CTF导航 CTF导航

黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播

逆向病毒分析 8个月前 admin
168 0 0

黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播


近期，火绒威胁情报系统监测到，有黑客团伙伪造了带毒的Chrome浏览器，上传至“软件盒子”、“海量软件管家”等软件进行大量传播。病毒运行后会执行篡改浏览器启动页、新标签页等恶意行为。
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
海量软件管家

用户运行上述盗版 Chrome 浏览器安装包之后，被黑客篡改过 chrome.dll 文件会立即请求服务器配置，随后黑客便可执行篡改浏览器启动页，新标签页，以及URL重定向，隐藏URL等恶意行为，该病毒的执行流程图如下：
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
执行流程图

在此，火绒工程师建议广大用户在下载软件时，尽量选择官方或正规可信的应用商店，并安装可靠的安全软件以保护设备免受恶意软件和病毒的侵害。目前，火绒安全产品可对上述病毒进行拦截查杀，请用户及时更新病毒库以进行防御。
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
查杀图

 


一
样本分析

被篡改的文件主要为chrome.dll，当Chrome浏览器启动后，chrome.dll会被加载，首先会解密出C&C服务器地址，并从C&C服务器获取配置文件地址，相关代码，如下图所示：
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
获取配置文件地址

获取配置文件并解析配置信息，相关代码，如下图所示：
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
获取、解密配置文件

解密后的配置信息，一些重要的字段，如下图所示：
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
配置信息重要字段

重要字段说明，如下图所示：
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
重要说明

接收到配置信息后，根据配置信息来执行一些恶意行为有：修改启动页、新标签页、URL重定向、隐藏URL，下面进行详细说明。

URL重定向功能，根据服务器下发的正则表达式，将匹配上的URL重定向到指定网址进行推广，如访问baidu.com会被重定位到https://www.baidu.com/?tn=02003390_39_hao_pg，关键代码，如下图所示：
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
URL重定向

隐藏URL功能，如果浏览器地址栏包含推广号相关的字符串就不显示URL，来降低被发现的概率，如访问baidu.com被重定向到https://www.baidu.com/?tn=02003390_39_hao_pg后，浏览器地址栏显示为空，如下图所示：
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
隐藏URL

关键代码，如下图所示：
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
隐藏URL

根据配置信息修改浏览器启动页，关键代码，如下图所示：
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播
设置浏览器启动页


二
附录

C&C服务器
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播

HASH
黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播




黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播

关注公众号

了解更多安全干货、资讯、以及火绒安全大事记


原文始发于微信公众号（火绒安全）：黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播

版权声明：admin 发表于 2023年8月23日 下午6:03。
转载请注明：黑客恶意重打包Chrome 通过“软件盒子”、“海量软件管家”等传播 | CTF导航

相关文章

警惕XZ Utils后门事件再现！OpenJS发现类似社会工程学渗透攻击
admin
17
Predator Spyware Operators Rebuild Multi-Tier Infrastructure to Target Mobile Devices
admin
31
Emotet Maldoc的分析
admin
691
利用 Process Hacker 与 Dnspy 脱壳 .NET 恶意软件
admin
58
利用XLL文件投递Qbot银行木马的钓鱼活动分析
admin
374
CUDA程序之逆向
admin
267

暂无评论

您必须登录才能参与评论！
立即登录
暂无评论...

相关文章

怎么让 IDA 的 F5 支持一种新指令集？
0
警惕新型僵尸Goldoon：一款指令集覆盖最广的零检出率僵尸家族
0
近期使用“银狐”黑产工具针对财税人员的大规模攻击活动分析
0
假死疑云：Wpeeper木马所图为何？
0
2024腾讯游戏安全大赛-安卓赛道决赛VM分析与还原
0
GuptiMiner: Hijacking Antivirus Updates for Distributing Backdoors and Casual Mining
0
Sifting through the spines: identifying (potential) Cactus ransomware victims
0
二次注入简单介绍
0
[系统安全] 五十八.恶意软件分析 (10)利用火绒安全实现恶意样本家族批量标注（含学术探讨）
0
CIA组织MikroTik软路由攻击场景复现及后门加解密剖析
0