知名软件火萤视频桌面恶意篡改首页 火绒已拦截

火绒安全实验室

近期，火绒工程师根据用户反馈，发现火萤视频桌面软件携带恶意组件，执行篡改用户浏览器等恶意行为。由于该软件正在通过其官网和各大下载站进行传播，影响范围较广，根据“火绒威胁情报系统”监测和评估，或以影响超过数百万终端。

火绒用户无需担心，火绒已对火萤视频桌面恶意组件及安装包进行查杀。


查杀图

根据火绒工程师分析，当用户安装该软件后，启动屏保功能出现屏保遮罩时，恶意程序便会在屏幕后公然执行劫持首页的行为，并让用户无法发现；而当用户卸载该软件时，其卸载程序会立即向远控服务器发送请求询问，并根据服务器返回的信息决定是否在卸载后激活恶意程序，继而驻留在用户电脑上持续作恶。


受影响的浏览器

此外，火绒工程师溯源发现，无论是用户在官网下载火萤视频桌面软件，还是由下载站下载器等渠道推广安装的该软件，其安装包文件的数字签名信息均相同。


PConline下载器界面


安装包文件数字签名信息

一直以来，不乏类似火萤视频桌面的商业软件，通过捆绑、流氓推广、篡改首页、劫持浏览器甚至收集用户隐私等恶意行为，来攫取更多利益，严重侵害用户的正当权益。对于此类恶意软件，火绒一直秉着保护用户权益的理念，进行严格的拦截、查杀。

除此之外，火绒工程师也提醒大家，在安装软件前，可使用安全软件进行查杀。同时，尽量不要在下载站下载软件，避免遭遇捆绑、推广行为。或者开启火绒【程序执行控制】—【下载站下载器】功能，规避因下载器带来的软件安全风险。

以下为恶意模块、组件的详细分析与样本hash：

一、        详细分析
1、卸载时保留恶意程序winhost.exe
当用户执行火萤视频桌面卸载程序时，卸载程序会向配置服务器发送请求，根据回文判断是否将winhost.exe删除。如果保留winhost.exe，将在注册表中设置winhost.exe为自启动项。请求报文内容与解密内容，注册表自启设置代码如下图所示：


请求报文内容


请求报文解密内容


注册表自启设置

winhost.exe运行后从服务器获取恶意配置
winhost.exe运行后向服务器请求配置json。通过后续代码判断json字段含义：bu为选择浏览器类型，rs为设置首页方式（模拟点击或修改配置文件），hp中为首页链接。如果rs为1，将先启动屏保遮挡屏幕，再使用模拟快捷键方式操作浏览器设置首页。如果rs为2，通过修改配置文件设置首页。获取配置相关代码如下图所示：


获取配置


选择设置主页方式

获取配置后，根据bu的值选择4种浏览器之一，并填充相关信息（运行后解密），如：浏览器可执行文件路径，配置文件路径，设置页面链接等。填充配置文件路径，填充浏览器程序路径代码与解密数据如下图所示：


填充配置文件路径


填充浏览器程序路径


解密后数据


所执行恶意行为：
（1）篡改浏览器配置文件
如果rs等于2，则通过篡改配置文件设置首页（如搜狗浏览器config.xml文件，2345浏览器page_fileV2.dat文件）。查找搜狗浏览器配置关键字位置，调用写配置文件方法代码如下图所示：


查找搜狗浏览器配置关键字位置


调用写配置文件方法

（2）通过快捷键篡改主页
如果rs值不等于2，启动浏览器进程，向其发送一系列快捷键打开浏览器主页设置页面，设置剪贴板数据为json的hp字段内容，之后CTRL-V粘贴。启动浏览器进程，调用发送快捷键的函数如下图所示：


启动浏览器进程


调用发送快捷键的函数

模拟浏览器键盘快捷键时，依次发送按键CTRL-T，CTRL-L，CTRL-V，回车 ，粘贴进入浏览器主页设置页面地址（如搜狗浏览器：se://settings/?category=general.CustomHomePages），检测浏览器窗口名中“设置“，”选项“关键字判断是否进入设置页面。再从浏览器操作对象偏移为0xdc的字段获取链接地址数据，设置剪贴板数据，发送按键CTRL-A，CTRL-V粘贴。发送按键函数，进入主页设置页面。检测设置页面，设置主页代码如下图所示：


发送按键函数


进入主页设置页面


检测设置页面


设置主页

2、火萤屏保功能组件中的恶意代码
火萤视频桌面主程序中，设置屏保功能使用了文件“火萤屏保.scr“，其中含有与winhost.exe相同的恶意功能代码。设置屏保，屏保进程启动，对比winhost.exe如下图所示：


设置屏保


屏保进程启动


winhost与火萤屏保.scr代码对比

3、溯源分析
火萤视频桌面软件作者为 “北京众纳鑫海网络技术有限公司”，相关著作权信息如下图所示：


公司信息


软件著作信息

二、        附录
样本hash

安然丶殊途

前排感谢火绒！

另外我想说说一些别的。

有点多，前排先抛结论：我不敢相信国产软件。

作为一个国家承认的半吊子农民工，我想我接触互联网的时间应该算是相对较早的。

勉强自称一位业内人士吧。

我可以跪着说：国产软件大都是免费的。
不管怎么说，软件都是有研发成本的。用着免费的， 当然需要贡献一些价值出来，比如你的隐私信息， 广告等。
觉得火萤锁主页有问题的，steam上有18块钱的Wallpaper Engine，火萤可没拦着你买。
也可以站着说：开发者为软件倾注了大量的精力与感情，却无法以正常渠道获得与其相称的报酬。
要么退出，任由无德软件厂商占领市场；
要么与流氓合作，用不受人欢迎的方式去获得自己本应享有的利益。
用户自身，或许才是造成这一问题的根源，所谓轮回报应，后果如今已由用户自己承受。

但是作为Gooogle的伪粉，爷真的不愿跪着！

不是我瞧不起国产软件（卫道士可以喷我崇洋媚外的可悲的优越感），而是真实的情况让我不敢去信任它。
我想大部分用户都接触过所谓的“一键安装”吧。软件安装程序里有，各类软件管家里更是屡见不鲜。

这很方便，不是吗？  是的，流氓软件也这么认为。

“只需要点一下就够了，蠢货”，不得不说，某些软件厂商已经认识到，中国的绝大部分网民都是”蠢货“。
他们不明白为什么安装软件的时候会给你推荐”免费好用“的金山毒霸，
他们不明白为什么不适用360安全卫士推荐的360安全浏览器，电脑就会存在严重的威胁。

或许有人会说，谷歌的产品不也是一样吗，下载后自动完成部署，甚至你连选择安装文件夹的位置的权力都没有！

是的，但是谷歌并没有让我们失望，不是吗？Google一直坚守的不作恶的政策，让他的口碑一直居高不下，不是吗！

我不敢相信国产软件，或许是因为我已经习惯了在点下一步之后，仔仔细细的检查窗口各个边边角角去取消一个又一个推荐安装，而留下的后遗症吧。

LCG作为一个安全领域技术交流的社区，在这里，我不想谈什么商业利益。
我只想说：我相信还有一些良心的国产软件（例如楼主）和大批的尚在努力奋斗的还未被污染的软件开发者们（例如论坛里的各类大佬）。
但是国产软件真的还有很长很长一段路要走。

最后，以上仅代表我个人的一些看法，或许有些偏激，以及言辞不当。
如果对您造成了不适，我向您道歉。
如果你有不同意见，那肯定你对。

网络毛毛虫

安然丶殊途 发表于 2021-8-26 21:37
前排感谢火绒！

另外我想说说一些别的。

其他的同意你，但是谷歌不作恶 我敢苟同， 如果说不恶意植入，就是你说的不作恶，那是不是要求也太低了。 GMS 绑架了几乎一半多的安卓用户，当然，你肯定会说，你可以不用。

wudalang123

《中华人民共和国刑法》

第二百八十六条 【破坏计算机信息系统罪】违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役;后果特别严重的，处五年以上有期徒刑。

违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。

故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。

单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照第一款的规定处罚。

QRQF001

官方肯定又说是临时工干的，这是在试探，和这两天edge浏览器首页广告一个样

visaction

一直以来都不太敢在下载站下载东西，老是担心这个问题。

apkeditor

搞完安卓修改大师又搞火莹！高！当初我做魔伴桌面的时候，火莹是我的竞争产品。

百度搜不到你

高手呀哈哈

幻天~

之前一直用的软件，竟然暴雷了

秦小谅

已删除该软件，在用酷狗自带的非常nice

飘零星夜

以前是一直无法卸载, 现在这么猖狂了吗,

samz123

临时工要顶锅了

Denon_HL

太顶了！！！！

真的小白

支持火绒，太强大了