一、事件概述

        近期毒霸安全團(tuán)隊(duì)在日常樣本監(jiān)控中發(fā)現(xiàn)一批云控后門(mén)模塊的傳播感染量大幅上漲，其主要宿主程序?yàn)?廣州天行客網(wǎng)絡(luò)科技有限公司"旗下的多款裝機(jī)工具中，包括："韓博士"、"黑鯊"、"大地"等系統(tǒng)重裝軟件。

        從我們的溯源結(jié)果分析發(fā)現(xiàn)，該款?lèi)阂庋b機(jī)軟件"改頭換面"成為驅(qū)動(dòng)人生旗下的"一鍵重裝"，但是同樣內(nèi)嵌后門(mén)模塊，這也是近期該后門(mén)感染量急劇上升的重要原因之一。雖然目前該后門(mén)模塊暫時(shí)處于休眠狀態(tài)，但是分析線(xiàn)索顯示該后門(mén)和2015年肆虐網(wǎng)絡(luò)的“蘇拉克”Rootkit劫持病毒可能存在密切關(guān)聯(lián)，安全隱患不容忽視。我們呼吁廣大用戶(hù)安裝正版系統(tǒng)，避免不必要的安全損失。

二、技術(shù)分析

        以下我們以"

        通過(guò)脫殼分析，該模塊所有導(dǎo)出功能函數(shù)共用同一個(gè)工作線(xiàn)程，通過(guò)標(biāo)記序號(hào)執(zhí)行信息上報(bào)、渠道配置等功能，其中就包括后門(mén)代碼，從相關(guān)日志函數(shù)字符串非常明顯看出其后門(mén)功能身份，如此直白的惡意代碼也非常少見(jiàn)。

        后門(mén)模塊優(yōu)先從注冊(cè)表讀取后門(mén)服務(wù)器IP、端口配置，如果不存在則檢查注冊(cè)表中機(jī)器啟動(dòng)次數(shù)、特定標(biāo)記和控制域名"1.xitongss.com"的解析狀態(tài)，如果不滿(mǎn)足條件則繼續(xù)休眠，否則連接控制域名，通過(guò)自定義協(xié)議(RSA加密)獲取后門(mén)相關(guān)配置。

        從目前控制域名的解析狀態(tài)和我們的跟蹤監(jiān)控情況來(lái)看，該后門(mén)長(zhǎng)期處于休眠狀態(tài)，但是安全風(fēng)險(xiǎn)不容忽視，我們?cè)诤箝T(mén)模塊中還發(fā)現(xiàn)該后門(mén)模塊和2015年肆虐網(wǎng)絡(luò)的“蘇拉克”Rootkit劫持病毒存在疑似關(guān)聯(lián)，極有可能是其重要傳播渠道之一。

        如上圖，后門(mén)工作代碼指定的保護(hù)服務(wù)配置正是“蘇拉克(surak)”病毒，該病毒作為頑固劫持Rootkit曾經(jīng)通過(guò)ghost系統(tǒng)、激活工具等渠道在2015年廣泛傳播，除了主頁(yè)鎖定、推送病毒，還通過(guò)系統(tǒng)預(yù)置、破壞系統(tǒng)安全機(jī)制等手法大范圍對(duì)抗安全軟件正常安裝使用。

        我們嘗試通過(guò)該軟件安裝windows系統(tǒng)之后，發(fā)現(xiàn)預(yù)裝多款瀏覽器主頁(yè)均被篡改并安裝多款流氓插件，并且預(yù)裝的360等安全軟件的信任區(qū)被預(yù)先添加多款病毒、流氓軟件，這也是惡意裝機(jī)工具預(yù)置后門(mén)對(duì)抗查殺的常用手法。

三、安全建議

        裝機(jī)工具、盜版Ghost系統(tǒng)、系統(tǒng)激活工具一直都是惡意頑固木馬的傳播溫床，一般通過(guò)預(yù)置流量劫持類(lèi)Rootkit木馬、預(yù)裝流氓軟件、篡改用戶(hù)主頁(yè)、安裝惡意瀏覽器插件等方式牟利，對(duì)用戶(hù)系統(tǒng)安全性造成極大隱患，我們建議用戶(hù)慎用此類(lèi)風(fēng)險(xiǎn)軟件，目前毒霸可以有效查殺攔截此類(lèi)裝機(jī)軟件后門(mén)。

毒霸官網(wǎng)： http://www.gtain.com/

四、IOC

域名/IP/URL:

*.xitongss.com

hxxps://onekey.160.com/

hxxp://file1.updrv.com/soft/OnekeySetup/1.0.7.240/OnekeySetup_1111_1.0.7.240.exe

hxxp://softdown.coumie.top:8010/HanBoShiV2_Install.exe

hxxp://softdown.coumie.top:8010/HeiShaV2_Install.exe

HASH:

A0CADE54D6CD94A45901C93D4C197384

69D1BACE961BE35D7312064FCC181970

20B6F5BE730EA47C6ABBC76A249F5B88

57DA9932FA5BCBEB5C686913242A01D5

D7A2A5C87D6BBAA871046F93A7C31752