- 1火绒安全周报：新型勒索病毒要求用银行卡交赎金 甲骨文POS...
- 21键管理系统打开项 显著提升启动速度
- 3火绒安全警报：“Win10之家”首页被植入病毒 与多家知名...
- 4“勒索病毒”瞄准白领电脑裸奔族
- 5伪造微软等企业签名 恶性病毒偷比特币+挖矿
- 6安全警报：Ursnif病毒新变种全球泛滥 运用安全厂商签名...
- 7火绒产品公告——新增重要功能“漏洞攻击拦截”
- 8火绒安全警报：挖矿病毒通过Flash漏洞传播 火绒用户无需...
- 9“信任“之殇：安全软件的“白名单”将放大恶意威胁
- 10勒索病毒WannaCry深度技术区分
- 11火绒公布4.0版新品 主推“情报驱动安全”新理念
- 12安全警报：恶性病毒“苏拉克”正在蔓延
分析报告下载地址：
一、背景
近期，火绒团队截获一个由商业软件携带的病毒，并以其载体命名为“净广大师”病毒。在目前广为流行的“流量劫持”类病毒中，该病毒策略高明、技术暴力，并攻破HTTPS的“金钟罩”，让百度等互联网厂商普遍使用的反劫持技术面临严峻挑战。且该病毒驱动在”净广大师“卸载后仍然会持续加载并劫持百度搜索流量，行为及其恶劣。
我们曾在此前报告（http://bbs.huorong.cn/thread-18766-1-1.html）中进行过病毒简述，本文中我们将对“净广大师”病毒进行详细分析。
二、样本分析
在“净广大师”安装过程中，我们注意到“AdAnti.exe”进程在系统驱动目录下释放了一个隐藏的文件名为“rtdxftex.sys”的驱动。如下图所示：
图2-1、“净广大师”安装过程
该驱动是“AdAnti.exe”从“净广大师”安装目录下复制到系统驱动目录的，该驱动有32位和64位两个版本，文中主要依据32位版本的病毒驱动（TdxFlt_i386.sys）进行分析。如下图所示：
图2-2、病毒驱动文件
在病毒驱动加载后，通过提取内存字符串，我们获得到了更多与病毒相关的特征信息，而且这些特征在静态状态下是无法在病毒驱动文件中提取到的。如下图所示：
图2-3、病毒驱动加载后的内存数据
通过我们对该病毒驱动的分析，我们发现该驱动运行会先执行两次解密操作，第一个解密后获得驱动运行时所需的数据，第二个解密操作可以得到一个病毒动态库。解密代码如下图所示：
图2-4、病毒解密代码
根据其代码中的解密算法还原，我们可以解密出该驱动使用的一个病毒动态库和在其内部使用的一些关键的数据，如下图所示：
图2-5、病毒动态库解密
图2-6、病毒数据解密
通过对病毒驱动的分析，我们发现病毒会将其解密后的动态库通过APC注入的方式注入到“explorer.exe”进程中。如下图所示：
图2-7、病毒注入“explorer.exe”代码
图2-8、APC注入代码（1）
图2-9、APC注入代码（2）
在病毒注入“explorer.exe”之后，百度的搜索链接便会被劫持带上病毒制造者的计费ID。在我们重现的环境中，该病毒劫持到的计费ID为“93718154_hao_pg”。如下图所示：
图2-10、百度被病毒劫持
通过分析得知，该病毒是通过代理的方式，以中间人攻击的形式来劫持HTTPS流量。如下图所示，病毒驱动注入到explorer.exe进程的代码会监听10100端口。
图2-11、注入后explorer的病毒代码劫持IE的联网请求
当浏览器访问百度时，病毒驱动会将连向百度（61.135.169.125）443端口（HTTPS）的链接重定向到本地的10100监听端口，explorer中的病毒代码再代替浏览器发起与远端Web服务器的链接进行通讯。该病毒同时通过自己携带的证书分别与浏览器和远端Web服务器完成SSL握手，进而以中间人攻击的形式完全控制HTTPS链路通信。
图2-12、中间人攻击示意图
通过对该病毒注入explorer的动态库进行分析，发现在该动态库资源中，我们可以看到病毒”劫持”所用到的SSL证书。如下图所示：
图2-13、病毒发起劫持所用到的SSL证书
在病毒将该动态库注入explorer后，我们在explorer.exe进程的内存块中也同样可以提取到与上图相同的证书数据。
图2-14、explorer.exe进程内存字符串
在将上述内存中的证书数据保存为证书文件后，将其与病毒劫持证书进行对比，两者的根证书与子证书完全一致。如下图所示：
图2-15、静态解码的劫持证书（左为根证书、右为子证书）
图2-16、被劫持现场中显示的劫持证书（中为根证书、右为子证书）
三、同源性分析
通过在火绒样本管理平台中搜索“净广大师”病毒使用的百度计费ID“93718154_hao_pg”，我们得到了少量关联样本。如图所示：
图3-1、部分样本sha1
图3-2、带有推广号“93718154_hao_pg”的病毒样本
通过分析，我们发现这些样本与之前截获的“净广大师“病毒样本具有极高的同源性，且火绒已全部检出。同时，我们也从VirusTotal上查到友商对该病毒的检出结果。如图所示：
图3-3、友商对“净广大师”病毒同源样本检出结果
随后，我们有提取了这些病毒代码中的部分关键数据，在火绒样本管理平台中通过关联查询得到了更多的同源性样本。我们随即将这些病毒样本按捕获的时间进行了排序对比，如下图所示：
图3-4、该病毒家族以往样本数据
通过上图我们可以看出，无论是病毒的数据特征，还是病毒工程的编译路径都显示该家族的所有病毒样本与“净广大师“病毒一样，都出自同一个人。根据我们收集到样本时间来看，近段时间以来该病毒正在不断地进行迭代更新。从最早期样本运行时会产生日志，再到后来使用多个推广计费号劫持百度搜索，到最后现在版本将病毒数据和病毒动态库以加密方式存放在驱动镜像中。随着病毒的不断迭代，病毒的复杂程度正在不断提升。
四、附录
文中涉及样本SHA1：
“净广大师”病毒同源样本SHA1：
推荐资讯 总人气榜
相关软件
2345安全卫士最新官方版
2345安全卫士官方版 | 45.34MB
2345安全卫士是集电脑体检、木马查杀、垃圾清理、修复系统漏洞、系统加速、软件管理等功能为一体的电脑安全管理的软件.提供全方位检测，用户可以通过检测结果快速了解自己的电脑并且对电脑进行优化..
360杀毒软件官方正式版
360杀毒软件官方正式版 | 35.10MB
360杀毒具有查杀率高、资源占用少、升级迅速等优点。零广告、零打扰、零胁迫，一键扫描，快速、全面地诊断系统安全状况和健康程度，并进行精准修复，带来安全、专业、有效、新颖的查杀防护体验...
360安全卫士最新版下载
360安全卫士最新版下载 | 50.3MB
360安全卫士是一款由奇虎360公司推出的功能强、效果好、受用户欢迎的安全杀毒软件。360安全卫士拥有查杀木马、清理插件、修复漏洞、电脑体检、电脑救援、保护隐私，电脑专家，清理垃圾，清理痕迹...
QQ电脑管家官方正式版
QQ电脑管家官方正式版 | 24.2MB
腾讯电脑管家（Tencent PC Manager/原名QQ电脑管家）是腾讯公司推出的免费安全软件。拥有云查杀木马，系统加速，漏洞修复，实时防护，网速保护，电脑诊所，健康小助手...
金山毒霸2022最新版下载
金山毒霸2022下载 | 37MB
金山毒霸融合了启发式搜索、代码分析、虚拟机查毒等技术。经业界证明成熟可靠的反病毒技术，以及丰富的经验，使其在查杀病毒种类、查杀病毒速度、未知病毒防治等多方面达到世界先进水平...
猎豹清理大师官方版下载
猎豹清理大师下载 | 47.4MB
猎豹清理大师（原金山清理大师）是由金山网络开发的智能手机应用。它可以清理智能手机上的应用缓存、残余程序文件、历史痕迹以及应用程序安装包...
