近日，發(fā)現(xiàn)一種新型Rootkit病毒新變種，該病毒利用傳奇私服登錄器進(jìn)行傳播，用戶中毒后桌面上會(huì)出現(xiàn)名為“JJJ發(fā)布站”的快捷方式，并且刪除后會(huì)重新被釋放到桌面。當(dāng)用戶訪問(wèn)傳奇相關(guān)的網(wǎng)頁(yè)時(shí)，會(huì)被劫持到病毒作者預(yù)設(shè)的劫持網(wǎng)頁(yè)。且該Rootkit病毒會(huì)通過(guò)文件自保對(duì)抗安全軟件查殺，還會(huì)將系統(tǒng)版本和計(jì)算機(jī)名等終端信息上傳到病毒服務(wù)器。 | ||
病毒創(chuàng)建的快捷方式，如下圖所示： | ||
| ||
快捷方式指向的推廣網(wǎng)頁(yè)，如下所示： | ||
 | ||
火絨安全產(chǎn)品已對(duì)傳奇私服登錄器以及其攜帶的惡意模塊進(jìn)行攔截查殺。已感染該病毒的用戶，可使用火絨專殺工具清除病毒，并重啟電腦后使用火絨【快速掃描】功能徹底查殺該病毒。 | ||
Rootkit是一種系統(tǒng)內(nèi)核級(jí)病毒，其進(jìn)入內(nèi)核模塊后能獲取到操作系統(tǒng)高級(jí)權(quán)限，從而隱藏和保護(hù)自身，以繞開安全軟件的檢測(cè)和查殺。不少Rootkit病毒會(huì)利用網(wǎng)絡(luò)游戲私服登錄器攜帶的惡意模塊進(jìn)行激活，火絨安全提醒廣大游戲玩家要格外留意。 | ||
| ||
| 病毒分析 | ||
當(dāng)用戶訪問(wèn)傳奇相關(guān)的網(wǎng)頁(yè)時(shí)會(huì)被劫持到病毒作者預(yù)設(shè)的推廣網(wǎng)頁(yè)，如：當(dāng)訪問(wèn)hxxps://www.zsf.com/時(shí)，會(huì)被劫持到 hxxps://hebav.today/default/，相關(guān)代碼，如下圖所示： | ||
| ||
劫持相關(guān)代碼 | ||
病毒驅(qū)動(dòng)會(huì)將惡意代碼注入到Lsass.exe和Svchost.exe兩個(gè)系統(tǒng)進(jìn)程中，偽裝成系統(tǒng)進(jìn)程來(lái)執(zhí)行惡意程序，相關(guān)代碼，如下圖所示： | ||
| ||
注入代碼 | ||
被注入的惡意代碼會(huì)檢測(cè)360和騰訊電腦管家，并且還會(huì)將一些終端信息上傳到病毒服務(wù)器如：系統(tǒng)版本和計(jì)算機(jī)名等信息。相關(guān)代碼，如下圖所示： | ||
| ||
| 收集本機(jī)相關(guān)信息 | ||
附錄
病毒HASH | ||
|
|
||||
Copyright© 重慶秉通精益信息技術(shù)有限公司 | |
渝公網(wǎng)安備 50010702502937號(hào)