krwang 发布于 05月22, 2015

云控攻击之“人生在世”木马分析

摘要

近期一款名为“人生在世”的木马家族异常活跃,它隐藏在“小马激活”、“种子搜索神器迅雷云播版”、“宝宝CF刷枪软件”、“游戏启动器”等软件中,具有较强的免杀能力和大规模传播能力,目前国内仅360安全卫士能够识别查杀该木马家族。

“人生在世”木马的主要特点是纯shellcode类云端控制,木马的云控代码藏在几张美女图片中,图片和代码以“人生在世”这四个字作为“接头暗号”。

此外,该木马组装了“贝壳ARP防火墙”和“ADSafe”的两个程序,通过白利用方式(针对合法软件的DLL劫持)加载木马执行,并采用文件回写、驱动保护、远程注入等多个方式隐藏自身。木马激活后会接受云端控制,向受害者电脑安装大量软件赚取推广费,还会收集受害者信息,从而进一步推送更多恶意程序。

阅读全文 »