UU 页游助手升级通道传播独狼 Rootkit 病毒，已感染上万台电脑
感谢腾讯御见威胁情报中心来稿！
原文链接：https://mp.weixin.qq.com/s/MchLCxba26Z0KMZthv-uLA
一、概述
腾讯安全威胁情报中心检测发现，UU页游助手通过其软件升级通道，传播独狼Rootkit病毒。独狼Rootkit家族是一个长期依赖第三方Ghost镜像传播的恶性锁主页后门病毒。本次由于通过借助UU页游助手推广渠道流氓传播，使得独狼Rootkit病毒在短时间内感染量激增，受害网民已过万，分布在全国各地。中毒电脑会出现莫名其妙安装不请自来的软件、频繁弹出广告、浏览器主页被锁定等现象。
二、病毒分析
UU页游助手安装完毕后，会在安装目录内安装名为PopTip.exe的模块，该模块负责与hxxp://update.uuyyzs.com/query_action.php页面通信。
PopTip.exe模块负责拉取弹窗广告信息、托盘广告信息、升级信息等，例如下图中从云端拉取的Mini页信息。
由于广告窗口没有显示厂商标识，没有广告来源信息，该软件在系统托盘区闪动消息提示，点击后会自动创建桌面页游图标，这些行为令用户十分反感。而PopTip.exe模块提供的升级功能，较多使用了流氓手段恶意推广安装，其中甚至包含病毒木马文件。
PopTip.exe模块通过“虚假更新提示”的弹出框恶意推装用户不需要的软件：该窗口右上角的关闭按钮，无论如何点击均无法关闭，该弹出框强迫用户点击升级完成按钮。该窗口还默认勾选两个文字描述模糊，颜色极浅的可选项。放大图片发现分别为亿迅图片转换器和数据优化。用户点击完成，UU游戏助手则进行全程静默安装行为。
当前版本的poptip.exe模块通过以下两个地址，拉取推装程序到Roaming目录静默安装执行：
hxxp://www.fikuu.com/app/YXConvert_105301.exe（亿迅图片转换器）
Hxxp://www.jia7788.top:7788/new/a109.exe（数据优化服务：实际为病毒文件）
a109.exe模块会判断当前系统内是否包含安全软件的进程，当进程存在则向其窗口发送WM_QUIT尝试退出相关进程，同时该模块通过拉起系统svchost.exe作为傀儡进程执行恶意代码，释放随机名的驱动程序。或下载执行xww999.exe执行释放随机名驱动程序，将独狼Rootkit模块植入到系统内。
独狼Rootkit病毒，该病毒的特点之一是通过创建Minifilter文件过滤系统，用户使用系统文件管理器就会发现Drivers目录不可见，同时将所有访问病毒驱动随机名母体文件的请求重定向到系统acpi.sys文件。意思是，当你试图查看那些莫名其妙进来的随机文件名驱动文件时，你看到的实际是acpi.sys。
独狼Rootkit模块最终通过插APC的方式向浏览器进程注入恶意代码达到主页劫持、后门代码驻留等恶意行为。
独狼rootkit病毒会向浏览器进程注入恶意代码，实现劫持浏览器启动命令行，达到主页劫持的目的。
分析发现，当前主页配置信息暂未下发，病毒暂未执行锁定用户浏览器主页的能力。推测当前病毒处于投递扩散期，保留了部分恶意行为暂不执行，当其感染量到达一定程度时，再随时下发劫持指令，实现浏览器劫持功能。
独狼Rootkit病毒可劫持数十款主流浏览器软件，包括IE、Chrome及其他国内用户常见的浏览器等等：
以插apc的方式向浏览器注入恶意代码：
我们通过对该病毒以往版本的分析，知道该病毒可以简单修改或升级配置，实现对浏览器主页的锁定功能，通常会将浏览器主页劫持到带推广id的2345广告站点。
当前病毒配置
简单构造病毒劫持配置文件desktop.ini
打开浏览器主页发现主页已被劫持到指定地址：
三、解决方案及安全建议
网上各种小众工具软件分发渠道良莠不齐，不少软件下载站暗藏玄机，很容易下载安装不需要的软件，甚至部分软件下载站还会推广危害严重的勒索软件。腾讯安全专家建议用户尽可能从相应软件的官方网站下载软件，或者通过腾讯电脑管家的软件管理功能下载需要的软件，启用腾讯电脑管家的权限雷达，帮助过滤软件包中存在的静默安装、恶意弹窗，管理开机自动运行等有损用户体验的情况发生。
腾讯电脑管家查杀UU页游助手
管家急救箱清理独狼Rootkit木马
IOCs
MD5：
717d43d175430844467993ac4834396f
21a9876550dcebe12df9ec1011a01035
75f39f61ecc20a088766eb319d1ec9e2
7652ad8e2c69bef67c786eff3e9e3ef3
51991e47adb0b9160f077a0fc722f115
238b0180e66d16309efe50143b46560d
94f31a6d0d3243811705e0c9796cf060
8ec5ee614f76d0c547e2b76a52e8dae2
1374c22e5c861813c82bf6a1c8c159f9
Domain:
www.jia7788.top
update.uuyyzs.com
URL
hxxp://update.uuyyzs.com/query_action.php（UU页游助手云控地址）
Hxxp://www.jia7788.top:7788/new/a109.exe（独狼病毒母体投递地址）
“UU 页游助手升级通道传播独狼 Rootkit 病毒，已感染上万台电脑” 的相关文章
Adafruit 披露了前员工 GitHub 储存库中的数据泄露
Hackernews 编译，转载请注明出处： Adafruit 披露了一个数据泄露事件，这个事件是由于一个可公开查看的 GitHub 存储库引起的。 该公司怀疑这可能允许攻击者对2019年或之前对某些用户的信息进行“未经授权的访问”。 Adafruit 总部位于纽约市，自2005年以来一直是开源硬...
微软捣毁 ZLoader 犯罪僵尸网络
微软今天宣布近日捣毁了一个名为 ZLoader 的主要犯罪僵尸网络，这也是使用 XLM 宏作为攻击面的僵尸网络之一。微软的最新行动包括技术和法律活动，以破坏利用 ZLoader 作为恶意软件即服务（malware-as-a-service）的犯罪集团的运作。 在本次捣毁行动中，微软还锁定了一位开发...
开源模块维护者破坏代码，只为抗议乌克兰战争
Hackernews 编译，转载请注明出处： 一个广泛应用于 Windows、 Linux 和 Mac 环境的开源模块的维护者最近破坏了它的功能，以抗议乌克兰的战争，大众再次将注意力集中在与软件代码依赖相关的潜在的严重安全问题上。 Node-ipc 是一个用于进程间通信的 JavaScrip...
卡巴斯基调查：30% 的人认为使用跟踪软件来监视伴侣是正常的
据Techspot报道，根据卡巴斯基的一项调查，30%的人认为使用跟踪软件来监视他们的伴侣是正常的。跟踪软件是一类允许一个人监视另一个人的软件，通常是在目标的移动设备上安装该软件，而他们并不知情。这类应用程序通常伪装成家长控制应用程序或防盗解决方案，可以监控互联网活动，跟踪用户的行踪，录制音频和视频...
CISA、FBI、NSA 就勒索软件攻击严重增加发布警告
Hackernews 编译，转载请注明出处： 澳大利亚、英国和美国的网络安全部门发布了一份联合警告，称2021年针对全球关键基础设施组织的复杂、高影响力的勒索软件攻击将有所增加。 这些事件针对的行业范围很广，包括国防、应急服务、农业、政府设施、 IT、医疗保健、金融服务、教育、能源、慈善机构...
以色列安全研究揭示了一场全球性的黑客行动
《以色列早报》称，研究人员利亚德-莫德科维茨和奥菲尔·哈帕兹发现了一个针对多个组织的网络攻击，并破坏了服务器以挖掘加密货币或获取数据。大约有2000家公司受到攻击，并以其服务器为发射平台，对更多组织进行攻击，由于攻击是分散的，这使得他们更难追踪。 网络攻击的主要目标主要是印度、越南和美国的媒体...
评论列表
发表评论
