你现在的位置:官方主页 > 新闻动态 >

卡巴斯基发现新型AutoCAD主页木马香港服务器

作者:  来源:   更新时间:2015-05-25 08:19  阅读数:

  《卡巴斯基发现新型AutoCAD主页木马香港服务器》这个文章告诉大家网络安全的重要性,本站专注提供大型DDoS攻击防护,为各界用户提供最稳定的网络安全服务。本站可以提供不死高防产品!如香港高防服务器、高防CDN、高防DNS等均可有效解决复杂DDoS攻击及未知的变种CC攻击!,遇到攻击不可怕,一定要沉着冷静应对。

AutoCAD是世界流行的建筑制图工具,利用这个平台的病毒不少,但修改主页的木马还是第一次出现。该木马运行时会将用户IE内核的浏览器首页修改,重定向到新网站,从而制造有大批流量的假象。根据卡巴斯基安全网络分析(KSN)显示,这种威胁主要出现在中国、印度和越南。波及浏览器包括:遨游、360和搜狗。

这两个木马使用AutoLISP编写,并被编译成.fas文件。而目前还没有通用的.fas文件的反编译器,这就使得对木马的逆向分析更为困难,所以这两个木马成功逃避了除卡巴斯基外的所有反病毒软件的检测。

  木马工作原理

Trojan-Downloader.Acad.Qfas.b负责下载Trojan.Acad.Qfas.o并将其运行免费dns。而Trojan.Acad.Qfas.o负责改变浏览器主页,运行浏览器,访问其他广告网站。

卡巴斯基发现新型AutoCAD主页木马香港服务器

1.Trojan-Downloader.Acad.Qfas.b下载Trojan.Acad.Qfas.o。它通常被命名为acad.fas并打包进许多建筑制图压缩包中诱使相关用户下载运行。当AutoCAD执行这个文件,它会将自身复制为shxfont.fas并从http://***.isdun.com/jbbgxf/?f=zydz下载Trojan.Acad.Qfas.o。

2.Trojan.Acad.Qfas.o运行后会遍历系统进程列表,寻找IE、QQ、360、搜狗、遨游等浏览器进程。找到后,该木马会提取浏览器中地址栏的URL,看看它是否包含hao123.com,如果没有,这个木马会让浏览器跳转到http://www.hao123.com/?tn=***82691_hao_pg。该木马还会定期打开一个新浏览器进程,访问http://**.zeqj.info/zl.htm。然后修改注册表,改变浏览器主页为http://www.hao123.com/?tn=***82691_hao_pg。为了改变搜狗浏览器的主页,木马还会修改搜狗浏览器的配置文件%userprofile%\appdata\Sougouexplorer\config.xml。ddos攻击而且它还会查看某些hips软件或沙盒软件的进程是否存在。如果存在,则会删除自身。

3.http://www.hao123.com/?tn=***82691_hao_p中的***82691_hao_p是某hao123.com的推广人的ID。hao123.com会按照此推广人为网站带来的流量和此推广人分成。http://**.zeqj.info/zl.htm则更有意思,它会刷新浏览器使之跳转到http://www.sohutv***012.kangca.com/…。然后再跳到wenying***.com。最后wenying***.com会显示广告页,比如:

卡巴斯基发现新型AutoCAD主页木马香港服务器

AutoCAD使用非常广泛,AutoLISP语言也已经足够强大,加上编译后的.fas文件没有反编译器很难分析,这使得AutoCAD对于编写传播恶意软件十分理想。黑客们在想尽一切办法编写传播恶意程序、逃避安全软件查杀,只有依靠强大可靠的安全解决方案才能免受威胁。

  本站专注提供大型DDoS攻击防护,为各界用户提供最稳定的网络安全服务,希望有您的支持,我们会越做越好!,文章来源:网安警戒线 - 专注大型DDoS攻击防御服务首选HACK8.COM/顶级防护,速度一流! http://www.hack8.com。

收缩