首页 > 病毒安全 >

完美：在2018年为那些困难而顽固的病毒木马平底锅

电脑杂谈　发布时间：2020-09-02 14:13:47　来源：网络整理

顽固木马病毒查杀_顽固木马病毒_手机顽固木马克星

1. 前言

有一类病毒木马，使新兵头疼极了. 他们为什么头痛？一旦招募普通网民，一般的防病毒方法就无法彻底杀死他们. 无法使用杀毒软件杀死，格式化和重新安装可以工作吗？但是，通常在格式化并重新安装后会再次发现这种病毒. 如此顽固的病毒是什么，今天让我们列出一下.

顽固病毒主要是指在计算机启动后的更早时间运行在系统底部的Bootkit病毒和Rootkit病毒. Bootkit病毒会感染磁盘MBR和VBR，并在系统引导阶段直接获得执行控制权. 具有启动早，隐蔽性高的特点. Rootkit病毒在Ring0层执行并具有更高的权限. 他们通常通过诸如挂钩磁盘钩子和注册回调之类的技术手段来实现自我保护. 它们具有激烈的反软件对抗和许多变种的特征.

2018年最活跃的Bootkit / Rootkit病毒家族包括: 暗云，孤狼，插件鬼，血狐，紫狐，隐魂，双，Homepage Security木马等. 其中，最活跃的Rootkit下半年病毒该家庭是一个孤独的狼家庭. 仅计算机管家就有3例与孤狼家族有关的病毒感染案例. 传输渠道从独行侠盗版GHOST系统到独行侠2的激活工具不等. 从获利，传播黑客木马到有力地破坏杀毒软件的功能，可以说是万劫不复.

Bootkit最活跃的病毒家族是“暗云与隐魂”系列. 暗云不仅经常更改其C2 URL，而且还首次发现与Mykings僵尸网络捆绑在一起. 此外，国内制造商披露的暗云变种“隐藏”也加入了采矿行列. Bootkit病毒家族的隐藏灵魂于2017年首次公开，其变种“ Hidden Bee”的主要获利方法也在挖掘中.

Bootkit / Rootkit病毒的传播渠道可以分为四类，主要包括盗版Ghost系统，激活工具，游戏插件助手和下载器，第三方流氓软件以及通过漏洞和弱密码爆炸进行传播的新方法. . 值得注意的是，腾讯宇健威胁情报中心在不同时间段随机选择了主要系统下载站点，对270个系统下载链接下的系统进行了检测，共发现202个由嵌入式病毒引起的系统异常下载链接. 异常比例高达75％.

本文主要从四个方面对2018年该病毒的主要趋势和变化进行了统计: Bootkit / Rootkit病毒的活跃家族，传播渠道，对策和典型案例.

一旦网民感染了顽固且难以杀死的病毒，一般的杀死方法就容易失败. 建议下载计算机管家的紧急磁盘（急救箱PE版本），创建紧急U盘，然后使用紧急U盘启动以检查并杀死病毒. 您可以访问此处下载PE版的电脑管家急救箱:

2. 2018年活跃的B（R）ootkit病毒家族清单

Bootkit / Rootkit病毒仍然是主要的病毒类型，在普通C端用户被感染后，这种病毒更难以检测和杀死. 在2018年，更活跃的Bootkit / Rootkit病毒家族包括Dark Cloud，Lone Wolf，Plug-in Ghost，Blood Fox，Purple Fox，Hidden Soul，Double Gun，Homepage Security Trojan和其他家族.

典型的Bootkit / Rootkit病毒感染事件包括:

腾讯宇坚威胁情报中心对Rootkit病毒的签名信息进行了统计，发现Rootkit病毒的签名信息高度集中，一些签名将被不加区别地使用. 其中，“上海普瑞克软件技术”和“双双河”使用最广泛的木马病毒是使用最广泛的.

被病毒滥用的签名

2018年主要活动Bootkit / Rootkit的统计数据，主要货币化方法包括流量清理，主页锁定，恶意推广，网络攻击，挖掘等. 锁定主页仍是主要货币化方法，占比高达35％，其次是流量和软件推广，占30％. 其中，“暗云”和“独浪”等家庭主要的货币化方法是锁定首页并刷钱. 随着采矿黑产品的兴起，采矿利润逐渐增加（占10％）. 诸如“ Hidden Bee”木马和“黑暗云新变种”之类的Bootkit木马也已开始利用采矿获利.

Tro强的木马的主要货币化方法

三个. B（R）ootkit病毒传播渠道

1. 盗版Ghost系统

盗版的Ghost系统长期以来一直是病毒传播的重要载体. 更重要的是，带有嵌入式病毒的盗版Ghost通常使用搜索引擎制造商的广告竞标排名来使普通网民搜索“ Ghost”系统. 大多数系统中毒时，在搜索量少的前几个搜索中会显示“ Win 7”，“激活工具”和其他相关关键字. 即使网民试图通过搜索引擎搜索“干净版本”，搜索结果仍会显示. 顶部显示嵌入式病毒的下载链接.

有毒的幽灵系统

腾讯宇坚威胁情报中心对主要站点的Ghost系统进行了测试，发现它们具有以下几个特征:

a. 这些盗版Ghost系统的下载链接将经常被替换，其主要目的是避免安全厂商针对这些下载链接发出警告提示；

b. 这些有毒的系统大多数将通过搜索引擎广告来推广. 由于家庭软件习惯和其他原因，普通网民获取这些安装系统的主要方式是搜索，这导致只需要重新安装系统的用户就有可能下载这些有风险的系统并成为受害者； <

c. 提供这些Ghost系统的网站基本上是在显眼位置下载带有病毒的系统.

腾讯宇健威胁情报中心在不同时间段随机选择主要系统下载站点，共测试270个系统下载链接，共发现202个针对嵌入式病毒引起的系统异常的下载链接. 异常占多达75％. 这里的系统异常是指系统异常，例如由于系统中嵌入的病毒而导致主页被锁定，流量的隐藏流以及恶意推销其他软件.

问题下载链接和网站的一部分

顽固木马病毒_顽固木马病毒查杀_手机顽固木马克星

盗版的Ghost系统已成为病毒传播的温床. 重要的原因是背后有利益驱动. 首先是盗版的Ghost系统通过广告竞标排名获得网络流量，以吸引用户进行下载和安装，然后在Ghost系统中预装病毒，最终实现软件的推广和安装，劫持首页等手段. 利润. 获利后，继续加大促销力度，形成完整的闭环产业链.

鉴于盗版的Ghost系统，很长一段时间以来，各种激活工具已被病毒团体频繁使用并传播. 建议网民尝试使用正版软件.

病毒利润链

2. 盗版激活工具，游戏插件和各种下载器

游戏插件和各种辅助工具也是病毒传播的重要载体. 目标是游戏玩家. 这些插件辅助工具主要通过Qige辅助网络（）和I Love辅助网络（），土城社区和许多其他游戏辅助网站等主要插件网站进行传播.

通常用于打包和传播病毒的外部辅助工具包括荒野设备解锁器，单板盒透视图，DNF幻想设备和皇帝破解版. 借助插件辅助的2018年发布的Rootkit / Bootkit包括两木马，紫狐，插件幽灵和其他病毒家族.

中毒游戏的热门插件和辅助工具

2018年，用于传播病毒的最活跃的激活工具是Pony激活工具. 激活工具有很多变体. 以win7激活，系统激活和Office激活的名义，它通过更换各种背心进行传播. 病毒文件通常与激活工具捆绑在一起，并且在运行后会被感染. 第二代孤狼主要通过激活工具进行传播.

小马激活工具

3. 第三方流氓软件

除了上述盗版Ghost系统的传播渠道外，激活工具，下载器，第三方流氓软件也是Rootkit / Bootkit病毒的重要传播渠道.

第三方恶意软件的主要特征是这些软件通常是根据用户的意愿下载和安装的，它们似乎与普通软件没有什么不同. 它们具有完整的安装和显示界面，但是这些软件不了解鬼影. 感觉就像在用户计算机上安装病毒文件一样. 这种传输渠道通常是秘密的，看起来像是许多网民使用的“常规”商业软件.

在这种类型的传播渠道中，主要有两种安装病毒感染的方法. 一种是在安装软件后不会立即感染该病毒，但过一会儿，将通过云控制或软件升级来下载并安装该病毒，另一种方法是捆绑安装病毒和软件.

这种类型的传播渠道已成为病毒传播的重要驱动力. 仅在2018年下半年，计算机管家才首次披露使用第三方流氓软件传播Rootkit / Bootkit病毒，包括首页安全性，血统联盟的荣耀微端，护眼小秘书，炫酷的游戏盒，桌面助手和其他软件.

护眼秘书，血液联盟荣耀显示界面

4. 利用漏洞，弱密码爆炸等手段传播新方法

通过清除弱密码，漏洞被成功利用，然后被中毒. 过去，这种病毒的传播和入侵方法更多地集中在B端企业用户上. 但是，随着近年来挖掘病毒和勒索软件病毒的兴起，为了增加检测和查杀的难度并获得更早的执行机会，诸如挖掘勒索软件之类的病毒还将与诸如Rootkit / Bootkit之类的顽固病毒捆绑在一起.

最典型的情况之一，例如，Dark Cloud Trojan和Mykings僵尸网络被捆绑并传播. 由于Dark Cloud Trojan有机会在系统启动阶段之前执行，因此其执行时间早于操作系统，这大大增加了. 考虑到调查和查杀的成本和难度，在此传输事件中，第一个是爆炸SQL SEVER弱密码. 爆炸成功后，将释放Dark Cloud Trojan和Mykings僵尸病毒，然后Mykings僵尸病毒将利用各种漏洞在内部网中积极传播. ，Eternal Blue，Telnet爆炸，FTP爆炸等是病毒传播者最常用的策略.

入侵传播方法

尝试使用SQLSEVER弱密码清除

四个. 对策技术升级清单

1. 阻止和过滤

Rootkit病毒通常会注册各种回调，或挂钩与系统相关的功能，以便在合适的时间点获得执行机会，并在回调功能中完成相关的拦截和过滤功能. 以孤狼世代为例. 孤狼系列病毒家族可以说是艰难对抗病毒的大师. 这是具有完整筛选架构的筛选驱动程序. 拦截点和过滤点包括文件过滤，网络过滤等. 下图显示了过滤点和使用的技术，并且会影响风险.

孤狼Rootkit过滤点

顽固木马病毒查杀_顽固木马病毒_手机顽固木马克星

2. 对抗反软件

Bootkit / Rootkit病毒具有许多对策，以避免反软件检查和查杀. 常见的对策如下:

路高一英尺，魔鬼高. 防病毒软件与顽固病毒之间的对抗是一个连续的过程. 每当病毒使用新方法逃避或绕过防病毒软件时，它将迅速杀死病毒. 该软件还将升级其检测和杀死新病毒的能力. 绝望时，该病毒还会释放出大招，例如强行重启计算机以阻止查杀进程.

计算机管理器（Computer Manager）在2018年披露的主页安全病毒使用这种强大的对抗方法来避免检测和杀死. 主要逻辑是木马将不断检查系统启动组注册表项HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ ServiceGroupOrder此项的第一项值默认为SystemReserved. 如果检查启动组的第一项不是“系统保留”，则会剧烈重启计算机，并且可以通过OUT指令直接写入IO端口0x64，以实现强制重启，并在0xFE之后写入端口64 ，计算机将被强制重新启动以阻止防病毒软件的检查和杀死

剧烈重启计算机

设备占用维修站

3. 自我保护

这里所说的自我保护主要是为了防止用户发现病毒或由安全研究人员进行彻底分析，他们经常使用一些技术手段来保护自己，从而增加发现或分析病毒的难度.

最常见的自我保护对象是病毒文件和相应的注册表项. 注册表的保护主要是通过注册cmpcallbakck回调来完成的，而自我保护的目的是通过阻止或隐藏注册表来实现的. 病毒文件的保护也可以通过基础文件挂钩来实现. 另外，为了防止被ARK等分析工具发现，通常会隐藏自己的模块信息.

以“ Blood Fox”病毒为例，通过KeServiceDescriptorTable获取NtLoadDriver函数地址，然后四次调用硬编码的查找函数（ba7011a4）以找到MiProcessLoaderEntry函数，并通过搜索以下内容获取MiProcessLoaderEntry地址调用获取链接以隐藏模块. ARK工具找不到该信息.

隐藏模块信息

Bootkit的自我保护主要是保护自己的MBR或VBR感染代码和有效载荷不被发现. 例如，Dark Cloud Trojan将根据磁盘类型和操作系统来替换DriverStartIo，AtapiHwStartIo，RaUnitStartIo和其他功能，以防止其他程序读取磁盘. 扇区1-3F（MBR）. 当检测到读取的MBR时，结构化的正常MBR会返回作弊状态；而当检测到写入的MBR时，操作将直接通过.

MBR保护钩逻辑

五个. 典型案例

2018年下半年最活跃的Rootkit病毒家族是孤狼家族. 腾讯计算机经理仅披露了3例与孤狼家族有关的病毒感染案例. 传输渠道从独行侠盗版的GHOST系统到第二代独狼的激活工具，从主页锁定，掠夺利润，传播黑客木马到强大的杀毒软件功能，可谓无所事事.

1. 孤狼Rootkit病毒家族

Dulang一代病毒家族是由腾讯计算机管理器于2018年6月首次披露的. Dulang一代的分发渠道主要是Ghost系统. 腾讯宇健威胁情报中心已经在不同的Ghost系统中捕获了多个“孤狼”系列Rootkit，其中包括Jomalone系列，chanel系列，Msparser系列，Wdfflk系列，并且不同的Ghost系统将使用固定的服务名称（例如Jomalone）启动，每个系列有多种变体.

Duwolf系列的PDB信息是PASS Through.pdb（过滤），它是一个过滤驱动程序，具有完整的过滤结构，包括文件过滤，网络过滤，进程创建过滤，注册表过滤，模块加载过滤Wait. 这四个系列中最早的一个出现在2017年10月. 此外，签名信息是高度相关的.

参考链接:

盗版的Ghost系统随附了“孤狼” Rootkit，可锁定20多种型号的浏览器主页

孤狼系列出现时间文件签名信息

孤狼II重新扩展了沟通渠道，每个病毒模块的功能也得到了进一步改善. 通信渠道已经从单个Ghost盗版系统的传播演变为伪造系统激活工具的传播. 它主要是通过无声地促进浏览器的安装而获利，它将锁定23个浏览器的主页，并用推广频道号将浏览器地址栏锁定为网站导航站. 与Done Wolf一代的最大区别是，它从纯Rootkit驱动程序中劫持了主页. 转换为内存解密有效负载并结合浏览器注入，此外，浏览器将以静默方式安装.

参考链接:

Rootkit病毒“孤狼2”伪造的激活工具传播开来，锁定了23个浏览器的主页

手机顽固木马克星_顽固木马病毒_顽固木马病毒查杀

用于静默安装Dulang系列病毒的浏览器

Duwolf系列的最新变体将通过“酷游戏盒”，“桌面助手”，“玩游戏”和其他软件来传播黑客木马. 该木马已经感染了超过50,000台计算机. 该软件运行后，首先下载伪装成WPS的病毒，然后下载并安装“孤狼” Rootkit病毒，最后进行市场推广并恶意安装更多软件以牟利.

该木马作者涉嫌伪造“北京方正阿帕比科技”的相关信息. 并申请了正式的数字签名. 该病毒文件将下载Steam黑客木马. 该病毒程序具有合法的数字签名. 及时检查并杀死，这是该病毒感染超过50,000台计算机的重要原因.

参考链接:

Kowan Game Box伪造了一家知名公司的数字签名，以传播Steam木马

独狼木马执行过程

2. 乌云木马

计算机管理员在2015年首次发现了暗云系列. 9月18日，国内安全供应商披露，“隐藏”的暗云变种已切换为挖掘，病毒暴力破解了用户，并入侵了计算机. 执行MBR感染代码将恶意代码注入系统进程（winlogon或Explorer进程），最后，恶意代码将下载后门病毒以在本地执行，而后门病毒将下载并执行与挖掘相关的病毒模块我的门罗币.

参考链接:

“隐藏”病毒帮派技术升级以传播病毒

Dark Cloud Trojan挖掘配置信息

腾讯Yujian威胁情报中心于2018年12月监视了Dark Cloud的最新动态，并将其与Mykings僵尸网络木马捆绑在一起. 通过MS SQL SEVER弱密码成功入侵用户计算机后，它将执行远程脚本命令. 下载多个Trojan文件以在本地执行，包括Dark Cloud Infector，Mykings僵尸网络Trojan，Mirai僵尸网络Trojan. 与以前的暗云系列相比，主要更改包括强制终止包括butler和360的反软件过程，然后注入到应用程序层的有效负载将锁定主页，并根据云配置文件下载并执行木马病毒. （参考链接: [5]）

弱密码炸毁了SQL Server服务器，并同时攻击了多个黑云，Mykings和Mirai病毒家族

暗云配置文件

3. 隐藏的灵魂木马家族

“隐魂”系列于2017年首次披露. 与“暗云”系列的最大区别是有效载荷存储区域和挂钩过程完全不同. 暗云有效负载存储在扇区3至63中，而“隐藏灵魂”系列存储在磁盘中. 结束.

隐藏灵魂系列“隐藏的蜜蜂”的最新变体也在挖掘中. R3层的“ Hidden Bee”挖掘木马的框架设计更加复杂. 整个R3层解压缩后，模块配置文件的总数高达30 +. 同时，引入了LUA脚本引擎以实现灵活的策略控制.

参考链接:

“隐藏的蜜蜂”罢工: 世界上第一个Bootkit级采矿僵尸网络

“隐藏的灵魂”木马篡改主页的分析

隐藏的灵魂木马挖掘策略配置

4. 插件幽灵帮派

2018年10月，腾讯宇健披露了该插件的鬼帮，主要通过奇格辅助网络（）和Woai辅助等多个游戏辅助工具（插件）网站传播``双''和``紫狐''网络（）. “等待木马.

这些网站提供的各种游戏插件工具捆绑有多个恶意程序，主要包括主页锁定程序，“双”病毒家族和“紫狐”木马家族等. 这两种病毒家庭影响了国家数据数千台计算机.

参考链接:

“插件鬼”帮派发现他们是两个主要病毒家族的背后，即双和紫狐.

顽固木马病毒_手机顽固木马克星_顽固木马病毒查杀

与游戏插件捆绑在一起的木马

Purple Fox是一种恶意木马，它使用系统的常规“待处理文件重命名操作”机制来替换系统文件，从而在启动时自动启动和加载驱动程序（自动下载软件）. 此外，该木马将被删除并替换多次，以创建多个进程链，以防止检测和杀死. 木马运行后，它将下载并安装软件以牟利.

参考链接:

“紫狐木马”猛烈袭击

安装文件

Double-gun Trojan是可以感染MBR和VBR的Bootkit病毒家族. 在2018年8月，计算机管家发现了这个家庭的新变种. 多个插件网站将传播双木马，包括土城社区和奇阁辅助网络. 依此类推，这些网站提供的各种游戏插件程序将与名为“快乐输入法”的非法软件捆绑在一起，并且该输入法中隐藏了“ Double Gun”木马下载程序.

中毒计算机的浏览器主页被锁定为带有“ 39201”帐单号的网站导航站. 同时，“双”木马变种还将在系统中保留后门，以窃取敏感的用户信息，从而切断主流杀毒软件的网络功能，将破坏杀毒软件的关键功能. 软件更新，下载病毒，下载其他组件，检查并杀死云等.

参考链接:

“ Double Gun”木马专门研究游戏插件玩家，锁定主页并按下快乐输入法