警惕，暗崟虫病毒木马。
咱们论坛很多人都喜欢下载一些变声器、屏幕亮度下调、连点器之类的软件但实际上不得不警惕的一点是，为什么这些软件在使用过程中都需要关闭杀毒软件呢？原因很简单，有后门。
之前看了一篇老哥分析过万能变声器这款软件存在的后门，本人特地去搜索了一下，发现了这款软件的实际情况，请各位警惕下载为好。
以下是该系列软件在下载站上的发布列表，最早可追溯到2013年，涉及各类辅助软件。https://image.3001.net/images/20180620/1529491721651.png!small图1下面我们以“屏幕亮度调节器”这款软件为例，分析该系列软件的运作流程。https://image.3001.net/images/20180620/15294917328210.png!small图2样本分析运行软件“屏幕亮度调节.exe”，表面上显示正常功能界面。而实际上，作者毫不掩饰，直接在窗口创建时展开行为。https://image.3001.net/images/20180620/15294917417548.png!small图3首先加载恶意模块“ScreenFlash.dll”，并调用其导出函数“StartScreenFlashWork”来设置全局消息钩子。这一操作会使得“ScreenFlash.dll”被系统注入到每一个窗口进程中，而该模块则会在初始化加载的时候直接运行Shellcode，从而增加Shellcode的运行机会。除此之外，软件本身也创建了恶意线程来运行相同的Shellcode。https://image.3001.net/images/20180620/15294917497218.png!small图4Shellcode分多段运行，ShellcCode1的主要功能是检测加密的ShellCode2是否已经存在，不存在则会联网获取加密的ShellCode2执行。首先通过TEB获取kernel32.dll的模块基址，进而解析kernel32的导出表获取GetProcAddress的地址，然后批量获取自身所需的其他API地址。https://image.3001.net/images/20180620/15294917638959.png!small图5接着打开注册表项“SOFTWARE\ScreenBright”，并查询键值HeadData。该注册表项是用来判断是否已经下载了ShellCode2，若是查询失败，则意味着还未下载，样本将进入下载流程；反之，则进入读取文件、解密执行的流程，如下图所示：https://image.3001.net/images/20180620/15294917723431.png!small图6联网下载的ShellCode都是采用同一套模式，先访问加密配置后获得资源下载地址和解密key，再下载资源进行解密执行，如本例软件下载ShellCode2是先访问“http://www.baidu-home.com/screen/checkupdate.txt”后解密得到资源下载地址“http://www.2k2u.com/screen/screenjump.dat”和解密key“0x004271e4”，继而下载该资源并通过密钥解密出下一段ShellCode执行。https://image.3001.net/images/20180620/15294917805422.png!small图7ShellCode2的功能其实和ShellCode1差不多，主要是负责再次更新下载新的ShellCode3来执行。ShellCode3则由一段LoadPE代码和一个头部信息被摧毁的恶意dll模块组成，其功能主要是加载该模块运行。准备完所需API后，ShellCode3首先申请一段内存来拷贝恶意dll模块，从下图可见其PE头部信息被大量抹除，只保留导入表、重定位表等必要的定位信息，但是数据目录原导出表位置存放了OEP以及OEP所指向的4字节内容（用于校验）。https://image.3001.net/images/20180620/15294917879697.png!small图8LoadPE代码根据导入表重构IAT表、修复重定位，再简单校验OEP处4字节代码之后就开始从OEP执行恶意dll模块代码了。程序首次运行会写注册表项SOFTWARE\\Classes\\CLSID\\{2B53F0A7-3238-4b4d-8582-E53618739C90}\LockData，此时并不展开行为。当程序再次运行并且发现LockData中的日期和当前日期不同时，便展开行为。过程中还有一些进行环境检测，检测虚拟机、常用分析工具https://image.3001.net/images/20180620/15294917969844.png!small图9检测环境通过之后首先获取当前浏览器进程名称，并根据不同的浏览器展开相应的改主页操作，支持浏览器包括360安全浏览器、360极速浏览器、qq浏览器、搜狗浏览器等主流浏览器。https://image.3001.net/images/20180620/15294918039523.png!small图10感染分布以下是此类软件在全国各地区的传播占比统计，可以看出软件主要分布在沿海各省份，其中广东为重灾区。https://image.3001.net/images/20180620/15294918111416.png!small图11查杀与总结这一系列软件主要是通过在常用软件工具中安插恶意代码的方式进行伪装，虽然目前只是在用户电脑中通过诱导或强制的方式来修改浏览器首页，但是软件作者可以随时替换服务器上的shellcode来达到控制用户电脑的目的，其风险性不言而喻。https://image.3001.net/images/20180620/15294918204929.png!small 设计师三七 发表于 2019-3-31 10:55
谢谢大佬的提醒 以后杀毒还是不管安全一些的
我是看论坛里都没人说这个东西，而且我看精品软件区有很多变声器，不得不开始警惕了…… blacktea1 发表于 2019-3-31 11:02
一开始你又说看过一位老哥分析过，然后又说论坛里没人说？？？
https://www.52pojie.cn/forum.php?mod=v ...
:rggrg老哥，我可能描述的不正确，应该是没说暗崟虫这个本体，您帖子的老哥就是我说的后门，但是他毕竟没说存在的究竟是什么后门不是，这个帖子我也是转载，请大家警惕，谢谢！ 谢谢大佬的提醒 以后杀毒还是不管安全一些的 学习一下 谢谢提醒警惕病毒 悠然. 发表于 2019-3-31 10:56
我是看论坛里都没人说这个东西，而且我看精品软件区有很多变声器，不得不开始警惕了……
一开始你又说看过一位老哥分析过，然后又说论坛里没人说？？？
https://www.52pojie.cn/forum.php?mod=viewthread&tid=850065 感谢楼主提醒！ 感觉都不太敢下东西了，绑马都这么严重了么{:1_889:} 是不是需要关闭杀毒软件的都要提高警惕，或者是删除 感谢提醒！