• 首页 > 产经新闻频道 > 业界新闻

    抢先注册阻碍安全工具运行 暗云新变种多手段对抗杀软

    2017年05月10日 14:05:03   来源:中国网

      今年4月,国内网友在玩某射击游戏时陆续出现电脑卡顿的现象,而随着时间的推移,类似的情况不断发生。腾讯电脑管家在接到网友求助后,第一时间监测并跟进调查,发现造成电脑卡顿的元凶系通过感染磁盘MBR来实现开机启动的暗云木马最新变种——“暗云Ⅲ”BootKit木马。目前,腾讯电脑管家已经能够准确检测和查杀暗云系列木马,网友可在腾讯电脑管家官网下载“暗云”专杀版处理该木马。

      (腾讯电脑管家查杀“暗云Ⅲ”)

      作为一个特殊空间,MBR是磁盘主引导记录,它不属于磁盘上的任何分区,而一旦MBR出现恶意代码,即使重装系统也无法清除,一般情况下需要使用安全软件对MBR进行清理修复。目前暗云系列木马均通过感染磁盘MBR来实现开机启动,由MBR开始通过int 15中断一步步的hook来跟随系统的引导流程进入系统内核执行,该套代码可兼容XP、Vista、Win7、Win8等主流操作系统,包括64位和32位。

      (暗云系列 BootKit 启动过程示意图)

      暗云系列木马通常借助外挂、游戏辅助、私服登录器等传播,此类软件会诱导用户关闭安全软件后使用,这样木马就可乘机植入。一旦用户中招,将遭遇系统运行变慢、账号被盗、主页被锁、恶意推广等问题,严重者可能会受到网络攻击。目前,“暗云Ⅲ”的主要影响是刷流量和攻击网站,不法分子也可随时进行更新,从而做各种恶意行为,对用户电脑造成严重的安全隐患。

      “暗云Ⅲ”爆发后,腾讯电脑管家安全研究人员在第一时间进行监测并分析。首先,在“暗云Ⅲ”进入Windows内核后,会立即执行一段代码,通过磁盘钩子、定时器守护等一系列操作保护恶意的磁盘MBR不被检测和修改。同时,该木马还会在内核中直接联网下载代码,解压尾部数据来得到一个“playload.dll”,并尝试以APC的方式向应用层指定进程插入该dll文件。成功插入后,该dll就可以从云端下载配置文件,实现包括删除指定服务,指定注册表,下载指定文件加载、运行、注入等功能。研究人员还对比“暗云Ⅱ”和“暗云Ⅲ”配置文件中的Version字段,发现当前版本已经达到624,证明“暗云Ⅲ”不仅持续活跃,而且更新频繁。

      (三代暗云木马比较)

      事实上,“暗云”系列木马自2015年初被腾讯电脑管家首次捕获并查杀,至今已有2年多。随着技术的升级,该木马不断更新迭代,在隐蔽性、兼容性以及对抗安全软件的能力上均与之前版本有了比较明显的晋级特征。“暗云Ⅲ”无文件无注册表,取消了多个内核钩子、对象劫持,隐蔽性更强;由于“暗云Ⅲ”主要通过挂钩磁盘驱动器的StartIO来实现隐藏和保护病毒MBR,而此类钩子位于内核很底层,不同类型、品牌的硬盘所需要的hook点不一样,同时木马增加了更多判断代码,能够感染市面上的绝大多数系统和硬盘;为了对抗安全厂商的“急救箱”类工具,“暗云Ⅲ”还能通过抢先注册名称的方式阻止急救箱正常功能开启,而其设备名称就是急救箱里面会用到的底层设备名称。

      腾讯安全反病毒实验室专家马劲松表示,广大用户不必对“暗云”系列木马感到恐慌,目前腾讯电脑管家已经能够准确检测和查杀这类木马。同时,建议网友在上网时应保持腾讯电脑管家等安全软件开启状态,不要运行来源不明和被安全软件报毒的程序。

      文章内容仅供阅读,不构成投资建议,请谨慎对待。投资者据此操作,风险自担。

    即时探行数字人注册免费试用

    第三代骁龙8s平台,“恰逢其时”的“新生代旗舰”之选

    日前,高通举办新品发布会,推出了骁龙8旗舰移动平台诞生以来的第一款新生代旗舰平台:第三代骁龙8s,这是高通对骁龙旗舰移动平台的一次层级扩展,同时意味着广大消费者未来在旗舰手机市场也将会有更多丰富的选择。

    新闻探行AI智能外呼系统 节省80%人力成本

    敢闯技术无人区 TCL实业斩获多项AWE 2024艾普兰奖

    近日,中国家电及消费电子博览会(AWE 2024)隆重开幕。全球领先的智能终端企业TCL实业携多款创新技术和新品亮相,以敢为精神勇闯技术无人区,斩获四项AWE 2024艾普兰大奖。

    企业IT探行AI客服 24小时无休机器人接待

    重庆创新公积金应用,“区块链+政务服务”显成效

    “以前都要去窗口办,一套流程下来都要半个月了,现在方便多了!”打开“重庆公积金”微信小程序,按照提示流程提交相关材料,仅几秒钟,重庆市民曾某的账户就打进了21600元。

    3C消费探行AI视频 快速生成真人营销视频

    “纯臻4K 视界焕新”——爱普生4K 3LCD 激光工程投影

    2024年3月12日,由爱普生举办的主题为“纯臻4K 视界焕新”新品发布会在上海盛大举行。

    研究探行AI整体解决方案 全国招募代理

    2024全球开发者先锋大会即将开幕

    由世界人工智能大会组委会、上海市经信委、徐汇区政府、临港新片区管委会共同指导,由上海市人工智能行业协会联合上海人工智能实验室、上海临港经济发展(集团)有限公司、开放原子开源基金会主办的“2024全球开发者先锋大会”,将于2024年3月23日至24日举办。