
為了省錢,很多人會嘗試各種各樣的方法免費獲取網(wǎng)盤和視頻網(wǎng)站的VIP權(quán)限。正因為有這種需求,各種所謂的“網(wǎng)盤不限速神器”或是“VIP助手”也就應(yīng)運而生了。但這個工具那個助手的真就靠譜么?360互聯(lián)網(wǎng)安全中心最近就連續(xù)接到了兩起關(guān)于此類程序的舉報。
兩起舉報的程序,一個是“百度網(wǎng)盤不限速工具”,而另一個則是“全網(wǎng)VIP解析助手”(視頻網(wǎng)站VIP工具),而舉報的原因全都是——自己莫名其妙的就購買了多張iTunes電子禮品卡。

以其中“百度網(wǎng)盤不限速工具”為例,現(xiàn)在依然可以在搜索引擎中輕松搜索到相關(guān)信息:

俗話說“做戲要做足”,這個木馬還是挺專業(yè)的。如果你下載回來之后直接運行這個破解工具,其實是什么都不會發(fā)生的——因為他會查找百度網(wǎng)盤的進(jìn)程:

如果找不到百度網(wǎng)盤進(jìn)程,就直接退出了,什么都不做。

而一旦存在有BaiduNetdisk.exe的進(jìn)程,便會發(fā)起一個HTTP請求確認(rèn)版本。

然后會順手patch一下BaiduNetdisk.exe的進(jìn)程,但是不是真的能加速就不得而知了。不過這也不是重點,重點是patch完之后,它會繼續(xù)釋放了幾個真正的木馬文件:

最后再把這個創(chuàng)建的SysteCsrss.exe跑起來

釋放的三個程序,其實是一個比較典型的白利用遠(yuǎn)控木馬。首先,SystemCsrss.exe帶有“北京世紀(jì)奧通科技有限公司”的簽名。

而改程序啟動的時候,導(dǎo)入表會自動加載那個libcef.dll:

其次,這個libcef.dll實際上也只是一個Loader。一旦執(zhí)行,回去加載并執(zhí)行最后釋放的那個名為data.lnk的ShellCode

運行起來之后,其實就是個普通的遠(yuǎn)控了——先是從一個服務(wù)器上拿到了遠(yuǎn)控上線域名:

之后就是遠(yuǎn)控上線,接受黑客控制:

最終,在受害人機器上展示出的現(xiàn)象就是在用戶離開的時候,黑客利用遠(yuǎn)控程序向受害人機器下達(dá)命令,創(chuàng)建了一個新的管理員權(quán)限用戶,再利用微軟自帶的遠(yuǎn)程桌面功能登錄受害人機器(這樣方便黑客使用圖形界面操縱受害人機器):

并在完全不知情的情況下使用受害人賬戶購買了多張iTunes電子禮品卡:

實際上該程序早已被360識別并查殺了:

而用戶之所以中招,是因為用戶有時太相信所謂的輔助工具被殺毒軟件“誤報”是正常現(xiàn)象,所以選擇了自行將木馬程序加入了白名單中:

借此機會提供廣大用戶,360不會隨便誤報所謂的“外掛”或“輔助工具”,報毒一定有原因,為了自己的財產(chǎn)安全,請一定要相信安全軟件的“判斷力”。
|