使用论坛附件上传样本压缩包时必须使用压缩密码保护,压缩密码:52pojie,否则会导致论坛被杀毒软件等误报,论坛有权随时删除相关附件和帖子!
病毒分析分区附件样本、网址谨慎下载点击,可能对计算机产生破坏,仅供安全人员在法律允许范围内研究,禁止非法用途!
禁止求非法渗透测试、非法网络攻击、获取隐私等违法内容,即使对方是非法内容,也应向警方求助!
本帖最后由 火绒安全实验室 于 2023-12-8 18:03 编辑
近期,火绒收到用户反馈,在pc6下载站中下载安卓应用程序的电脑版软件时,实际安装的是一款名为“云即玩”的模拟器,并且该模拟器会捆绑流氓软件“天空压缩”。经过火绒安全人员分析,发现该流氓软件可以执行后台静默安装、创建推广快捷方式、弹出指定网页等各种恶意行为,对用户构成较大的威胁。目前,火绒安全产品可对上述病毒进行拦截查杀,请用户及时更新病毒库以进行防御。
Image-0.png (31.84 KB, 下载次数: 0)
下载附件
2023-12-4 18:10 上传
查杀图
该流氓软件安装完成后,会将自身添加到任务计划中进行持久化。其会在右下角不定时地弹出窗口 ,提示用户更新成功,并且窗口下方用半透明小字体显示要安装的软件,窗口消失后便进行静默安装,如下图所示:
Image-1.png (58.69 KB, 下载次数: 0)
下载附件
2023-12-4 18:11 上传
提示窗口
此外,用户被捆绑下载到“天空压缩”后,“天空压缩”会上传用户操作系统信息、进程信息、注册表信息等。该病毒的执行流程图如下:
Image-2.png (221.99 KB, 下载次数: 0)
下载附件
2023-12-4 18:11 上传
流氓软件执行流程
在此,火绒工程师建议大家在下载软件时,尽量选择官方或正规可信的应用商店,并安装可靠的安全软件保护设备免受恶意软件和病毒的侵害。目前,火绒应用商店已独立上线,提供软件下载、程序升级、卸载管理等功能,省时、省力、更省心,欢迎大家到火绒官网下载体验。
一、 样本分析
在pc6下载站下载安卓软件电脑版时,大部分都会先下载一个“云即玩”的模拟器,该模拟器会捆绑流氓软件“天空压缩”,默认为勾选状态,以“画世界电脑版”为例,如下图所示:
Image-3.png (179.95 KB, 下载次数: 0)
下载附件
2023-12-4 18:11 上传
画世界安装
安装完之后,天空压缩会在后台运行,并将自身添加到任务计划中来进行持久化,如下图所示:
Image-4.png (45.73 KB, 下载次数: 0)
下载附件
2023-12-4 18:11 上传
任务计划
天空压缩会收集用户电脑进程信息判断是否是网吧环境,是否存在杀毒软件,是否存在指定进程,以及用户电脑是否安装过指定软件等信息,并将这些信息发送给C&C服务器,并接收C&C下发的配置信息,相关代码,如下图所示:
Image-5.png (208.8 KB, 下载次数: 0)
下载附件
2023-12-4 18:11 上传
检测用户电脑环境
会检测的进程和注册表列表,如下图所示:
Image-6.png (149.59 KB, 下载次数: 0)
下载附件
2023-12-4 18:12 上传
会检测的进程和注册表列表
恶意推广
上传完用户信息之后,会等待C&C服务器下发配置信息,根据配置信息来执行各种恶意功能如:静默软件推广,创建推广快捷方式,弹出指定推广网页等恶意功能,C&C服务器下发的配置信息,如下图所示:
Image-7.png (79.94 KB, 下载次数: 0)
下载附件
2023-12-4 18:12 上传
配置信息
软件推广
软件推广有多种方式,包括无提示后台静默安装、提示后台静默安装。此次安全人员分析的情况是提示后台静默安装,在右下角不定时地出现一个窗口,提示用户更新成功,并带有
半透明小字体显示要安装的软件,该窗口很快就自动消失,如下图所示:
Image-8.png (58.68 KB, 下载次数: 0)
下载附件
2023-12-4 18:12 上传
提示窗口
窗口消失之后,就会根据配置信息来静默安装各种软件,相关代码,如下图所示:
Image-9.png (119.24 KB, 下载次数: 0)
下载附件
2023-12-4 18:13 上传
后台静默安装
火绒剑监控到的相关行为,如下图所示:
Image-10.png (104.57 KB, 下载次数: 0)
下载附件
2023-12-4 18:13 上传
火绒剑图
创建推广图标
根据配置信息在桌面创建快捷图标来进行广告推广,相关代码,如下图所示:
Image-11.png (200.88 KB, 下载次数: 0)
下载附件
2023-12-4 18:13 上传
在桌面创建快捷方式
创建的桌面图标,如下图所示:
Image-12.png (48.84 KB, 下载次数: 0)
下载附件
2023-12-4 18:13 上传
桌面图标推广
弹出指定广告网页
如果配置信息带有links项就会通过ShellExecuteA来直接弹出指定推广网页,相关代码,如下图所示:
Image-13.png (50.34 KB, 下载次数: 0)
下载附件
2023-12-4 18:13 上传
弹出指定广告网页
内存加载恶意模块
该病毒还能直接接收C&C服务器下发的模块,直接加载到内存中进行执行,相关代码,如下图所示:
Image-14.png (197.94 KB, 下载次数: 0)
下载附件
2023-12-4 18:16 上传
内存加载恶意模块
在卸载天空压缩时,也会有弹出相关窗口,卸载前最后推广一次软件,如下图所示:
Image-15.png (108.64 KB, 下载次数: 0)
下载附件
2023-12-4 18:16 上传
卸载推广
溯源
通过天空压缩的文件签名,发现签名的公司为“武汉网罗八方科技有限公司”,文件签名如下图所示:
Image-16.png (51.84 KB, 下载次数: 0)
下载附件
2023-12-4 18:16 上传
签名信息
通过对“武汉网罗八方科技有限公司“的知识产权信息进行查询确认天空压缩为该公司旗下开发产品,相关信息,如下图所示:
Image-17.png (164.36 KB, 下载次数: 0)
下载附件
2023-12-4 18:15 上传
知识产权信息
二、附录
C&C:
[
Image-18.png (10.45 KB, 下载次数: 0)
下载附件
2023-12-4 18:15 上传
HASH:
Image-19.png (18.27 KB, 下载次数: 0)
下载附件
2023-12-4 18:15 上传
免费评分
参与人数 52吾爱币 +48
热心值 +45
理由
tianchenyunxi
+ 1
鼓励转贴优秀软件安全工具和文档!
进击的喵星人
+ 1
+ 1
谢谢@Thanks!
loker66fan
+ 1
+ 1
用心讨论,共获提升!
Tcming
+ 1
+ 1
鼓励转贴优秀软件安全工具和文档!
abilittty
+ 1
+ 1
热心回复!
莫奇
+ 1
+ 1
谢谢 @Thanks!
Pjagoniegirl
+ 1
+ 1
热心回复!
恶魔天尊
+ 1
+ 1
我很赞同!
qjlfl
+ 1
+ 1
谢谢@Thanks!
北冥鱼
+ 1
+ 1
我很赞同!
wangccyy
+ 1
我很赞同!
pdcba
+ 1
+ 1
谢谢@Thanks!
heikis
+ 1
+ 1
我很赞同!
yh13100157396
+ 1
+ 1
我很赞同!
whzzqy
+ 1
热心回复!
Yikou
+ 1
+ 1
谢谢@Thanks!
lalicorne
+ 1
用心讨论,共获提升!
wfh132
+ 1
+ 1
我很赞同!
Pooleclaud
+ 1
+ 1
谢谢@Thanks!
wang380006
+ 1
+ 1
谢谢@Thanks!
White551
+ 1
谢谢@Thanks!
theStyx
+ 2
+ 1
谢谢@Thanks!
wxd11
+ 1
+ 1
用心讨论,共获提升!
cyylszsb
+ 1
我很赞同!
chaifengbox
+ 1
+ 1
感谢发布原创作品,吾爱破解论坛因你更精彩!
蓝灵
+ 1
+ 1
谢谢@Thanks!
goditorjoker
+ 1
我很赞同!
inflowin
+ 1
+ 1
我很赞同!
lsh15
+ 1
我很赞同!
空中的云
+ 1
+ 1
我很赞同!
ACBur
+ 1
+ 1
我哭死,明明可以直接安装,它却还是用半透明的给你显示一下
sysmu
+ 1
+ 1
谢谢@Thanks!
merky
+ 1
用心讨论,共获提升!
weidechan
+ 1
+ 1
欢迎分析讨论交流,吾爱破解论坛有你更精彩!
wcy90000
+ 1
+ 1
用心讨论,共获提升!
random1
+ 1
+ 1
用心讨论,共获提升!
树袋熊睡醒了
+ 1
+ 1
谢谢@Thanks!
HuAsHi
+ 1
+ 1
用心讨论,共获提升!
BayMax2911
+ 1
+ 1
谢谢@Thanks!
dajiang001
+ 1
+ 1
谢谢@Thanks!
soughing
+ 1
+ 1
谢谢@Thanks!
yixi
+ 1
+ 1
谢谢@Thanks!
yxmlop
+ 1
我很赞同!差点下载了
可坏
+ 1
+ 1
鼓励转贴优秀软件安全工具和文档!
poyourmumjie
+ 1
+ 1
我很赞同!
mmffddyy
+ 1
+ 1
谢谢@Thanks!
wangzhenc
+ 1
+ 1
谢谢@Thanks!
jyys1860
+ 1
谢谢@Thanks!
忆魂丶天雷
+ 1
+ 1
最好的打击方法就是向相关推广联盟投诉封禁违规推广的产品
Liona
+ 1
+ 1
谢谢@Thanks!
qingyun12345
+ 1
谢谢@Thanks!
BonnieRan
+ 1
+ 1
热心回复!
查看全部评分