频道栏目
首页 > 安全 > 网络安全 > 正文

老毛桃PE盘工具木马:一款“通杀”浏览器的主页劫持大盗

2017-08-10 09:40:54      个评论      
收藏   我要投稿

最近,360安全中心接到多起网友反馈,称电脑中所有浏览器的主页都被篡改,而且强制锁定为http://dh936.com/?00804推广页面。据360安全专家分析,这是一款假冒“老毛桃”PE盘制作工具的推广木马在恶意作祟。

下载该制作工具后,其捆绑的“净网管家”软件会释放木马驱动篡改首页。当发现中招者试图安装安全软件时,还会弹出“阻止安装”提示,诱导中招者停止安装。专家进一步分析后发现,该驱动还设置了不少保护措施逃避安全软件查杀,如禁止自身文件和注册表的浏览和读取等。

实际上,“老毛桃”早已退出市场多年。目前市面上可见的“老毛桃”工具都是假的,更有不法分子经常打着“老毛桃”的旗号传播木马。360现已第一时间拦截查杀该木马,以下是360安全中心对该木马的详细分析:

1下载的安装包

该木马网页利用搜索竞价排名在网上扩散,中招者提供的“带毒”网址如图:

\

下载PE后里面会带一个

PEINIT,去解压这个PELOAD.7z文件。解压出来的PELOAD.BIN文件是一个叫净网管家的安装包。

该安装包文件为:

\

然后安装运行后会释放一个 jw开头的随机名驱动。

\

并且会拦截360安全卫士等软件安装。

\

2 释放的恶意驱动

2.1 驱动文件信息

该驱动文件签名信息为:

\

驱动

2.2 驱动初始化

该驱动文件加载后就向NTFS文件系统发送标记删除命令。

导致任何访问对该文件的访问都会返回STATUS_DELETE_PENDING。

创建GUID 设备名跟应用层交互。

\

注册关机回调

关机回调中回写注册表文件。

\

注册进程回调模块加载回调 进程回调主要作用为改主页

并创建系统线程跟服务器上传信息 驱动自我更新

\

注册注册表回调保护自身服务项。

\

2.3 进程回调 修改PEB中进程命令行

获取进程PEB信息:

\

判断是否为浏览器进程:

\

为通配判断。

\

判断父进程

\

拼接命令行

\

拼接后网址为

http://dh936.com/?00804

然后追加到进程路径信息后面, 修改PEB中ProcessParameters进程命令行。

\

为了使改首页有效还必须屏蔽网盾模块,

网盾模块主要是两处屏蔽,一处为文件过滤驱动屏蔽,另外一处为进程模块加载Patch。

2.4 文件过滤驱动

\

相关函数为:

\

如果是禁止文件列表, 则直接禁止打开。

\

匹配成功则返回1

2.5 模块加载回调

主要是判断浏览器进程

\

发现如果是网盾模块加载则Patch入口点。

网盾模块列表:

\

Patch代码

\
\

2.6 注册表回调

主要是防止自身注册表被访问,被删除,被枚举。

\

发现删除为自身项目 直接返回拒绝

\

枚举时候检测是否为自身注册表 如果是则隐藏。

\

2.7 系统线程

主要是网络上传和更新

发送putlog信息:

\

接受数据包

\

上传用户隐私信息还有安装杀毒软件信息。

\

360安全卫士已支持该木马查杀,建议各位通过360软件管家或其他正规渠道下载类似的软件工具。

\
上一篇:恶性病毒Kuzzle“攻破”安全厂商白名单,用户重装系统也难以清除
下一篇:NGINX安全配置和限制访问
相关文章
图文推荐

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站