玩私-Fu基本都不会信杀毒软件，杀了也白杀，难顶。

之前遇到的那个，加载三个驱动

xkP82D2jlh.dat也是驱动

tdsskiller

00006666 发表于 2022-8-19 15:05
之前遇到的那个，加载三个驱动

xkP82D2jlh.dat也是驱动

火绒的帖子怎么没了？？

ANY.LNK

tdsskiller 发表于 2022-8-19 17:37
火绒的帖子怎么没了？？

转到火绒专区了

Hacker-云

tdsskiller 发表于 2022-8-19 17:37
火绒的帖子怎么没了？？

tdsskiller

Hacker-云 发表于 2022-8-19 17:57

了解