卡巴斯基发现新型AutoCAD主页木马

安全 黑客攻防
本周卡巴斯基发现了两个在AutoCAD平台上传播的新木马:Trojan-Downloader.Acad.Qfas.b和Trojan.Acad.Qfas.o,它们旨在修改浏览器主页地址、弹出广告页面。

AutoCAD是世界流行的建筑制图工具,利用这个平台的病毒不少,但修改主页的木马还是第一次出现。该木马运行时会将用户IE内核的浏览器首页修改,重定向到新网站,从而制造有大批流量的假象。根据卡巴斯基安全网络分析(KSN)显示,这种威胁主要出现在中国、印度和越南。波及浏览器包括:遨游、360和搜狗。

  这两个木马使用AutoLISP编写,并被编译成.fas文件。而目前还没有通用的.fas文件的反编译器,这就使得对木马的逆向分析更为困难,所以这两个木马成功逃避了除卡巴斯基外的所有反病毒软件的检测。

  木马工作原理

  Trojan-Downloader.Acad.Qfas.b负责下载Trojan.Acad.Qfas.o并将其运行。而Trojan.Acad.Qfas.o负责改变浏览器主页,运行浏览器,访问其他广告网站。

卡巴斯基发现新型AutoCAD主页木马

  1. Trojan-Downloader.Acad.Qfas.b下载Trojan.Acad.Qfas.o。它通常被命名为acad.fas并打包进许多建筑制图压缩包中诱使相关用户下载运行。当AutoCAD执行这个文件,它会将自身复制为shxfont.fas并从http://***.isdun.com/jbbgxf/?f=zydz下载Trojan.Acad.Qfas.o。

  2. Trojan.Acad.Qfas.o运行后会遍历系统进程列表,寻找IE、QQ、360、搜狗、遨游等浏览器进程。找到后,该木马会提取浏览器中地址栏的URL,看看它是否包含hao123.com,如果没有,这个木马会让浏览器跳转到http://www.hao123.com/?tn=***82691_hao_pg。该木马还会定期打开一个新浏览器进程,访问http://**.zeqj.info/zl.htm。然后修改注册表,改变浏览器主页为http://www.hao123.com/?tn=***82691_hao_pg。为了改变搜狗浏览器的主页,木马还会修改搜狗浏览器的配置文件%userprofile%\appdata\Sougouexplorer\config.xml。而且它还会查看某些hips软件或沙盒软件的进程是否存在。如果存在,则会删除自身。

  3. http://www.hao123.com/?tn=***82691_hao_p中的***82691_hao_p是某hao123.com的推广人的ID。hao123.com会按照此推广人为网站带来的流量和此推广人分成。http://**.zeqj.info/zl.htm则更有意思,它会刷新浏览器使之跳转到http://www.sohutv***012.kangca.com/…。然后再跳到wenying***.com。最后wenying***.com会显示广告页,比如:

卡巴斯基发现新型AutoCAD主页木马

  AutoCAD使用非常广泛,AutoLISP语言也已经足够强大,加上编译后的.fas文件没有反编译器很难分析,这使得AutoCAD对于编写传播恶意软件十分理想。黑客们在想尽一切办法编写传播恶意程序、逃避安全软件查杀,只有依靠强大可靠的安全解决方案才能免受威胁。

责任编辑:吴玮 来源: 51CTO.com
相关推荐

2013-09-17 13:56:02

2013-09-03 11:03:41

2014-08-05 13:46:36

2014-06-19 15:44:31

2010-04-29 08:50:51

下载器木马网络安全卡巴斯基

2013-03-07 09:26:47

2012-10-24 17:21:46

2011-06-08 08:38:30

2012-05-15 10:39:56

2013-06-19 11:22:24

下载器木马Trojan.Win3卡巴斯基

2014-02-19 17:29:14

2009-12-10 10:30:55

2010-04-30 09:45:05

广告木马网络安全卡巴斯基

2009-03-24 14:52:35

木马网页挂马卡巴斯基

2012-03-16 12:51:32

2010-11-03 16:03:41

木马恶意程序卡巴斯基

2014-08-27 17:20:24

2014-02-12 10:46:31

2012-08-02 16:36:54

点赞
收藏

51CTO技术栈公众号