天下网吧 >> 网吧天地 >> 网吧技术 >> 网吧软件 >> 正文

卡巴斯基:劫持者木马惊现新变种

2011-7-12天空软件佚名
p>        卡巴斯基实验室之前对“劫持者”木马(Trojan-Dropper.Win32.Agent.dqou)这一新型的通过互联网盈利的恶意程序进行过详细分析,因为该木马标志着恶意软件开始由单机模式向互联网模式转型。最近,卡巴斯基实验室又截获到该木马的最新变种(Trojan-Dropper.Win32.Agent.fdft),其复杂性和功能有了进一步提升。

        卡巴斯基安全部队下载地址:http://www.skycn.com/soft/29876.html
        卡巴斯基反病毒软件下载地址:http://www.skycn.com/soft/22713.html

        新变种有两种程序,均会伪装成游戏工具,诱使计算机用户点击运行。其图标和界面不同,但释放的内容和恶意行为相同。其程序图标如下:

        木马运行后的界面分别为:

木马界面1

木马界面2

        点击启动游戏和进入游戏,木马会释放的名称为spgame.sys的TCP过滤驱动,将自身加入至设备对象链的顶端,这意味着用户的所有网络访问都将由spgame.sys优先处理,此种技术常见于防火墙模块中,黑客正是使用了此技术劫持用户浏览网页。其劫持信息均被加密后存储在特定的文件中,一般用户很难破译。其解密后的代码片段如下:

        经分析,我们发现该木马的新变种能够对多个网站以及搜索引擎进行劫持,其中包括淘宝、百度、搜狗、当当网、卓越、乐淘网、京东、凡客等。系统被感染后,用户在上网浏览时,会被木马劫持到特定的推广内容。如下图:

被劫持后访问百度

        通过将大量用户劫持到推广网站,网络黑客可以大量获利。同时,为了收集和统计受感染计算机数量,木马还会将感染计算机网卡的MAC地址发送给黑客。

        另外,值得特别注意的是,此次“劫持者”木马新变种中竟然包含了可验证的数字签名,进一步增强了其欺骗性,甚至可以骗过某些反病毒软件的检测。如图:

木马中包含的数字签名

        在分析过程中,卡巴斯基实验室的安全专家还发现该木马具有一个有趣的特性,其程序出现错误或组件被杀毒软件隔离后,会提示用户是杀毒软件误报,并要求用户在杀毒软件中设置排除或添加信任。足见该木马作者的狡猾和奸诈。如下图所示:

        目前,卡巴斯基所有安全产品均可以对“劫持者”木马新变种进行查杀。用户只需保持反病毒数据库更新,即可及时查杀和拦截该木马。卡巴斯基实验室同时提醒广大网民,不要轻易下载和运行来历不明的程序,以免感染造成损失。

本文来源:天空软件 作者:佚名

声明
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。文章是出于传递更多信息之目的。若有来源标注错误或侵犯了您的合法权益,请作者持权属证明与本网联系,我们将及时更正、删除,谢谢。 Email:support@txwb.com,系统开号,技术支持,服务联系微信:_WX_1_本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下
  • 本周热门
  • 本月热门
  • 阅读排行