首页
社区
课程
招聘
激活工具带毒,静默安装360、2345系列软件
2022-10-10 10:31 7527

激活工具带毒,静默安装360、2345系列软件

2022-10-10 10:31
7527

近期,火绒安全实验室拦截到一批携带病毒的“小马激活工具”。病毒启动后会从远程服务器上下载恶意配置信息,并执行静默安装软件的恶意行为。推广的软件包括“360”、“2345”系列软件以及“腾讯电脑管家”等其他软件,不排除后续下发其他恶意配置的可能。火绒安全软件可查杀该病毒;【软件安装拦截】功能可拦截被推广的软件。

 


被推广的软件

 


病毒查杀图

 

通过百度搜索“激活工具”发现,排名靠前的三条搜索结果都在传播该病毒,这说明病毒作者妄图通过购买百度竞价排名的方法大范围传播病毒。

百度搜索结果
进一步溯源该激活工具的网址hxxp://wd9.hmd888.top,发现该域名属于“桂林市木兮网络科技有限公司”,该公司的网站备案信息,如下图所示:

该公司网站备案信息

详细分析

病毒启动后会从远程服务器上下载恶意配置信息,并执行对应的恶意行为,如:下载、执行任意文件,后台静默安装软件等。病毒的执行流程,如下图所示:

病毒的执行流程

 

Setup_Activator.exe是初始化模块,该模块是个Autoit脚本编译的,并使用混淆手段来躲避杀毒软件查杀。相关代码,如下图所示:

被混淆的代码

 

将其去混淆后,发现该模块会释放、执行原始的激活工具和kmsactivation.exe恶意模块,并创建任务计划进行持久化。释放激活工具和恶意模块。相关代码,如下图所示:

释放激活工具和恶意模块代码

 

为恶意模块创建任务计划进行持久化,每次开机的时候都会启动。相关代码,如下图所示:

创建计划任务进行持久化

 

根据系统版本来执行不同的激活工具。相关代码,如下图所示:

根据系统版本的不同执行不同的激活工具

 

在kmsactivation.exe 模块中,首先从hxxp://qfxzq.tyd28.com/0406jh/info_online_mh.txt 获取恶意配置信息,再根据恶意配置信息来执行特定的恶意行为,如:下载、执行任意文件,后台静默安装软件等。相关恶意配置信息,如下图所示:

恶意配置信息
根据恶意配置信息下载、执行任意文件。相关代码,如下图所示:

根据恶意配置信息下载、执行任意文件

 

该模块还会过滤指定城市,对指定城市以外的地方,额外安装一些软件(腾讯电脑管家),获取用户当前所在城市。相关代码,如下图所示:

过滤用户所在城市

 

根据恶意配置信息,后台静默推广软件,并对指定城市以外的地方,额外安装一些软件(腾讯电脑管家)。相关代码,如下图所示:

后台静默推广软件

附录

C&C服务器列表:

病毒HASH:


[培训]《安卓高级研修班(网课)》月薪三万计划

收藏
点赞0
打赏
分享
最新回复 (5)
雪    币: 1278
活跃值: (1264)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
10ngvv 2022-10-10 10:36
2
1
病毒推广杀毒软件,这操作还是可以的
雪    币: 873
活跃值: (1452)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Y6blNU1L 2022-10-10 19:13
3
0

中国公安部网络违法犯罪举报网站 :http://cyberpolice.mps.gov.cn/wfjb/frame/impeach/showInformation.jsp?type=0

最后于 2022-10-10 19:14 被Y6blNU1L编辑 ,原因:
雪    币: 2927
活跃值: (2530)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
caocaofff 2022-10-11 08:59
4
0
10ngvv 病毒推广杀毒软件,这操作还是可以的
为了钱做什么都可以
雪    币: 201
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
wx_我是菜鸟 2022-10-12 15:16
5
0
从 https://baoku.360.cn/sinfo/103762_4001797.html 360 下载的向日葵就是这样,恶心啊~
雪    币: 403
活跃值: (171)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
鬼来啦 2022-10-28 14:17
6
0
这种居然不举报一波,太过分了。
游客
登录 | 注册 方可回帖
返回