黑客接单网:你还在用“加了料”的系统还原东西么？

访客5年前 (2020-01-11)黑客文章690

运用激活软件、系统盘等东西传达病毒和流氓软件已是层出不穷的一大乱象，因为此类东西一般都是装机后首要设备的软件，占据在上面的病毒和流氓软件便运用介入机遇更早的优势各种作恶，绑缚设备、绑架主页乃至与安全软件进行对立，令普通用户苦不堪言。

就在日前，火绒接到用户反应，称运用U深度U盘启动盘制造东西复原系统之后，设备的火绒安全软件被删去。火绒工程师分析发现，该复原东西可调用病毒程序，依据不同系统环境复原系统时，对指定软件进行删去，并篡改IE浏览器主页。

此外，火绒工程师溯源分析，该复原东西前期版别中的病毒程序不只可以直接履行删去第三方软件（包含火绒）和一些带有主页绑架功用的流氓软件等歹意行为，还会篡改浏览器主页装备、浏览器收藏夹以及推广其它软件。火绒工程师由此判别，该激活东西是为推广同名软件做准备，然后抢夺软件设备计费名进行牟利。

而在新版U深度U盘启动盘中，现已没有推广绑缚等行为，但仍然存在删去第三方软件等留传歹意行为。尽管此举对用户无法形成实质性损害，但我们仍旧主张我们慎重运用此类复原东西，并运用正版复原软件。用户假设运用过该激活东西，可运用火绒及时扫描查杀病毒程序。

一、病毒分析

火绒接到用户反应，在运用U深度复原GHOST镜像时，备份镜像中的火绒安全软件会被删去。通过分析发现，该GHOST复原程序在复原系统后，会调用NUML0CK.exe进行删去文件的操作。NUML0CK.exe功用首要分为两个部分：PE形式下会删去安全软件、常见的第三方软件和一些带有主页绑架功用的流氓软件；非PE形式下，会篡改浏览器主页、修正浏览器收藏夹等操作。依据上述歹意行为，我们将其界说为病毒进行查杀。

NUML0CK.exe是由AutoIt脚本编译生成的可履行程序，且脚本进行了混杂，一切的分析均依据反混杂后的脚本文件。脚本中用到的一切字符串和数值常量均初始化存储在一个大数组中，然后运用数组元素对变量进行初始化并运用。如下图所示：

通过混杂的原始脚本文件

由程序的逻辑可以得到一切变量对应的字符串和常量，接下来对NUML0CK.exe实践的功用部分进行分析。NUML0CK.exe首要会读取注册表信息，判别是否工作在PE环境下。相关代码，如下图所示：

检测是否为PE环境

在PE环境下，NUML0CK.exe会依据复原镜像的不同，对特定镜像中含有的主页确定程序和推广程序进行处理，然后愈加便利本身进行主页确定和软件推广。NUML0CK.exe判别当时复原镜像需求进行何种操作时，首要会读取复原镜像中的WindowsSystem32config目录下的SYSTEM，SOFTWARE, DEFAULT注册表文件的时间和大小信息，之后连接成字符串，并核算MD5，用于标识特定的镜像文件。相关代码，如下图所示：

核算镜像文件标识

关于每种特定的不同的镜像文件进行不同的操作，基本上为对镜像文件中的特定主页绑架和推广程序进行删去或用空程序进行替换操作，以及创立结束为.exe的文件夹，阻挠复原后的镜像发生同名的推广设备包程序。如下图所示：

依据不同镜像进行不同操作

删去镜像中的文件或用空程序替换

检测随机名驱动，假设存在，则设置标志，并记载驱动名和要删去的程序名。删去随机名驱动和常见杀软驱动的注册表项。当用于标识镜像的MD5串值为6995C85148CC8EED5EDF0904225DDC3F、A8330A79482095C239EF17C3C299883D等，且检测到存在文件MD5为 26F63B278F6061187B37BB8C867B823B、B16CAB3077C11387BB32A4C5E14C47D0等的随机名驱动文件时，触发删去火绒的流程。但因为代码中或许存在bug，当读取分区WindowsSystem32config目录下的SYSTEM注册表文件失利时，也会触发删去流程。如下图所示：

检测随机名驱动

删去随机名驱动和常见杀软驱动的注册表项

假设检测到特定随机名驱动，程序还会设置SetupType注册表键值，并持续设置SOFTWARE和USER注册表，最终将删去流程的符号方位1，履行安全软件、常见软件及流氓软件的文件删去流程。如下图所示：

触发删去流程

删去流程首要会删去分区目录下的绑架主页的流氓程序。如下图所示：

删去绑架主页的流氓程序

遍历分区两级目录和特别目录，删去常用的杀软，视频影音 if (tally.fail_cnt == TAL *** _HI) { /* Overflow *and* underfl if (!pszModName)ow. 等软件的设备包程序。删去软件目录的相关操作疑似用来抢夺软件设备计费名，不扫除其推广设备同名软件进行牟利的或许性。如下图所示：

遍历的目录

受病毒影响的软件设备包列表，如下图所示：

删去的软件设备包

病毒还会删去桌面上特定的后缀为.exe, .lnk和.url文件。如下图所示：

删去桌面特定文件

删去Program Files目录和Program Files (x86)目录下的常用杀软，视频影音等软件的程序文件夹。删去 *** 浏览器的晋级程序和2345软件文件夹。如下图所示：

删去常用软件的设备目录

受影响的软件目录列表，如下图所示：

删去的程序文件夹

篡改IE浏览器主页，如下图所示：

篡改主页

该病毒在非PE环境下还会进行绑架主页、添加收藏夹，并将主机的信息加密后上传至服务器。相关行为，如下图所示：

主页篡改和添加收藏夹

拼接信息，加密并发送

我们发现运用15年版别的U深度设备系统时，NUML0CK.exe会被添加进开机启动项中，履行非PE环境下的代码，用于篡改主页，添加收藏夹，推广软件等。推广的软件有360安全浏览器，爱奇艺。但在运用最新版的U深度设备系统时，NUML0CK.exe并不会被添加到开机启动项中，不会工作非pe环境下的代码逻辑。究竟是推广战略的改变仍是其他的原因不得而知。但是在运用最新的U深度备份系统时，备份程序会首要绑架主页，再进行备份，致使复原出来的系统均会被绑架主页。如下图所示：

U深度15年版别装机

NUML0CK.exe检测特定的镜像文件，对锁首流氓程序和推广设备包进行检测和处理，而且NUML0CK.exe在之前的版别中被用于推广软件，估测应为与同行争抢设备包推广途径和主页流量。关于需求进行系统备份的用户，主张运用正版软件，以避免收到相似的病毒要挟。