传奇网站劫持怎么做(传奇私服暗藏病毒劫持用户流量)
admin
2024-04-12
近日，火绒安全工程师拦截到一款病毒正通过某传奇私服登录器进行传播。
该病毒可通过C&C服务器下发任意恶意模块，还会将病毒服务器设置为代理服务器，通过篡改用户流量来推广病毒作者自家的传奇私服。当用户访问传奇相关的网页时，会被劫持到病毒作者自家传奇私服，如下图所示：
病毒作者自家传奇私服
病毒作者自家传奇私服
火绒安全工程师分析称，该病毒可通过C&C服务器下发任意恶意模块，不排除后续下发其他恶意模块的可能。 被下发的恶意模块将长期驻留在中毒用户电脑中，并开机自启动，利用“白加黑”调用恶意代码模块以及注入系统进程的方式来执行恶意行为。
广大游戏玩家需要注意，私服登录器携带木马、后门及其他病毒的情况时有发生，玩家下载安装后，可能面临网页被劫持、个人隐私数据泄露等不同危害，严重侵害用户隐私和资产安全。因此，火绒工程师提醒广大玩家提高警惕。
火绒安全产品可对以下传奇私服登录器携带的该病毒进行拦截查杀：
被植入该病毒的传奇私服登录器列表
被植入该病毒的传奇私服登录器列表
病毒查杀图
病毒查杀图
病毒的执行流程，如下图所示：
病毒执行流程
病毒执行流程
以“梁山好汉=登陆器”为例进行分析：
一、样本分析
当进入游戏后，会释放并执行恶意模块 QQExternals.exe，火绒剑监控到的行为图，如下图所示：
火绒剑监控到的行为图
火绒剑监控到的行为图
恶意模块QQExternals.exe会根据配置文件来加载远程恶意模块InstallCore.dll，相关代码，如下图所示：
远程加载恶意模块InstallCore.dll
远程加载恶意模块InstallCore.dll
恶意模块InstallCore.dll会释放QQExternal.exe（和第一个恶意模块相比少了一个s）和BugRpt.dll到C:\ProgramData\Microsoft\Setup\，其中 QQExternal.exe为带有腾讯签名的白文件，该病毒通过“白加黑”的方式来绕过杀毒软件查杀。QQExternal.exe签名信息，如下图所示：
版权声明
本文仅代表作者观点，不代表本站立场。
本文系作者授权本站发表，未经许可，不得转载。
下一篇 :
超变态传奇单职业
