又是一年开学季,对于广大父母来说,孩子开学可谓是“万兽归笼,普天同庆”,烦躁了一暑假的老父亲老母亲们总算得到了灵魂大解放,本想在家开开心心看个《甜蜜蜜》,结果一打开却发现1080P的高清电视连续剧,竟然在电脑屏幕上卡成了PPT,这源头还得从最近臭名昭著的“祸乱”僵尸 *** 说起。
近期,360安全大脑监测到“祸乱”僵尸 *** 利用十多款流氓软件,下发流量暗刷、挖矿、和静默软件推广三个病毒模块,攻击了多达12万台电脑,导致不少用户在使用电脑期间,出现运行卡慢甚至自动安装 *** 音乐、简压压缩、旋风PDF等多达20种软件的情况,严重影响了用户的使用体验。
“祸乱”僵尸 *** 卷土重来
新增静默推广病毒模块肆意敛财
事实上,这并不是“祸乱”之一次在 *** 上发动大规模攻击。早在今年7月份, 360安全大脑就曾监测拦截过“祸乱”僵尸 *** 的异动,彼时其搭载流氓软件下发流量暗刷和挖矿两大病毒模块,双管齐下暴力敛财,导致25万台电脑运行受到影响;如今,“祸乱”卷土重来,携“暗刷”、“挖矿”、“静默推广”三大攻击手段再度来袭,肆意损害用户电脑以牟取暴利,可谓来势汹汹。
本次“祸乱”僵尸 *** 静默推广的软件列表
此外,360安全大脑还监测到本次传播的“祸乱”病毒样本总共用到了7种不同的有效数字签名,如此大手笔的投入,可以想象这个僵尸 *** 能给其背后的黑产团伙带来多大的利益。不过广大用户无需担心,目前360安全卫士已全面拦截“祸乱”僵尸 *** 的连环攻击,建议广大用户及时下载安装360安全卫士保护电脑隐私及财产安全。
本次“祸乱”僵尸 *** 使用到的七种数字签名
360安全大脑深度溯源
还原“祸乱”攻击始末
为避免该攻击感染面积进一步扩大,360安全大脑经过深度溯源分析后,全面还原了“祸乱”僵尸 *** 攻击全貌。数据显示,本次“祸乱”僵尸 *** 依然会通过“迅捷看图”、“魔方快搜”、“无忧看图”等十多款流氓软件进行传播,在感染方式上与旧版并无太大变化,但在其下发的盈利模块中,除暗刷、挖矿外,却增加了一个用于恶意推广的病毒驱动RomFS.sys,,文件属性如下所示:
该驱动在启动之后会将病毒动态库注入到系统进程中,动态库的字符串和导入表均经过了混淆处理,运行后先经过异或解密,还原字符串和导入表:
然后检测调试和虚拟机环境:
挂钩LdrLoadDll禁止下列安全模块的正常加载:
之后会收集系统信息发送到C&C服务器请求配置文件:
然后解密从服务器返回的加密数据:
最终解密出一个json格式的配置文件,并将其保存到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\cpuID中,解密后的配置文件如下图所示:
配置文件中不同的CLSID代表不同的分支,对应CLSID的注册表则用来存储加密后不同的病毒模块,当动态库检测到对应的注册表键值存在时,便会读取其中的加密模块进行解密加载,相关的解密过程如下:
最终解密出的病毒模块会执行恶意推广的病毒逻辑,其完整流程如下所示:
如此缜密的静默推广方式,再配合“流量暗刷”、“挖矿”两大攻击模块,“祸乱”一旦入驻用户电脑,必将给其带来巨大危害。为防止该僵尸 *** 攻击感染范围进一步扩大,360安全大脑建议广大用户做好以下防御措施,保护电脑隐私及财产安全:
赌徒都会出现无数次轮回,每一次轮回完毕你的荷包就瘪一点,但是赌徒依然重复着这样的事情,直到囊中空空负债累累的时候,赌徒戒赌之所以不好戒,都是自己给逼的,赌徒赌博真的有瘾吗?你见过天天挨打还喊过瘾的人吗...
6月10日下午4点,思源资源网了解到,新浪微博因涉蒋某事件被约谈 责令其立即整改 热搜榜被停更新一周 据国家互联网信息办公室官方微信消息,6月10日,国家互联网信息办公室指导北...
在我们的平时玩电脑的过程中,电脑中病毒大家都经历过,而为了有效的防止病毒的入侵,一些电脑安全防护软件例如:360安全卫士、腾讯电脑管家、金山毒霸等。在我们的认知里黑客与这些安全防护软件一直都是对立的,...
首先一副好眼镜由三个部分构成: 准确的验光+好的镜片+好的镜架=一副好眼镜 1、验光: 肯定是最重要的,他关系着配出来的眼镜是不是适合你,戴着是否能看清楚东西,戴着是否舒适,哪里验光靠谱,我只...
从工作杀手到杀手机器人,人工智能(AI)越来越成为其对人类生命潜在不利影响的焦点。然而,新加坡正在倡导在技术不断发展的同时推迟判断的必要性,而是将重点放在建立信任上。 新加坡通信和信息部长兼贸易...
现在是互联网主导的时代,所以现在有了更加多与网络相关的行业,很多人也开始使用网络来进行业务开展,而黑客则是非常好的互联网行业,黑客可以进行盗号、破解、安全攻破、刷会员等,黑客在线接单同时现在的网上网站...