新Rootkit病毒利用“天龙八部”进行传播

免责声明

由于传播、利用本公众号听风安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号听风安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！

公众号现在只对常读和星标的公众号才展示大图推送，

建议大家把听风安全设为星标，否则可能就看不到啦！

----------------------------------------------------------------------

本文为白名单授权转发

近期，火绒威胁情报系统监测到一种Rootkit病毒正通过“天龙八部”游戏私服进行传播。该病毒被激活后，会将用户重定向到恶意网站，并允许黑客进行信息收集和数据篡改等恶意活动。除此之外，该病毒还采用了多种对抗手段，对用户构成较大的安全威胁。目前，火绒安全产品可对上述病毒进行拦截查杀，请用户及时更新病毒库以进行防御。

病毒查杀图

该病毒采用字符串加密和删除杀毒软件驱动等多种对抗手段，对抗杀毒软件的查杀，并通过URL劫持、DNS劫持和IP重定向等方式来劫持用户的流量。当用户访问与“天龙八部”相关的网页时，就会被重定向到指定的私服网站。该病毒执行流程，如下图所示：

病毒执行流程图

火绒工程师分析发现，《Rootkit病毒利用“天龙八部”私服传播，可劫持网页》报告中的Rootkit病毒会禁止此次Rootkit病毒的驱动签名，可见黑客团伙非常活跃，不排除后续持续作恶的可能，请广大用户时刻保持警惕。

一样本分析

初始化阶段

携带病毒的天龙八部私服启动后，会释放并启动该Rootkit病毒，当时应用火绒剑监控到的行为，如下图所示：

火绒剑监控到的行为

通过查看该Rootkit病毒的驱动签名，在火绒上一篇报告《Rootkit病毒利用“天龙八部”私服传播，可劫持网页》中的Rootkit病毒会禁止驱动签名为：“Fuqing Yuntan Network Tech Co.,Ltd. “的驱动，该驱动签名正是此次Rootkit病毒的签名，相关签名信息，如下图所示：

此次Rootkit病毒的驱动签名

Rootkti病毒启动后，会先进行初始化操作如：初始化WFP网络过滤框架，如果之前有获取过C&C配置会重新从注册表中读取出来，相关代码，如下图所示：

之后会从C&C服务器中更新相关配置文件，并将配置信息保存到注册表中，后续执行恶意功能时，Rootkit病毒会根据对应链表中的配置信息来确定执行的具体行为和方式，相关代码，如下图所示：

从C&C服务器接收配置信息

获取到部分配置信息，如下图所示：

配置信息

混淆&对抗

Rootkit病毒采用VMProtect加密壳进行混淆，并对所有使用的字符串进行加密，以规避杀毒软件的特征匹配查杀。在实际运行时，它才会解密这些字符串。相关代码，如下所示：

字符串加密

该Rootkit病毒还会删除某杀毒软件的驱动启动项，来阻止杀毒软件驱动的加载，相关代码，如下图所示：

删除杀毒软件驱动启动项

该病毒会通过注册表回调来拦截指定签名的驱动程序。在注册表回调中会拦截RegNtSetValueKey（设置注册表值）的操作，如果发现正在添加驱动注册表项，会检测对应文件的签名，如果是指定的签名就会进行拦截，相关代码，如下图所示：

注册表回调

不仅在注册表回调中会对指定驱动进行拦截，在模块加载回调中也会进行检查并拦截指定驱动程序，相关代码，如下图所示：

模块加载回调

该病毒会添加关机回调，在关机回调函数中会执行一些恶意行为如：重新添加驱动注册表项、删除所有要拦截驱动的注册表项等，相关代码，如下图所示：

关机回调

为了防止关机回调和自身注册表项被删除，还会创建一个单独的线程循环进行检查，如果被删除了就会重新添加一个，相关代码，如下图所示：

看门狗线程

该病毒还会根据配置信息修改系统hosts文件来屏蔽其他天龙八部私服网站，根据配置信息修改hosts文件，如下图所示：

根据配置信息修改hosts

修改之后的hosts中会屏蔽大多数私服网站，如下图所示：

修改后的hosts

流量劫持

Rootkit病毒使用WFP框架来进行对用户流量劫持，主要通过三种方式来劫持用户的流量，如下所示：

URL劫持

在WFP过滤框架的 FWPM_LAYER_STREAM_V4 过滤层中进行URL劫持，会对访问的URL进行判断，如果需要劫持，该Rootkit病毒就会修改收到的服务器响应数据包，将其转变为一个HTTP 302重定向响应数据包。此举能有效实现目标URL的劫持。具体的实现代码如下所示：

URL劫持相关代码

DNS劫持

在WFP的FWPM_LAYER_DATAGRAM_DATA_V4过滤层中进行DNS劫持，DNS劫持是一种网络攻击，攻击者通过修改DNS服务器的设置或者在用户设备上修改DNS设置，使得用户在访问某个网站时被重定向到攻击者控制的服务器，DNS劫持可被用于钓鱼攻击、广告注入、分发恶意软件等，相关代码，如下图所示：

DNS劫持相关代码

IP重定向

在WFP过滤框架的FWPM_LAYER_ALE_CONNECT_REDIRECT_V4过滤层中进行IP重定向，IP重定向可被用于中间人攻击、网络钓鱼攻击等风险，IP重定向相关代码，如下图所示：

IP重定向代码

二附录

C&C：

HASH：

不可错过的往期推荐哦
点击下方名片，关注我们
觉得内容不错，就点下“赞”和“在看”
如果不想错过新的内容推送可以设为星标