[原创]传奇私服暗藏病毒劫持用户流量-逆向工程-看雪安全社区

近日，火绒安全工程师拦截到一款病毒正通过某传奇私服登录器进行传播。 
该病毒可通过C&C服务器下发任意恶意模块，还会将病毒服务器设置为代理服务器，通过篡改用户流量来推广病毒作者自家的传奇私服。当用户访问传奇相关的网页时，会被劫持到病毒作者自家传奇私服，如下图所示：
  ![](upload/attach/202212/742969_9WPQXJQYZQ2RRKM.png)
病毒作者自家传奇私服
火绒安全工程师分析称，该病毒可通过C&C服务器下发任意恶意模块，不排除后续下发其他恶意模块的可能。 被下发的恶意模块将长期驻留在中毒用户电脑中，并开机自启动，利用“白加黑”调用恶意代码模块以及注入系统进程的方式来执行恶意行为。 
广大游戏玩家需要注意，私服登录器携带木马、后门及其他病毒的情况时有发生，玩家下载安装后，可能面临网页被劫持、个人隐私数据泄露等不同危害，严重侵害用户隐私和资产安全。因此，火绒工程师提醒广大玩家提高警惕。
火绒安全产品可对以下传奇私服登录器携带的该病毒进行拦截查杀：
  ![](upload/attach/202212/742969_RKQMST9V8HYP2WR.png)
被植入该病毒的传奇私服登录器列表
 ![](upload/attach/202212/742969_2FEEQ5WTK6HP4BB.png) 
病毒查杀图
病毒的执行流程，如下图所示：
  ![](upload/attach/202212/742969_XBNMG4D6MGAVDZM.png)
病毒执行流程

以“梁山好汉=登陆器”为例进行分析：
# 一、样本分析
当进入游戏后，会释放并执行恶意模块 QQExternals.exe，火绒剑监控到的行为图，如下图所示：
  ![](upload/attach/202212/742969_9A6Q4B2GB84TNJV.png)
火绒剑监控到的行为图
恶意模块QQExternals.exe会根据配置文件来加载远程恶意模块InstallCore.dll，相关代码，如下图所示：
  ![](upload/attach/202212/742969_RHM2ESY9VSHTDA9.png)
远程加载恶意模块InstallCore.dll
恶意模块InstallCore.dll会释放QQExternal.exe（和第一个恶意模块相比少了一个s）和BugRpt.dll到C:\ProgramData\Microsoft\Setup\，其中 QQExternal.exe为带有腾讯签名的白文件，该病毒通过“白加黑”的方式来绕过杀毒软件查杀。QQExternal.exe签名信息，如下图所示：
  ![](upload/attach/202212/742969_UQRSSWT36S5T449.png)
QQExternal.exe签名信息
BugRpt.dll恶意模块的签名信息直接复制QQExternal.exe签名信息来进行伪装，如下图所示：
  ![](upload/attach/202212/742969_4PV5QK26EP9YN23.png)
BugRpt.dll签名信息
恶意模块InstallCore.dll还会执行一系列操作来保证后续的恶意模块能正确被执行，如：添加证书、设置浏览器代理、持久化操作，相关代码，如下图所示：
  ![](upload/attach/202212/742969_R3FQ2Y4Y3Y7S8KG.png)
添加证书、设置浏览器代理、持久化操作
修改后的浏览器的配置信息，如下图所示：
  ![](upload/attach/202212/742969_DGAE2GDM7NG2HQU.png)
修改后的浏览器配置信息
被添加的任务计划，如下图所示：
  ![](upload/attach/202212/742969_8Q4FMPXS3868KBE.png)
被添加的任务计划
利用服务启动白名单文件QQExternal.exe，再以“白加黑“的方式加载BugRpt.dll来执行恶意代码，相关代码，如下图所示：
  ![](upload/attach/202212/742969_GH3DD4WRK89GEEW.png)
通过服务启动QQExternal.exe
BugRpt.dll是以“白加黑“的形式被加载运行，当BugRpt.dll同目录下的QQExternal.exe（白文件）被运行时，会调用其导出函数“BR_UserInit”。相关代码，如下图所示：
  ![](upload/attach/202212/742969_ZH9SHGXWZMNG6N6.png)
调用被劫持的函数
当BR_UserInit函数运行后会解密自身内部的”Puppet.dll”恶意模块并注入到系统进程WmiPrvSE中，相关代码，如下图所示：
  ![](upload/attach/202212/742969_DJ6C8Z25WABGRHG.png)
注入WmiPrvSE
在恶意模块Puppet.dll中，根据服务器的配置来执行恶意模块PuppetLib.dll，相关代码，如下图所示：
  ![](upload/attach/202212/742969_64EC48SNN76E8J2.png)
加载远程恶意模块PuppetLib.dll
在恶意模块PuppetLib.dll中，防止证书被删除，每次启动都会检查证书是否存在，如果证书不存在，将重新添加证书，相关代码，如下图所示：
  ![](upload/attach/202212/742969_MG65WEZXM67RX8F.png)
添加证书
 并且一直循环修改浏览器的代理设置，相关代码，如下图所示：
  ![](upload/attach/202212/742969_3AXKD4G5GF9JG3T.png)
修改浏览器代理
修改后的浏览器设置，如下图所示：
  ![](upload/attach/202212/742969_FN9ENPEQH2FFGE2.png)
修改后的浏览器设置
被劫持的域名均为其他传奇私服站点域名，当用户访问相关传奇私服时，会被劫持到107.148.49.141，该地址用来中转到病毒作者自家传奇私服，相关代理脚本，如下图所示：
  ![](upload/attach/202212/742969_A89TYQT57CQBNZY.png)
相关代理脚本
# 二、附录
C&C：
  ![](upload/attach/202212/742969_XB3BPDAXAZHG4PH.png)
样本hash：
  ![](upload/attach/202212/742969_FEPSRN3KESGJYWH.png)

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#病毒木马

最新回复 (5)
Y6blNU1L 雪币： 3532 活跃值： (4132) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 50 粉丝 3 关注私信	Y6blNU1L 2 楼去年在CNVD国家信息安全平台反馈过这种利用，没修复，现在好了吧，被盯上利用了吧。最后于 2022-12-8 13:09 被Y6blNU1L编辑，原因： 2022-12-8 13:07 3
mb_mqcpjtlj 雪币： 268 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 26 粉丝 3 关注私信	mb_mqcpjtlj 3 楼写一个马改变锁定电脑IE代理地址并且不被杀毒软件清理待遇丰厚可长期合作会的联系我 2025-1-11 01:05 1
lolslol 雪币： 8 活跃值： (118) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 0 关注私信	lolslol 4 楼厉害了 2025-12-12 05:20 0
mb_mqcpjtlj 雪币： 268 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 26 粉丝 3 关注私信	mb_mqcpjtlj 5 楼有传奇劫持源码的来聊 2026-1-29 16:52 0
mb_izdxjcwf 雪币： 45 活跃值： (35) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_izdxjcwf 6 楼 mb_mqcpjtlj 有传奇劫持源码的来聊怎么联系 2026-10-3 19:58 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复