Windows“小马激活”病毒新变种分析报告

 一、概述
       随着安全软件与病毒之间攻防对抗的不断白热化,病毒的更新换代也日益频繁,其所使用的手段也日趋多样化。以最近大范围流行的“小马激活”病毒为例,其传播至今,据火绒发现的样本中已经演变出了五个变种。“小马激活”病毒,我们之前称其为“苏拉克”病毒(详见《安全警报:恶性病毒“苏拉克”正在蔓延》,http://bbs.huorong.cn/thread-12375-1-1.html),因为其核心驱动名为“surak.sys”故得此名,但是随着其不断地改变与安全软件的对抗方式,“苏拉克”这个名字已经不被病毒作者使用,所以我们将其统称为“小马激活”病毒。
       “小马激活”病毒的第一变种只是单纯地在浏览器快捷方式后面添加网址参数和修改浏览器首页的注册表项,以达到首页劫持的目的。由于安全软件的查杀和首页保护功能,该版本并没有长时间流行太长时间。其第二变种,在原有基础上增强了与安全软件的对抗能力。由于其作为“系统激活工具”具有入场时间较早的优势,使用驱动与安全软件进行主动对抗,使安全软件无法正常运行。在其第三个变种中,其加入了文件保护和注册表保护,不但增加了病毒受害者自救的难度,还使得反病毒工程师在处理用户现场时无法在短时间之内发现病毒文件和病毒相关的注册表项。其第四个变种中,利用WMI中的永久事件消费者(ActiveScriptEventConsumer)注册恶意脚本,利用定时器触发事件每隔一段时间就会执行一段VBS脚本,该脚本执行之后会在浏览器快捷方式后面添加网址参数。该变种在感染计算机后,不会在计算机中产生任何文件,使得病毒分析人员很难发现病毒行为的来源,大大增加了病毒的查杀难度。通过如下表格我们可以更直观的了解其发展过程:

 

Windows“小马激活”病毒新变种分析报告

表1、“小马激活”病毒发展过程

 

       通过我们近期接到的用户反馈,我们发现了“小马激活”病毒的新变种。该变种所运用的对抗技术十分复杂,进一步增加了安全软件对其有效处理的难度,甚至使得病毒分析人员通过远程协助处理用户现场变得更困难。这个“小马激活”病毒的最新变种运行界面如下:
Windows“小马激活”病毒新变种分析报告
图1、 “小马激活”新变种运行界面
二、样本分析
       该病毒释放的驱动文件通过VMProtect加壳,并通过过滤驱动的方式拦截文件系统操作(图2),其目的是保护其释放的动态库文件无法被删除。通过文件系统过滤驱动,使得系统中的其他进程在打开该驱动文件句柄时获得却是tcpip.sys文件的句柄,如果强行删除该驱动文件则会变为删除tcpip.sys文件,造成系统无法正常连接网络。我们通过下图可以看到火绒剑在查看文件信息时,读取的其实是tcpip.sys文件的文件信息。由于此功能,使得病毒分析人员无法在系统中正常获取该驱动的样本。
Windows“小马激活”病毒新变种分析报告
图2、文件驱动钩子和关机通知
       该驱动通过注册关机回调(图2)在系统关机时该驱动会将自身在%SystemRoot%System32Drivers目录重新拷贝成随机名字的新驱动文件,并将驱动信息写入注册表,以便于下一次时启动加载。在驱动加载之后,其会将locc.dll注入到explorer.exe进程中。该驱动对locc.dll文件也进行了保护,当试图修改或者删除该动态库时,会弹出错误提示“文件过大”。如图3所示:
Windows“小马激活”病毒新变种分析报告