游戏党注意！Rootkit病毒新变种通过私服登录器传播

火绒安全实验室

近日，火绒安全实验室发现一种新型Rootkit病毒新变种，该病毒利用传奇私服登录器进行传播，用户中毒后桌面上会出现名为“JJJ发布站”的快捷方式，并且删除后会重新被释放到桌面。当用户访问传奇相关的网页时，会被劫持到病毒作者预设的劫持网页。且该Rootkit病毒会通过文件自保对抗安全软件查杀，还会将系统版本和计算机名等终端信息上传到病毒服务器。


病毒创建的快捷方式，如下图所示：

推广快捷图标

快捷方式指向的推广网页，如下所示：

推广页面

火绒安全产品已对传奇私服登录器以及其携带的恶意模块进行拦截查杀。已感染该病毒的用户，可使用火绒专杀工具清除病毒，并重启电脑后使用火绒【快速扫描】功能彻底查杀该病毒。

（专杀下载地址： https://bbs.huorong.cn/thread-18575-1-1.html）

Rootkit是一种系统内核级病毒，其进入内核模块后能获取到操作系统高级权限，从而隐藏和保护自身，以绕开安全软件的检测和查杀。不少Rootkit病毒会利用网络游戏私服登录器携带的恶意模块进行激活，火绒安全提醒广大游戏玩家要格外留意。

火绒安全查杀图

病毒分析

当用户访问传奇相关的网页时会被劫持到病毒作者预设的推广网页，如：当访问hxxps://www.zsf.com/时，会被劫持到 hxxps://hebav.today/default/，相关代码，如下图所示：

劫持相关代码

病毒驱动会将恶意代码注入到Lsass.exe和Svchost.exe两个系统进程中，伪装成系统进程来执行恶意程序，相关代码，如下图所示：

   

  注入代码

被注入的恶意代码会检测360和腾讯电脑管家，并且还会将一些终端信息上传到病毒服务器如：系统版本和计算机名等信息。相关代码，如下图所示：

收集本机相关信息

附录

病毒HASH

vmcscat

刚看到病毒救援区的求助帖。。火绒这边就发出来了。。。

lammysoft

火绒安全实验室能不能弄一个就是可以专门针对（进程关键词捕获）（特异性识别）这些什么传奇啊，一刀99999呀，之类的流氓软件的安全软件？市面上还没有，我觉得可以试试。。。毕竟一些流氓软件一下就一大堆，而且不会电脑的又删不掉，一开机就一刀99999......

我是火绒的忠实粉丝了，我身边的电脑都安装了火绒，我觉得就差这么一个东西。

初心144

谢谢哥哥提醒

飘浮

支持火绒

xingliqing

火绒，yyds

MaHLstick

谢谢提醒！

bigdawn

支持火绒，病毒真的是麻烦事。

landou

火绒首发？yyds

这么久

谢谢哥提醒

a2581069

网吧这样的病毒很麻烦。