近期，金山毒霸安全實驗室通過“捕風”威脅感知系統的數據監控，發現一款名為“西瓜看圖”的惡意軟件。該軟件主要通過“荒野行動電腦版”、“抖音電腦版”等虛假下載器進行傳播。該虛假器運行后，實際安裝的是“蜻蜓助手”安卓模擬器，并由“蜻蜓助手”推廣安裝“西瓜看圖”木馬遠控軟件。該軟件通過云控手段，進行主頁劫持、圖標推廣、軟件推廣、廣告彈窗等惡意行為。由于該木馬會在用戶磁盤中創建“Mint”的目錄，保存云控插件，所以我們特此命名為“Mint”木馬。

Mint木馬的傳播路徑：

虛假下載器運行界面：

    該虛假下載器無簽名，無版本信息，點擊“立即安裝”會下載運行“蜻蜓助手”，而不是用戶預想的“荒野行動網易版”。“蜻蜓助手”安裝完畢后，會默認勾選“西瓜看圖”（Mint木馬家族的母體），用戶如稍有不慎點擊“立即啟動”就會被植入木馬軟件。

模塊和流程功能模塊：

    Mint 云控木馬主要為6個功能：信息收集，廣告彈窗，軟件推廣，圖標推廣，主頁劫持，更新變異。其中，廣告彈窗，軟件推廣，圖標推廣和主頁劫持的具體內容，均由云端進行配置，通過下發文件的形式，在本地解析執行；更新變異，則保證云控載體不斷更新和變形，以躲避殺軟查殺和更新功能。

功能模塊圖：

信息收集，主頁劫持，廣告等相關URL信息：

影響和分布：

    Mint木馬家族8月中旬開始爆發；9月中旬活躍達到峰值，感染用戶量達5W/天；10月之后活躍降低，近期又逐漸活躍起來。

    受感染的用戶中，占比最多的是1123變種（71.23%），其次是1122變種（17.11%）（因為變種眾多，為了方便起見，我們暫且用文件名后面的版本號表示變種名稱。如url包含的文件名XiGuaViewer_1123.exe，表示1123變種）

變種分布圖：

金山毒霸安全專家建議：

1、不安裝來源不明的可疑軟件；

2、遇到默認勾選框要格外小心；

3、安裝金山毒霸并開啟主防功能；

4、定時查殺和更新系統。

毒霸查殺Mint木馬截圖

詳細分析報告：http://bbs.duba.net/thread-23530889-1-1.html