您现在的位置是:首页 > IT基础架构 > 网络与安全 >
首个QQ群蠕虫病毒被截杀 全面技术报告正式发布
摘要近日,QQ群共享功能曝出安全漏洞,并被黑客利用制作蠕虫病毒,目前日均感染两万多台QQ用户电脑。据多引擎杀毒扫描网站Virustotal显示,该蠕虫病毒最早在8月24日已在网上公开出现。...
近日,QQ群共享功能曝出安全漏洞,并被黑客利用制作蠕虫病毒,目前日均感染两万多台QQ用户电脑。据多引擎杀毒扫描网站Virustotal显示,该蠕虫病毒最早在8月24日已在网上公开出现,而后腾讯公司表示,QQ安全团队于9月5日晚间发现了此类蠕虫,并开始着手修复漏洞。
据悉,QQ群蠕虫病毒一般伪装为“电视棒升级破解版”,诱骗网民点击使用,借机感染用户电脑。一旦有一台电脑中招,该蠕虫病毒就会自动上传到中招者的QQ群共享里,对QQ群中其他网友造成威胁,伺机窃取QQ账号等重要信息。
尽管QQ群蠕虫病毒自动传播扩散的能力极强,但是由于国内外主流杀毒软件均可轻松识别查杀该蠕虫病毒,因此目前并未形成严重危害。Virustotal扫描结果证明,44款杀毒引擎中,有多达30款能够检测出QQ群蠕虫病毒,可以保证在蠕虫运行前就将其清除。
网络安全机构提示,通过QQ群共享下载文件时,应确保电脑开启有效的安全软件,保护账号不被黑客窃取,而不是被病毒感染了再事后补救。
QQ群蠕虫病毒全面分析报告如下:
病毒名: QQ群蠕虫病毒(Win32.Troj.Pincav)
病毒简介:
该病毒伪装成电视棒破解程序欺骗网民下载,盗取魔兽、邮箱及社交网络账号,中毒后病毒会自动访问QQ群共享空间进行传播。目前该病毒感染量每天约2万个,一周来累计感染量突破12万。
该病毒的技术手法,可能给QQ安全带来空前压力,也极可能被其他病毒作者效仿。
图1 国内首个QQ蠕虫传播效果图
QQ群蠕虫 (Win32.Troj.Pincav)的传播手法
病毒首先通过小网站(伪装成色情播放器和游戏外挂)被部分网民下载后运行,据金山云安全中心统计,经常下载这类程序的网民中有20%会关闭杀毒软件,主动运行病毒。
中毒后病毒会将复制自身,主动上传到当前QQ用户的所有QQ群中,QQ群会收到共享文件的通知,在线成员可能下载该程序。从而,使越来越多的QQ用户中毒,就如原子弹爆炸般的链式反应。短时间内造成大量用户QQ帐号、邮箱帐号、网游帐号等重要信息被盗。
图2 国内首个QQ蠕虫传播流程
病毒分析:
1.行为分析:
在C盘Program Files文件夹或各磁盘根目录生成文件:
C:Program FilesNVIDIA CorporationPhysXCommon wizs.exe(伪装成英伟达显卡驱动程序相关文件)
C:Program FilesNVIDIA CorporationPhysXCommon vwdmcpl.dll (伪装成英伟达显卡驱动程序相关文件)
x: ecycle.{645FF040-5081-101B-9F08-00AA002F954E} ecycle.exe(伪装成回收站图标)
图3 病毒伪装成回收站图标并隐藏
x:autorun.inf(以实现双击磁盘图标时病毒被执行)
图4 病毒修改双击磁盘自动打开配置文件autorun.inf
写入启动项:
修改HKEL_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun 下的nwizs值
修改HKEL_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun下的nwizs值
2.传播技术点:
若QQ.exe正在运行,病毒dll会注入QQ.exe,使用特殊技术手段得到QQ号和QQ号码的ClientKey(ClientKey是在QQ登陆后动态生成的,在我们打开自己的QQ邮箱、QQ空间或者QQ群共享时,ClientKey充当了QQ密码的角色),利用这些信息访问QQ群,得到该QQ号的QQ群列表。然后,病毒向所有QQ群上传自身。
效果如下:
图5 病毒自身副本被上传到QQ群共享空间
3.病毒自升级:
病毒作者使用了一个百度空间来存放两个加密后的URL,通过解密出来的URL下载病毒压缩包。百度空间地址为http://hi.baidu.com/px44554344/home
图6 病毒作者利用百度空间来取得加密字串,以更新病毒
4.病毒传播触发条件:
病毒作者编写程序中的一个BUG导致中毒电脑的QQ号若大于2147483648时,将不能触发病毒自动上传到QQ群共享空间。
5.中毒现象
1) Windows资源管理器会无缘故重启一次(就是Windows桌面重新刷新一次)
2) 中毒后可在群共享中发现有登录者qq群共享文件,文件名可能为:"成人电视棒破解版V2.zip"或者"成人电视棒升级破解版.zip"。
目前,金山毒霸已经和腾讯安全中心针对此病毒紧急磋商,以阻止类似病毒通过QQ群共享空间爆发式传播,金山毒霸猎豹+QQ电脑管家极速安全套装已经可以完美拦截。
(本文不涉密)
责任编辑:
上一篇:假机票网站快速鉴别五步法