关闭

绑定手机号

应国家法规对于账号实名的要求,请您在进行下一步操作前,需要先完成手机绑定 (若绑定失败,请重新登录绑定)。了解更多

不绑定绑定手机号

360官网 | 360商城 | 社区客户端

推荐论坛版块活动众测商城积分兑换常见问题
本帖最后由 飞机飞行 于 2021-5-8 20:58 编辑
近日,360安全大脑监测到,装机盘恶意驱动XQGuard小强木马有所更新(旧版本小强木马分析报告:
https://bbs.360.cn/forum.php?mod ... =%E5%B0%8F%E5%BC%BA),不同于之前怂到遇监控软件和杀软即“自尽”的唯唯诺诺姿态,新版本的小强开始了针对杀软的武装抵抗。

不过广大用户无需担心,360安全卫士即可对此类木马的拦截和查杀。

360社区

360社区


一.躬耕于黑暗,侍奉于光明——驱动隐藏与回写

“躬耕于黑暗,侍奉于光明”,这是小强的内心独白;“开灯”(开机)就躲避,“关灯”(关机)就显形,这是小强的真实写照。

不同于以往检测到安全工具和杀软才隐藏自己的行为,新的小强驱动,开机加载之后就会当机立断删除自身的注册表和磁盘驱动文件,来隐藏自身。如同白昼的小强们家中缝隙藏身,小强驱动加载后也仅在内存中苟存。


360社区

360社区



什么?你问小强何以至此?

“打工是不可能打工的,这辈子都不可能打工的,只能靠改改浏览器首页,做做恶意流氓软件捆绑安装之类的,维持一下生活这样子”,委身于黑暗中(内存中)的小强给出了答案,“但是和杀软掐架我又掐不赢的嘛,总得先躲一躲啦。”

随后,为了能在下次受害者机器开机时再次加载,小强注册了一个关机回调,在关机回调中来回写自己的注册表和文件,达到长期驻留的目的。


360社区

360社区



二.天下风云出我辈,一入江湖岁月催——利益驱动下的杀软对抗

苦于360安全卫士等杀软的查杀,小强被围剿殆尽,脏钱挣得是越来越少了。

某日,小强受到某电影的启发,一跃而起,振臂一呼, “我是想站着,还把钱赚了!” ,开始了挣扎和抵抗。

小强去拜了一个自称复姓慕容的师傅,学了一门“斗转星移”的武功。(小强作者去了一个git开头的网站,抄了些代码。)

新版本的小强开始通过自己依托于装机盘的主场优势,抢先一步注册进程创建回调,来阻止杀软进程,抄来的18般兵器,全招呼上。

小强说,“杀人诛心(杀进程还删文件)。”

首先规则一,判断新进程所在的文件路径,如果该进程在指定杀软目录下,则结束进程,并删除该进程对应的磁盘文件。

360社区

360社区


命中杀软文件夹规则,则结束杀软进程,并通过下发IRP删除对应文件:



360社区

360社区


规则二,判断新进程的进程名,如果命中指定的杀软进程名,同样是杀进程删文件。

360社区

360社区


规则三,计算新进程对应文件的md5,与指定的一批杀软md5比较,命中则杀进程删文件。

360社区

360社区

360社区

360社区


规则四,通过数据目录表定位新进程的Security段和Debug段,在这两个段中暴力搜索内存,查找指定杀软的符号信息,命中则杀进程删文件。


360社区

360社区

同时,小强为了防止进程回调被patch,创建了线程while死循环检测自身进程回调的机器指令,一旦发现进程回调被patch,则立即进行恢复。

360社区

360社区


所有的这些对抗手段,都是为了完成驱动层通过Apc进行dll注入,达到最终改首页,做软件捆绑挣脏钱的目的。

360社区

360社区


三.安全建议

以“免费”一键安装,“免费”激活等口号为诱饵,行病毒木马,流氓软件之事的案例屡见不鲜。这些木马篡改浏览器首页,强制下载流氓软件,占用受害者机器资源,影响受害者电脑的日常使用。

但请广大用户无需担心,安装360安全卫士即可对此类木马进行拦截和查杀。希望广大用户保持360安全卫士的常驻保护,警惕360安全卫士所拦截的危险行为。中毒用户亦可下载安装360安全卫士(www.360.cn)以及360系统急救箱,皆可查杀木马。



来源  360安全卫士

共 1 个关于论一只小强的反抗精神——从逆来顺受到武装抵抗的小强木马的回复 最后回复于 2021-5-12 18:14

评论

直达楼层

卫士之圣 VIP认证 LV12.少将 发表于 2021-5-12 18:14 | 显示全部楼层 | 私信
看看了吧
来自360手机N6 Lite(360社区3.5.5版)
您需要登录后才可以回帖 登录 | 注册

本版积分规则

飞机飞行 超级版主

粉丝:176 关注:13 积分:182635

精华:307 金币:192222 经验:148058

最后登录时间:2021-6-20

小水滴公测勋章 智能摄像机3C 摄像机APP V7.0 智能摄像机AP2C 360AI音箱MAX-M1 公测AI小水滴D903 安全卫士10周年纪念 版主 公测360摄像机标准版 儿童五周年纪念章 360家庭防火墙APP内测 公测360摄像机户外版 360手机f4 公测360摄像机变焦宠物版 公测360家庭防火墙V5S 公测摄像机D916 家庭安防套装 防火墙V5S增强版公测勋章 360粉丝达人勋章 360商城青铜会员

私信 加好友

最新活动

招募活动

排行榜

热度排行 查看排行
今日 本周 本月 全部
    今日 本周 本月 全部

      内容推荐 热门推荐最新主帖

        关注360粉丝团,了解最新活动,抽锦鲤大奖,还有在线客服小姐姐等你来撩哦~

        快速回复 返回顶部 返回列表