安全路透社
当前位置:安全路透社 > 网络转载 > 正文

老毛桃PE盘工具木马:一款“通杀”浏览器的主页劫持大盗

最近,360安全中心接到多起网友反馈,称电脑中所有浏览器的主页都被篡改,而且强制锁定为http://dh936.com/?00804推广页面。据360安全专家分析,这是一款假冒“老毛桃”PE盘制作工具的推广木马在恶意作祟。

下载该制作工具后,其捆绑的“净网管家”软件会释放木马驱动篡改首页。当发现中招者试图安装安全软件时,还会弹出“阻止安装”提示,诱导中招者停止安装。专家进一步分析后发现,该驱动还设置了不少保护措施逃避安全软件查杀,如禁止自身文件和注册表的浏览和读取等。

实际上,“老毛桃”早已退出市场多年。目前市面上可见的“老毛桃”工具都是假的,更有不法分子经常打着“老毛桃”的旗号传播木马。360现已第一时间拦截查杀该木马,以下是360安全中心对该木马的详细分析:

1下载的安装包

该木马网页利用搜索竞价排名在网上扩散,中招者提供的“带毒”网址如图:

老毛桃木马网址

下载PE后里面会带一个

PEINIT,去解压这个PELOAD.7z文件。解压出来的PELOAD.BIN文件是一个叫净网管家的安装包。

该安装包文件为:

安装包文件

然后安装运行后会释放一个  jw开头的随机名驱动。

安装运行

并且会拦截360安全卫士等软件安装。

拦截软件安装

2 释放的恶意驱动

2.1 驱动文件信息

 该驱动文件签名信息为:

驱动文件签名信息

驱动

2.2 驱动初始化

该驱动文件加载后就向NTFS文件系统发送标记删除命令。

导致任何访问对该文件的访问都会返回STATUS_DELETE_PENDING。

 创建GUID 设备名跟应用层交互。

驱动初始化

注册关机回调

关机回调中回写注册表文件。

驱动初始化

注册进程回调模块加载回调 进程回调主要作用为改主页 

并创建系统线程跟服务器上传信息  驱动自我更新

驱动初始化

注册注册表回调保护自身服务项。

驱动初始化

2.3 进程回调  修改PEB中进程命令行

获取进程PEB信息:  

获取进程PEB信息

判断是否为浏览器进程:

判断是否为浏览器进程

为通配判断。

为通配判断

判断父进程

判断父进程

拼接命令行

拼接命令行

拼接后网址为

http://dh936.com/?00804

然后追加到进程路径信息后面, 修改PEB中ProcessParameters进程命令行。

 修改PEB中ProcessParameters进程命令行

为了使改首页有效还必须屏蔽网盾模块,

网盾模块主要是两处屏蔽,一处为文件过滤驱动屏蔽,另外一处为进程模块加载Patch。

2.4 文件过滤驱动

文件过滤驱动

相关函数为:

相关函数

如果是禁止文件列表,  则直接禁止打开。

文件过滤驱动

匹配成功则返回1

2.5 模块加载回调

主要是判断浏览器进程

模块加载回调

发现如果是网盾模块加载则Patch入口点。

网盾模块列表:

网盾模块列表

Patch代码

Patch代码

Patch代码

2.6 注册表回调

主要是防止自身注册表被访问,被删除,被枚举。

注册表回调

发现删除为自身项目  直接返回拒绝

注册表回调

枚举时候检测是否为自身注册表  如果是则隐藏。

注册表回调

2.7 系统线程

主要是网络上传和更新

发送putlog信息:

发送putlog信息

接受数据包

接受数据包

上传用户隐私信息还有安装杀毒软件信息。

 系统线程

360安全卫士已支持该木马查杀,建议各位通过360软件管家或其他正规渠道下载类似的软件工具。

  系统线程

*本文作者:360安全卫士;转载请注明来自 FreeBuf.COM

未经允许不得转载:安全路透社 » 老毛桃PE盘工具木马:一款“通杀”浏览器的主页劫持大盗

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册