国产病毒“火球”感染2.5亿台电脑,20%企业中招,背后竟是一家中国广告公司?
按:6月1日,知名安全公司 CheckPoint 发布报告称,发现了由中国公司控制的流氓软件“火球(Fireball)”,因受害者众多,已经引起国外安全机构的重视。火绒安全实验室第一时间对该事件样本和所属主体进行了分析。本文为详细事件分析, 授权发布。
一、综述
6月1日,知名安全公司 CheckPoint发布报告称,发现了由中国公司控制的流氓软件“火球(Fireball)”,因受害者众多,已经引起国外安全机构的重视。
在“火球(Fireball)”事件中,火绒安全团队发现了野马浏览器、Deal Wifi 软件等8款流氓软件,这些流氓软件感染电脑后会将 Chrome浏览器的首页、TAB页改为随机生成的搜索页,而用户无法更改。虽然页面各不相同,但搜索页均抓取雅虎和谷歌数据,火绒安全团队推测,流氓软件制造者以控制用户点击雅虎和谷歌的广告牟利。
流氓软件在安装时会检测电脑是否有 Chrome 浏览器,若没有则相安无事,若有则会提示用户安装一个 Chrome 插件,不安装插件就不能安装软件。
虽然这些软件来自国内卿烨科技、百盛达科技等多家公司,但是火绒安全团队通过追踪发现,其均由同一作者“baoyu430@gmail.com”制作。作者注册不同网站,制作了一批流氓软件。
这些软件只攻击 Chrome 浏览器,但考虑到Chrome浏览器在国外的市场占有率,“火球(Fireball)”事件可谓影响巨大,国内 Chrome用户也可能收到挟持。
用户可以通过卸载这些流氓软件恢复 Chrome 浏览器的设置。目前火绒安全软件也已全面支持查杀“火球(Fireball)”事件涉及的流氓软件。
这次“火球(Fireball)”事件虽然在外国爆发,但其“作案手法”在国内早已屡见不鲜,可以看出国内的网络犯罪手法正在向国际蔓延。
二、事件分析
近期火球(FireBall)事件中,涉事软件存在劫持 Chrome 浏览器首页及新标签页的恶意行为。经过火绒追查,发现更多软件涉及此次事件,如下图所示:
▲ 恶意软件列表
以“Deal WiFi”软件为例,安装如下图所示,如果用户不勾选 "Set mystart.dealwifi.com as your chromehomepage and newtab",则无法继续安装。如下图所示:
勾选后使用火绒剑监控“DealWiFi”安装过程,可以看到程序在后台安装了一个 Chrome 插件,如下图所示:
该插件会“劫持”Chrome的设置界面,如下图所示:
▲ 劫持 Chrome 首页及新标签创建页面
Chrome 浏览器的首页被修改为 hxxps://mystart.dealwifi.com/?type=apps,如下图所示:
▲ 搜索劫持
这些流氓程序安装流程一样,都会强制安装一个名称和所装软件名称一样的 Chrome 插件。这些插件功能完全相同,都是锁定首页和新标签页的URL,其中名为"Soso Desktop"的流氓软件还强制修改默认搜索引擎。
与国内一般的添加带有首页推广号的锁首方式不同,病毒插件锁定的根据安装的流氓软件不同搜索页面也不相同如下表:
▲
我们通过对比搜索结果可以发现,除 Holainput 锁定的搜索页面最终结果会跳转 Google 外,其余搜索页面和hxxps://www.yahoo.com 的搜索结果一致,后台疑似使用 Yahoo 的搜索结果。但是无论使用的是 Google 还是Yahoo,病毒服务器都可以记录用户的搜索内容,对用户的搜索信息隐私安全造成威胁。
经过火绒追查,诸多上述恶意软件的注册信息中都出现了注册人鲍雨与其注册所使用电子邮箱“baoyu430@gmail.com”。
通过搜索卿烨科技有限公司的工商信息,我们发现名为卿烨科技的公司共有五家,其中与病毒存在直接关系的公司共有三家,分别为卿烨科技(北京)有限责任公司(下文称北京卿烨)、卿烨科技(上海)有限责任公司北京卿烨雨林分公司(下文称上海卿烨北京分公司)和卿烨科技(上海)有限责任公司(上海卿烨)。
经过我们对企业信息的梳理与筛查,我们初步理清了与病毒相关的公司运作关系,如下图所示:
在整个公司运营中,最主要的涉事人为马琳和鲍雨,马琳为相关公司的最主要出资人,鲍雨为主要经理人。
北京朗基努斯投资中心股东信息中,只有马琳和鲍雨,该公司以相对控股方式控制卿烨科技(上海)有限责任公司。该公司的主要职能为进行资本,进行对外投资整合资源。
上海卿烨主要负责开发进行流量劫持的浏览器插件和国内外相关网站服务的开发,并且通过对外投资以绝对控股方式控制着北京卿烨,同时设有下属分支公司上海卿烨北京分公司。在该公司产权信息中,我们发现了传播恶意插件的软件,如下图所示:
我们还在招聘网站找到了该公司的招聘信息,如下图所示:
北京卿烨主要负责软件及游戏开发,其开发的软件为劫持流量的传播载体,软件诸如:Deal WiFi、Soso Desktop 和 FVP Imageviewer等。在该公司产权信息中,我们发现了更多携带流氓推广的软件,如下图所示:
上海卿烨北京分公司主要负责流量劫持的浏览器开发。该公司公示的招聘信息,如下图所示:
三、附录
样本SHA1:
注:本文为火绒安全实验室投稿,授权发布。
推荐系统
番茄花园 Windows 10 极速企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10番茄花园 Windows 10 32位极速企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
新萝卜家园电脑城专用系统 Windows10 x86 企业版 版本1507 2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新萝卜家园电脑城专用系统 Windows10 x86企业版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本台式机专用系统 Windows 10 32位企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(64位) 提供下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本台式机专用系统 Windows10 64专业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的专业版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动
雨林木风 Windows10 x64 企业装机版 版本1903 2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新雨林木风 Windows10 x64 企业装机版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
深度技术 Windows 10 x64 企业版 电脑城装机版 版本1903 2022年7月(64位) 高速下载
语言:中文版系统大小:3.98GB系统类型:Win10深度技术 Windows 10 x64 企业TLSB 电脑城装机版2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
电脑公司 装机专用系统Windows10 x64 企业版2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10电脑公司 装机专用系统 Windows10 x64 企业TLSB版2022年7月一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过
新雨林木风 Windows10 x86 企业装机版2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.15GB系统类型:Win10新雨林木风 Windows10 x86 专业版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的专业版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活系统,无
相关文章
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
- 2雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 3深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
- 4电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
- 5深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
- 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
- 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
热门文章
- 1重装上阵新赛季有哪些重型武器_重装上阵新赛季重型武器列表
- 2使用win7中本地搜索功能时四个技巧快速找到文件的操作方如何用win7的搜索功能法
- 3天天酷跑布鲁与冰原狼仔哪一个好 布鲁好还是冰原狼仔好
- 4斐讯k1路由器刷Breed BootLoader(不死UBoot)教程
- 5路由器密码忘了怎么办 无线路由器登陆密码忘了解决方法【详解】
- 6战双帕弥什超频晶币极如何获得_战双帕弥什超频晶币极获得方法
- 7如何重装系统(安装系统)win7,本文教您如何迅速重装win7系统
- 8Win8安装Office2013提示出错1402怎样办?
- 9WinXP打印机无法打印提示该文档未能打印怎样办?
- 10windows7专业版原版下载
常用系统
- 1电脑公司 装机专用系统Windows10 x64 企业版2019年4月(64位) ISO镜像快速下载
- 2电脑公司Ghost Win8.1 x32 精选纯净版2021年11月(免激活) ISO镜像高速下载
- 3笔记本系统Ghost Win8.1 (32位) 元旦特别 极速纯净版2021年1月(免激活) ISO镜像高速下载
- 4新雨林木风 Windows10 x86 企业装机版2019年1月(32位) ISO镜像免费下载
- 5新萝卜家园 Ghost XP SP3 电脑城极速专业版 2018年5月 ISO镜像下载
- 6雨林木风 Ghost Win7 SP1 装机版 2022年5月(32位) 提供下载
- 7电脑公司Ghost Win7 Sp1 装机万能版2022年3月(32位) 提供下载
- 8雨林木风 Ghost Win7 SP1 新春特别 装机版 2021年2月(32位) 提供下载
- 9番茄花园 Windows 10 元旦特别 极速企业版 版本1903 2022年1月(32位) ISO镜像快速下载
- 10番茄花园 GhostWin7 SP1 电脑城海驱极速装机版2018年7月(32位) ISO镜像免费下载