• 保存到桌面加入收藏设为首页
资讯信息

警惕,暗崟虫病毒木马。

时间:2019-03-31 20:53:51   作者:234IT   来源:234IT   阅读:714   评论:0
内容摘要:很多人都喜欢下载一些变声器、屏幕亮度下调、连点器之类的软件但实际上不得不警惕的一点是,为什么这些软件在使用过程中都需要关闭杀毒软件呢?原因很简单,有后门。之前看了一篇老哥分析过万能变声器这款软件存在的后门,本人特地去搜索了一下,发现了这款软件的实际情况,请各位警惕下载为好。以下是......
很多人都喜欢下载一些变声器、屏幕亮度下调、连点器之类的软件
但实际上不得不警惕的一点是,为什么这些软件在使用过程中都需要关闭杀毒软件呢?原因很简单,有后门。
之前看了一篇老哥分析过万能变声器这款软件存在的后门,本人特地去搜索了一下,发现了这款软件的实际情况,请各位警惕下载为好。


以下是该系列软件在下载站上的发布列表,最早可追溯到2013年,涉及各类辅助软件。图1下面我们以“屏幕亮度调节器”这款软件为例,分析该系列软件的运作流程。图2样本分析运行软件“屏幕亮度调节.exe”,表面上显示正常功能界面。而实际上,作者毫不掩饰,直接在窗口创建时展开行为。图3首先加载恶意模块“ScreenFlash.dll”,并调用其导出函数“StartScreenFlashWork”来设置全局消息钩子。这一操作会使得“ScreenFlash.dll”被系统注入到每一个窗口进程中,而该模块则会在初始化加载的时候直接运行Shellcode,从而增加Shellcode的运行机会。除此之外,软件本身也创建了恶意线程来运行相同的Shellcode。图4Shellcode分多段运行,ShellcCode1的主要功能是检测加密的ShellCode2是否已经存在,不存在则会联网获取加密的ShellCode2执行。首先通过TEB获取kernel32.dll的模块基址,进而解析kernel32的导出表获取GetProcAddress的地址,然后批量获取自身所需的其他API地址。图5接着打开注册表项“SOFTWARE\ScreenBright”,并查询键值HeadData。该注册表项是用来判断是否已经下载了ShellCode2,若是查询失败,则意味着还未下载,样本将进入下载流程;反之,则进入读取文件、解密执行的流程,如下图所示:图6联网下载的ShellCode都是采用同一套模式,先访问加密配置后获得资源下载地址和解密key,再下载资源进行解密执行,如本例软件下载ShellCode2是先访问“http://www.baidu-home.com/screen/checkupdate.txt”后解密得到资源下载地址“http://www.2k2u.com/screen/screenjump.dat”和解密key“0x004271e4”,继而下载该资源并通过密钥解密出下一段ShellCode执行。图7ShellCode2的功能其实和ShellCode1差不多,主要是负责再次更新下载新的ShellCode3来执行。ShellCode3则由一段LoadPE代码和一个头部信息被摧毁的恶意dll模块组成,其功能主要是加载该模块运行。准备完所需API后,ShellCode3首先申请一段内存来拷贝恶意dll模块,从下图可见其PE头部信息被大量抹除,只保留导入表、重定位表等必要的定位信息,但是数据目录原导出表位置存放了OEP以及OEP所指向的4字节内容(用于校验)。图8LoadPE代码根据导入表重构IAT表、修复重定位,再简单校验OEP处4字节代码之后就开始从OEP执行恶意dll模块代码了。程序首次运行会写注册表项SOFTWARE\\Classes\\CLSID\\{2B53F0A7-3238-4b4d-8582-E53618739C90}\LockData,此时并不展开行为。当程序再次运行并且发现LockData中的日期和当前日期不同时,便展开行为。过程中还有一些进行环境检测,检测虚拟机、常用分析工具图9检测环境通过之后首先获取当前浏览器进程名称,并根据不同的浏览器展开相应的改主页操作,支持浏览器包括360安全浏览器、360极速浏览器、qq浏览器、搜狗浏览器等主流浏览器。图10感染分布以下是此类软件在全国各地区的传播占比统计,可以看出软件主要分布在沿海各省份,其中广东为重灾区。图11查杀与总结这一系列软件主要是通过在常用软件工具中安插恶意代码的方式进行伪装,虽然目前只是在用户电脑中通过诱导或强制的方式来修改浏览器首页,但是软件作者可以随时替换服务器上的shellcode来达到控制用户电脑的目的,其风险性不言而喻。

***********************************本站申明****************************************

234IT官方友情提示:

1、我们的官方网址是:http://www.234it.cn/
2、本站杜绝收费会员制!本站终身免费学习下载分享~
3、请勿轻信任何软件上或教程上收徒或其他服务项目,网络有风险!
4、本站软件需自行检测有无后门或病毒,如有恶意软件请于小编联系进行删除!
5、本站部分内容收集于互联网,如果有侵权内容、不妥之处,请联系我们删除。敬请谅解!

感谢大家一路的支持,有什么好的建议或者意见发至邮箱vipfengzivip@qq.com


免责声明:
234IT所发布的一切破解补丁、注册机和注册信息及软件的解密分析文章仅限用于学习和研究目的;不得将上述内容用于商业或者非法用途,否则,一切后果请用户自负。本站信息来自网络,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑中彻底删除上述内容。如果您喜欢该程序,请支持正版软件,购买注册,得到更好的正版服务。如有侵权请邮件与我们联系处理。


标签:病毒  警惕  木马  
本栏推荐

本站部分内容收集于互联网,如果有侵权内容、不妥之处,请联系我们删除。敬请谅解!

发邮件至:vipfengzivip@qq.com  

二三四网 ( 浙ICP备14041900号-12)
Powered by OTCMS V3.72