「四川 火绒企业版 科汇科技火绒体验中心」传奇私服暗藏病毒劫持用户流量

该病毒可通过C&C服务器下发任意恶意模块，还会将病毒服务器设置为代理服务器，通过篡改用户流量来推广病毒作者自家的传奇私服。当用户访问传奇相关的网页时，会被劫持到病毒作者自家传奇私服，如下图所示：

火绒安全工程师分析称，该病毒可通过C&C服务器下发任意恶意模块，不排除后续下发其他恶意模块的可能。 被下发的恶意模块将长期驻留在中毒用户电脑中，并开机自启动，利用“白加黑”调用恶意代码模块以及注入系统进程的方式来执行恶意行为。

广大游戏玩家需要注意，私服登录器携带木马、后门及其他病毒的情况时有发生，玩家下载安装后，可能面临网页被劫持、个人隐私数据泄露等不同危害，严重侵害用户隐私和资产安全。因此，火绒工程师提醒广大玩家提高警惕。

火绒安全产品可对以下传奇私服登录器携带的该病毒进行拦截查杀：

病毒的执行流程，如下图所示：

以“梁山好汉=登陆器”为例进行分析：

二、样本分析

当进入游戏后，会释放并执行恶意模块 QQExternals.exe，火绒剑监控到的行为图，如下图所示：

恶意模块QQExternals.exe会根据配置文件来加载远程恶意模块InstallCore.dll，相关代码，如下图所示：

恶意模块InstallCore.dll会释放QQExternal.exe（和第一个恶意模块相比少了一个s）和BugRpt.dll到C:\ProgramData\Microsoft\Setup\，其中 QQExternal.exe为带有腾讯签名的白文件，该病毒通过“白加黑”的方式来绕过杀毒软件查杀。QQExternal.exe签名信息，如下图所示：

BugRpt.dll恶意模块的签名信息直接复制QQExternal.exe签名信息来进行伪装，如下图所示：

恶意模块InstallCore.dll还会执行一系列操作来保证后续的恶意模块能正确被执行，如：添加证书、设置浏览器代理、持久化操作，相关代码，如下图所示：

修改后的浏览器的配置信息，如下图所示：

被添加的任务计划，如下图所示：

利用服务启动白名单文件QQExternal.exe，再以“白加黑“的方式加载BugRpt.dll来执行恶意代码，相关代码，如下图所示：

BugRpt.dll是以“白加黑“的形式被加载运行，当BugRpt.dll同目录下的QQExternal.exe（白文件）被运行时，会调用其导出函数“BR_UserInit”。相关代码，如下图所示：

当BR_UserInit函数运行后会解密自身内部的”Puppet.dll”恶意模块并注入到系统进程WmiPrvSE中，相关代码，如下图所示：

在恶意模块Puppet.dll中，根据服务器的配置来执行恶意模块PuppetLib.dll，相关代码，如下图所示：

在恶意模块PuppetLib.dll中，防止证书被删除，每次启动都会检查证书是否存在，如果证书不存在，将重新添加证书，相关代码，如下图所示：

并且一直循环修改浏览器的代理设置，相关代码，如下图所示：

修改后的浏览器设置，如下图所示：

被劫持的域名均为其他传奇私服站点域名，当用户访问相关传奇私服时，会被劫持到107.148.49.141，该地址用来中转到病毒作者自家传奇私服，相关代理脚本，如下图所示：

二、附录

火绒安全，火绒，火绒安全软件，火绒官网，火绒杀毒软件怎么样，

火绒企业版怎么收费，火绒企业管理员密码，火绒企业版监控员工电脑，

火绒企业版收费标准，火绒企业版价格，火绒企业版与个人版有何不同，

火绒企业版卸载要密码，火绒，火绒安全、EDR V1.0， ，火绒安全防护

服务区域：

云南火绒，昆明火绒 ，贵州火绒，四川火绒，重庆火绒 ，西藏火绒，拉萨火绒，

产品：火绒安全卫士（专业版）软件 ，火绒终端安全管理系统v2.0，火绒安全终端安全管理系统2.0版，火绒终端安全管理系统V1.0,火绒终端安全管理系统，火绒 windows PC 版（10用户起订），火绒安全 终端管理系统Windows V2.0,火绒终端企业版Linux版，火绒终端企业版macOS版。火绒企业版收费标准，火绒企业版， 火绒企业版监控员工电脑，火绒企业版和个人版区别， 火绒企业版价格，火绒企业版多少钱，火绒企业版多少钱一年，火绒信息安全软件 linux PC V2.0终端安全管理系统网络版，huorong endpoint security management system2.0

火绒终端防病毒系统，火绒安全 火绒终端安全管理系统V2.0 Windows杀毒软件 ，火绒终端安全管理系统（ Linux版），火绒安全终端安全管理系统V2.0Linux版，信息安全软件 火绒 windows PC 三年续费版(10用户起订），火绒安全 终端安全管理系统V2.0Linux版 安全软件，火绒专杀工具（企业版），火绒安全 火绒终端安全管理系统2.0（旗舰版），火绒企业网络版杀毒软件升级，火绒企业网络版杀毒软件升级,火绒杀毒企业版多少钱

功能：实现终端安全系统的集中管理、策略配置、报表查看等功能。50个Windows客户端全功能版授权许可,

病毒防御：病毒查杀，防病毒终端软件:网络版杀毒软件，服务器杀毒软件，Linux服务器杀毒软件，防病毒软件EDR、杀毒软件（反病毒引擎、多层次主动防御系统、病毒防御、系统防御、网络防御、设备控制等，网络版杀毒软件 1套，终端安全控制系统，EDR终端安全管理，外网电脑杀毒软件，勒索病毒诱捕，文件实时监控，恶意行为监控，U盘保护，下载保护，邮件监控，web扫描。反病毒引擎供应商。定时全网扫描，

漏洞管理：（漏洞修复）补丁分发，补丁修复，漏洞攻击拦截、攻击溯源，支持漏洞集中修复，补丁文件管理，按终端修复，下发漏洞修复。横向渗透防护，

移动存储管理功能：安全U盘，U盘管控，U盘注册、U盘信任，USB无线网卡、USB有限网卡、打印机、光驱、蓝牙设备、便携设备等