老毛桃PE盘工具:一款“通杀”浏览器的主页劫持大盗

  • 内容
  • 相关
最近,360安全中心接到多起网友反馈,称电脑中所有浏览器的主页都被篡改,而且强制锁定为http://dh936.com/?00804推广页面。据360安全专家分析,这是一款假冒“老毛桃”PE盘制作工具的推广木马在恶意作祟。

下载该制作工具后,其捆绑的“净网管家”软件会释放木马驱动篡改首页。当发现中招者试图安装安全软件时,还会弹出“阻止安装”提示,诱导中招者停止安装。专家进一步分析后发现,该驱动还设置了不少保护措施逃避安全软件查杀,如禁止自身文件和注册表的浏览和读取等。

实际上,“老毛桃”早已退出市场多年。目前市面上可见的“老毛桃”工具都是假的,更有不法分子经常打着“老毛桃”的旗号传播木马。360现已第一时间拦截查杀该木马,以下是360安全中心对该木马的详细分析:


1.下载的安装包:
该木马网页利用搜索竞价排名在网上扩散,中招者提供的“带毒”网址如图:
1502088395209.jpg

下载PE后里面会带一个PEINIT,去解压这个PELOAD.7z文件。解压出来的PELOAD.BIN文件是一个叫净网管家的安装包。
该安装包文件为:
2.png

然后安装运行后会释放一个  jw开头的随机名驱动:

3.png

并且会拦截360安全卫士等软件安装:

4.png

2 释放的恶意驱动
2.1 驱动文件信息
该驱动文件签名信息为:
5.png

2.2 驱动初始化
该驱动文件加载后就向NTFS文件系统发送标记删除命令。
导致任何访问对该文件的访问都会返回STATUS_DELETE_PENDING。
创建GUID 设备名跟应用层交互。
6.png

注册关机回调
关机回调中回写注册表文件。
7.png

注册进程回调模块加载回调 进程回调主要作用为改主页 
并创建系统线程跟服务器上传信息  驱动自我更新
1.png

注册注册表回调保护自身服务项:

2.png

2.3 进程回调  修改PEB中进程命令行
获取进程PEB信息:  
3.png

判断是否为浏览器进程:

4.png

为通配判断。

5.png

判断父进程:

6.png

拼接命令行:

7.png

拼接后网址为: http://dh936.com/?00804
然后追加到进程路径信息后面, 修改PEB中ProcessParameters进程命令行。
2.png

为了使改首页有效还必须屏蔽网盾模块,
网盾模块主要是两处屏蔽,一处为文件过滤驱动屏蔽,另外一处为进程模块加载Patch。
3.png

相关函数为:

4.png

如果是禁止文件列表,  则直接禁止打开。

5.png

匹配成功则返回1

2.5 模块加载回调
主要是判断浏览器进程

2.png


发现如果是网盾模块加载则Patch入口点。
网盾模块列表:
3.png

Patch代码:

4.png

5.png

2.6 注册表回调
主要是防止自身注册表被访问,被删除,被枚举。
6.png

发现删除为自身项目  直接返回拒绝

7.png

枚举时候检测是否为自身注册表  如果是则隐藏。

8.png

2.7 系统线程
主要是网络上传和更新
发送putlog信息:
2.png

接受数据包:

3.png

上传用户隐私信息还有安装杀毒软件信息:

4.png

360安全卫士已支持该木马查杀,建议各位通过其他正规渠道下载类似的软件工具。

5.png


大白菜PE也是一样的套路,希望各位用一些纯净的

本文标签:

版权声明:若无特殊注明,本文皆为《w0ai1uo》原创,转载请保留文章出处。

本文链接:老毛桃PE盘工具:一款“通杀”浏览器的主页劫持大盗 - https://www.w0ai1uo.org/291.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注

评论

1条评论
  1. avatar

    刘世超 Lv.1 Chrome 60.0.3112.113 Chrome 60.0.3112.113 Windows 7 Windows 7 回复

    好文章,分析的赞!
    白菜、桃,一些古老的版本,不知道是不是安全

    内蒙古呼伦贝尔市 联通

    00:00 / 00:00
    随机播放