一、 综述
近期，火绒安全团队截获一批捆绑在《地下城与勇士》游戏外挂上的首页劫持病毒。根据技术分析追溯，我们确定这些病毒的主要传播源是一个游戏外挂网站站，进而发现，这个外挂站是一个巨大的“病毒窝点”，传播的电脑病毒种类之多、数量之大，令人惊讶。
总体说来，该网站暗藏三类病毒，一类是游戏用户深恶痛绝的括盗号木马，二类是控制用户电脑，劫持首页的后门病毒，三类是强制捆绑安装软件的下载器病毒。该网站的用户会被随机感染数种病毒，电脑受到持久的多重侵害和骚扰。
这个游戏外挂网站是hxxp://www.dnf3996.com、hxxp://www.dnf9669.com、hxxp:// 。
该站的运作流程如下：1、游戏外挂作者将自己开发的外挂程序放到该网站进行推广，并设定每个外挂的金额；2、代理商先付费获得代理资格，然后用各种方式（如QQ群等）推广、销售这些外挂程序，赚取代理费。
《地下城与勇士》是一款用户众多的经典网游，针对这款游戏的外挂数量巨大。电脑病毒制作者瞄准该游戏的海量外挂用户们，将各种电脑病毒和外挂程序捆绑在一起，进行再打包，然后通过这个外挂平台往外传播。根据“火绒威胁情报系统”统计，被这些病毒感染的用户，已经覆盖了全国大部分地区。
更为奇葩的是，除了盗取游戏账号、控制用户电脑锁首（将首页强行修改为“2345”导航站）之外，第三类下载器病毒捆绑安装的，竟然是老牌杀毒软件“瑞星”。根据测试，这款“瑞星”装入用户电脑之后，各种正常的安全模块都不开启，唯独开启自我保护和弹窗广告模块——也就是说，除了长期驻留电脑骚扰用户之外，没有任何功能。根据软件签名和下载地址可以确认，这款“专门弹窗版”瑞星杀毒软件，并非外部团伙的篡改和构陷，而是来自于瑞星官方。
二、 病毒行为简述
病毒推广站页面如下图所示：
图 1、外挂推广网站
图中所示，如“DNF XX辅助”就是属于不同的外挂作者的推广渠道，该网站中称之为端口。不同的推广端口对应的价格不同，经过一段时间的验证我们发现，外挂带毒主要集中在低价外挂区域，其外挂中不定期会捆绑病毒程序。该推广站所涉及的病毒共有三类，一类是下载器病毒，一类是通过漏洞传播的盗号木马，另一类是具有首页劫持功能的后门病毒。
2.1 下载器病毒
我们在该站“DNF封神辅助”推广端口下载到了捆绑此类病毒的外挂。文件属性如下图所示：
图 2、文件属性
外挂运行后，界面如下图所示：
图 3、外挂界面
其首先会释放带有数字签名且文件名随机的ThunderShell程序。如下图所示：
图 4、文件属性
ThunderShell程序启动时，会加载名为LiveUDHelper.dll的病毒动态库，该动态库中包含恶意代码。其加载后会启动系统svchost进程对其进程注入，注入内容为LiveUDHelper.dll中的一个子PE文件。该PE文件中包含真正的下载器病毒代码，执行后会下载hxxp://dl.i1236.com/dl/wrqdown2/ravv16stdf10O4120001.exe。如下图所示：
图 5、恶意推广行为日志
图 6、进程树
通过文件属性我们可以看出其所下载的文件是一个7Z自解压包，并且包含瑞星数字签名，如下图所示：
图 7、软件安装包
图 8、数字签名详细信息
更值得一提的是，该病毒与以往我们见到的恶意推广病毒不同，其只推广瑞星杀毒软件，且其推广的该版本瑞星杀毒软件不具有任何杀毒功能，除了自保功能外，只会不定期弹出广告，甚至连软件主界面都无法正常启动。
软件广告弹窗，如下图所示：
图 9、广告弹窗
根据域名查询结果，下载该版本瑞星杀毒软件的域名（hxxp://dl. i1236.com）与瑞星官方论坛域名（hxxp://www.ikaka.com）的注册人信息一致。如下图所示：
图 10、域名信息对比
2.2 盗号木马
在个别低价外挂下载过程中会跳转到一个漏洞页面，如下图所示：
图 11、漏洞页面
上述页面中利用MS14-064漏洞下载盗号木马，漏洞触发后，IE进程树如下图所示：
图 12、进程树
木马文件运行后会先在系统环境中搜索腾讯游戏登录相关的进程，伪装成腾讯游戏平台的登录界面，诱骗玩家输入账号密码。如下图所示：
图 13、盗号木马运行界面
2.3 后门病毒
我们在该站“DNF宝马辅助”推广端口下载到了捆绑此类病毒的外挂。该病毒功能分为两个部分：
1) Intel.exe与Intel.sys相互配合劫持浏览器首页。
2) Intel.exe下载后门病毒Pack.exe，通过与C&C服务器通讯Pack.exe可以随时执行多种DDOS攻击。
因为后门病毒的威胁级别更高，所以后文中统称其为后门病毒。捆绑后门病毒的外挂文件属性，如下图所示：
图 14、文件属性
外挂运行界面如下图所示：
图 15、外挂运行界面
外挂文件运行后，表面与一般外挂程序并没有什么不同，但是火绒剑进程树中我们可以看到，其后台执行的行为非常之多。如下图所示：
图 16、外挂进程树
外挂进程在释放带有数字签名360Tray.exe之后，会将其启动并对其进行注入。注入后，360Tray.exe会加载nike.dll动态库释放其主要病毒文件。如下图所示：
图 17、文件属性
图 18、病毒行为展示
Intel.exe和Intel.sys相互配合会劫持浏览器首页，在用户启动浏览器的时候Intel.sys会结束原有进程，之后由Intel.exe再次启动浏览器进程，并在参数中加入劫持网址。劫持效果如下图所示：
图 19、首页劫持
劫持网址为：hxxp://www.dresou.com/219671.htm，访问该网址后会直接跳转到hxxp://www.2345.com/?33483进行流量套现。劫持效果如下图所示：
图 20、劫持IE首页
图 21、劫持参数
病毒劫持的浏览器如下图所示：
被劫持浏览器
Intel.exe除首页劫持功能外，还会联网在C&C服务器（hxxp://main.dresou.net）下载后门病毒pack.exe。pack.exe会先将自身文件以svchost的文件名复制到Temp目录中，再由其释放的假spoolsv启动假svchost执行后门逻辑。如下图所示：
图 22、进程树
图 23、假svchost网络连接状态
假svchost是个后门病毒，连接C&C服务器的45678端口获取控制命令。根据从C&C服务器所传回的控制信息，该后门病毒可以清空IE浏览器缓存、发起洪水攻击或者从C&C下载执行其他恶意程序。其用来清除浏览器缓存的程序基本属性如下图所示：
图 24、文件属性
该后门病毒可以执行的洪水攻击类型如下图所示：
Intel.sys会在系统内核级保护Intel.exe、Intel.sys及其自身相关的注册表键值。因为Intel.exe是后门病毒的释放者，所以不通过内核级工具是无法彻底清除后门病毒。在启动外挂后，用户就会完全变成病毒作者的“傀儡”。
依托于该外挂推广站的“黑产”套现渠道众多，其中包含外挂推广、恶意软件推广、流量劫持推广、盗号获利、利用后门病毒组织DDOS攻击敲诈获利。一旦走进其套现链条，用户就会完全变成病毒作者的获利工具，造成持久性安全威胁。
根据“火绒威胁情报分析系统”提供的统计数据，该病毒已经在全国范围内进行传播。受该病毒影响的省市地区如下图所示：
图 25、病毒流行区域
三、 详细分析
如前文所述，该网站涉及传播共三组不同的病毒，下载器病毒、通过漏洞传播的盗号木马和后门病毒，下面我们将其按照分组进行详细分析。
3.1 下载器病毒
该组恶意程序是一组“白加黑”病毒，白文件ThunderShell程序启动时会加载名为LiveUDHelper.dll的动态库。病毒作者通过劫持动态库的方式使ThunderShell加载病毒动态库，其逻辑为启动系统svchost进程并对其进行注入，注入内容是该动态库中的一个子PE文件。动态库与其子PE文件均为易语言编写，LiveUDHelper.dll加载到内存中后，我们可以看到与其逻辑相关的信息。如下图所示：
图 26、病毒相关信息
最终，被注入的svchost进程会在安装包地址（hxxp://dl.i1236.com/dl/wrqdown2/ravv16stdf10O4120001.exe）下载捆绑软件安装包进行安装。安装包运行行为如下图所示：
图 27、安装包行为
3.2 盗号木马
病毒利用MS14-064漏洞进行传播，漏洞相关代码如下图所示：
图 28、漏洞代码
该漏洞触发成功后会在C:\Windows\Temp目录释放text.vbs并执行。脚本内容如下图所示：
图 29、脚本内容
执行该脚本会从C&C服务器（hxxp://www.baidu2233.com）下载病毒文件，释放到C:\Windows\Temp目录中名为svchot.exe。svchot.exe是Downloader病毒会联网（hxxp:// 115.231.8.27）下载病毒注入器svch.exe。svch.exe运行后，先会联网（hxxp:// 121.12.125.238）下载盗号木马，之后会启动系统svchost，用盗号木马的映像数据对svchost进程进行映像覆盖。当盗号木马检测到游戏进程时，盗号木马首先会结束检测到的游戏进程，之后启动其伪造游戏登录界面，诱骗用户输入账号密码。
盗号木马所检测的进程名如下：
3.3 后门病毒
通过该网站进行传播的后门病毒涉及文件较多，文件相关性如下图所示：
图 30、文件关系图
1. IS.exe
该组病毒的直接释放源为IS.exe，该程序由VMProtect加壳。通过火绒行为沙盒，我们可以看到病毒的释放逻辑。如下图所示：
图 31、IS.exe执行的病毒行为
2. Intel.exe
Intel.exe是与Intel.sys相互配合进行劫持首页的程序，Intel.sys所用到的关键数据都是由Intel.exe解密后通过调用FilterSendMessage函数进行发送的，如果没有Intel.exe发送数据，则Intel.sys驱动不会起到任何功能。Intel.sys与Intel.exe通过Intel.txt进行通讯，Intel.exe会根据Intel.txt中的浏览器路径启动新的浏览器进程，并在启动参数中加入劫持网址。Intel.exe主要功能代码如下图所示：
图 32、Intel.exe主要逻辑
关键数据全都是经过算法加密的，解密逻辑我们选取了部分代码进行举例说明。大致逻辑为，先按照加密数据粒度调用decode函数进行解密，解密后再将需要转为宽字符的字符串进行处理。如下图所示：
图 33、部分解密逻辑
解密流程是利用生成的数据字典，按照数据块粒度进行逐数据块的解密。如下图所示：
图 34、数据解密
Intel.exe除首页劫持功能外还会下载packxx.exe在本地进行执行，下载地址为hxxp://www.dresou.net/packxx.exe(xx代表数字1~3)。
3. Intel.sys
Intel.sys驱动中通过注册mini文件过滤的方式对一些文件的操作进行了干扰，不但该驱动对与自己相关的病毒文件进行了保护，还对一些安全软件的可执行文件（QQPCTray.exe和SuperKiller.exe）进行限制。代码如下图所示：
图 35、文件过滤代码
调用CmRegisterCallback函数添加注册表回调保护Intel.exe和Intel.sys的相关注册表键值。如下图所示：
图 36、注册表过滤
Intel.sys会检测不同的Windows版本来调用PsSetCreateProcessNotifyRoutineEx或者PsSetCreateProcessNotifyRoutine注册进程回调，禁止启动一些浏览器进程，再通过通讯方式转由Intel.exe加入劫持网址之后进行启动。大部分浏览器都是在参数中直接加入劫持网址，对不能接受网址参数浏览器则直接启动IE。如果是Intel.exe启动的浏览器进程，在启动进程不为pack.exe且进程启动参数与自己劫持的网址不一样时也会禁止进程启动，设置全局事件对象后，由Intel.exe再次尝试劫持。如下图所示：
图 37、进程回调代码
图 38、浏览器劫持相关代码
调用PsSetLoadImageNotifyRoutine函数注册映像加载回调，在回调函数中创建线程在映像加载过程中结束浏览器进程。如下图所示：
图 39、结束进程相关代码
4. Pack.exe
Pack.exe是一个后门病毒，可以用于进行多种DDOS攻击。其首先会在Temp目录中释放两个PE文件（spoolsv.exe和iexplore.exe），并将自身复制为Temp目录中的svchost.exe。之后启动spoolsv.exe，再由该进程启动其自身的复制体Temp目录下的svchost.exe执行后门逻辑。如下图所示：
图 40、释放PE文件
释放文件结束后便会开始执行其后门功能，该病毒与C&C服务器的通讯数据是以“
(网视站,专业提供浏览器下载)
