警惕，又有传奇私服RootKit正在传播

ahov

近日，有用户反馈使用一款传奇私服游戏后无法多次尝试修改注册表AutoConfigURL项，如下图所示：


该用户提供的是传奇私服网站下载地址，如下图所示：


我们发现样本“永恒大陆V2.1.exe”会在当前安装目录下创建一个PlugIn文件夹并释放文件cz_m.dll

该dll可以直接通过rundll32执行，执行之后会往安装盘根目录释放一个01.exe（使用华为的无效数字签名），如下图所示：


01.exe双击后可见恶意驱动被注册，如下图所示：


运行完成之后成功复现连接gwww.dkrjfvz.com:2508/baidu.txt（用户端被强制劫持的AutoURL项）：


之后我们发现，在 Windows 7 环境下执行恶意行为病毒会与u.wgd3ow.xyz尝试建立通信，而在 Windows 10 环境下执行恶意行为病毒会与a.qrltgx.icu尝试建立通信

通过威胁情报查询，我们发现了大量同源样本（此处不一一呈现或者进行说明），行为基本一致，如下图所示：


第二天再次进入该下载地址下载样本后，发现样本压缩包哈希发生变化，解压之后发现样本“永恒大陆V2.1.exe”哈希再一次发生变化

新样本仍然是在PlugIn文件夹下释放恶意dll模块，文件名变化为xr_m.dll，新旧样本对比图如下图所示：



样本执行流程图，如下图所示：


Iocs：

永恒大陆V2.1.exe（旧）	cz_m.dll	01.exe	永恒大陆V2.1.exe（新）	xr_m.dll
0502141902b112c61caf86f32b0c5da6	9eccccd455b58a53b46b8f2409399a2e	50738087a145201cd34ee866e2dd5356	fb6ec25704e343738908ebf1d9f04852	4c3cc418401a36c9c7fb388021ca7fc6

dian01

前段时间在玩CQ的，都是在一些朋友群玩，但是首页被篡改总是发生，本来一直默念：
反正是白嫖，这点篡改就忍了。
但是发现好多办法都没能解决这种顽固的跳转。
后来没办法，重做系统，然后就坚决把传奇私服给删了，不再上了

cqpjkj1314

幽灵客 发表于 2022-8-19 16:38
嗯之前玩的时候 也种过，玩了ABC传奇，在任何传奇发布站 点别人开的私服，结果都会跳到ABC传奇的网站，太操 ...

我电脑也是，软件太多，又不想重装，有没有解决办法

janny82

现在还有很多玩传奇的嘛，感觉现在都已经不咋玩了~~~~~  这些该死的病毒 但依然的猖獗

tangzhikai

电脑上的传奇好久没动了，没有以前的感觉了，只是80人的回忆了

荒天

这就跟藻泽地一样，即使没人玩，但藻泽还在
病毒依然在等人

sp0770

私服很多都是这样的，还是玩正规点的吧！

Patches

传奇大多数是私服或者改版的单机在传播   好久没玩了  以前还架设过

ahov

好像是传重了一张图了？第二张是：

飞木几钅艮彳亍

曾经下载并架设过单机版的，那些病毒华丽丽的一波一拨的，随便一个压缩包或者运行程序都带毒
禁用了杀毒软件，才架设成功，玩了半个月，删了，重装系统了

iawyxkdn8

这种是自己架的才会有，一般开服的不会！

MX2022

感觉都可以分出一个小版块专门放送这样需要警惕的信息了