火绒安全警报：病毒伪装成激活工具 强制安装360、2345浏览器

火绒安全实验室

一、        概述
8月30日，火绒安全团队截获病毒"FakeKMS"。该病毒伪装成"小马激活"、"KMS"等知名激活工具，通过激活工具下载站点（站点（http://rjdq.zzymsmc.cn/jihuo/ty/jh2/）进行/）进行传播。该病毒不具备任何激活功能，一旦病毒入侵用户电脑，会立即劫持浏览器首页，同时还会静默安装360安全浏览器和2345浏览器，进而牟利。另外，该病毒还会通过内核级对抗手段躲避安全软件查杀。
"火绒产品（个人版、企业版）"最新版即可查杀该病毒，建议近期访问过该网站下载软件的用户，尽快使用"火绒产品"对电脑进行扫描查杀。

二、        样本分析
该病毒会将自身伪装成系统激活工具，并通过自己搭建的激活工具下载站点进行传播。与以往的所见到的同类样本不同，该病毒除了会执行病毒行为外，不具有任何激活功能。病毒下载站点，如下图所示： 病毒下载站点
如上图所示，该页面中的激活工具下载链接众多。但是通过测试，我们发现在用户点击下载后最终跳转到的下载地址均为hxxp://soft.gz5s.com/54/exe/jh/xiaoma201808281210.exe，即用户通过任一下载链接下载到的均为同一病毒样本。该病毒样本为AutoIt安装包，通过病毒脚本逻辑运行病毒文件及静默软件安装包。病毒脚本，如下图所示： 病毒AutoIt脚本
被该病毒推广的软件包括：360安全浏览器和2345浏览器。被推广的软件安装包文件信息，如下图所示： 360浏览器安装包文件信息 2345浏览器安装包
病毒在推广软件的同时还会释放Rootkit病毒劫持浏览器首页，驱动文件名为随机名且没有扩展名，驱动文件还会通过内核级对抗手段躲避安全软件查杀。Rootkit病毒文件，如下图所示： 病毒文件
该病毒被加载后会强行劫持用户首页为2345网址导航（hxxp://www.iw121.com）,被劫持后的首页情况，如下图所示： 被劫持后的浏览器首页
综上，火绒建议广大用户使用正版操作系统，在安装系统后优先安装安全软件，从而避免感染此类病毒。

三、        附录
文中涉及样本SHA256：

感动何尚

拎着醋瓶打酱油 发表于 2018-8-31 10:43
我办公室里电脑被个脑残装过小马，现在启动浏览器自动挂123.sougou789.com  不能重装，因为硬盘太多数据。 ...

告诉你个方法，用火绒杀，杀完去论坛下载火绒浏览器劫持专杀，还没用（当然没用，这些步骤是铺垫），加QQ群，群里反馈，火绒工程师最喜欢样本了，分分钟远程手动给你解决（滑稽），用过几次，火绒工程师真心免费帮忙

羽月莉音

拎着醋瓶打酱油 发表于 2018-8-31 10:43
我办公室里电脑被个脑残装过小马，现在启动浏览器自动挂123.sougou789.com  不能重装，因为硬盘太多数据。 ...

可以试试这个，应该能解决浏览器首页劫持问题 https://toolslib.net/downloads/viewdownload/1-adwcleaner/
[贴图错误，请阅读“贴图帮助”。/png;base64,/9j/4AAQSkZJRgABAQEAYABgAAD/2wBDAAgGBgcGBQgHBwcJCQgKDBQNDAsLDBkSEw8UHRofHh0aHBwgJC4nICIsIxwcKDcpLDAxNDQ0Hyc5PTgyPC4zNDL/2wBDAQkJCQwLDBgNDRgyIRwhMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjIyMjL/wAARCAAPAA8DASIAAhEBAxEB/8QAHwAAAQUBAQEBAQEAAAAAAAAAAAECAwQFBgcICQoL/8QAtRAAAgEDAwIEAwUFBAQAAAF9AQIDAAQRBRIhMUEGE1FhByJxFDKBkaEII0KxwRVS0fAkM2JyggkKFhcYGRolJicoKSo0NTY3ODk6Q0RFRkdISUpTVFVWV1hZWmNkZWZnaGlqc3R1dnd4eXqDhIWGh4iJipKTlJWWl5iZmqKjpKWmp6ipqrKztLW2t7i5usLDxMXGx8jJytLT1NXW19jZ2uHi4+Tl5ufo6erx8vP09fb3+Pn6/8QAHwEAAwEBAQEBAQEBAQAAAAAAAAECAwQFBgcICQoL/8QAtREAAgECBAQDBAcFBAQAAQJ3AAECAxEEBSExBhJBUQdhcRMiMoEIFEKRobHBCSMzUvAVYnLRChYkNOEl8RcYGRomJygpKjU2Nzg5OkNERUZHSElKU1RVVldYWVpjZGVmZ2hpanN0dXZ3eHl6goOEhYaHiImKkpOUlZaXmJmaoqOkpaanqKmqsrO0tba3uLm6wsPExcbHyMnK0tPU1dbX2Nna4uPk5ebn6Onq8vP09fb3+Pn6/9oADAMBAAIRAxEAPwDvde1PUYfEAgh1ny0Zd0UaQI6rnIZZO/AAK56k+1eaePvh/FrviSXX7nVbi2F8ke1BZK/3I1QnPmDrtz0HWtHQ/FCa9b6pfaRAWtJ3hm1FJZWMtkxyMZICyAlWwVycYyFPFaOr65DqdtNbi2eIiRXtzuzwBtweePlA6dxXqYbB02lJrmT3fbReff8ABHjYzG1YNxi+V20XfV+XZfez/9k=[/img]

我只是条咸鱼

现在小马真的就是病毒传播地

853560561

吾何等像你一样优秀

xkz959

我前天好像下载使用过。。。。。。

拎着醋瓶打酱油

我办公室里电脑被个脑残装过小马，现在启动浏览器自动挂123.sougou789.com  不能重装，因为硬盘太多数据。所以想找个大佬求解。360 火绒都试过了，杀不了

A-Li

咦，这是我昨天修复火绒时顺便报上去的一个问题，想不到这么快就处理了， 果然火绒的技术人员可靠呀。

babylove4219

360 火绒都试过了

wenglk

求手动杀毒的方法

chqsb123

拎着醋瓶打酱油 发表于 2018-8-31 10:43
我办公室里电脑被个脑残装过小马，现在启动浏览器自动挂123.sougou789.com  不能重装，因为硬盘太多数据。 ...

NOD32 ESET试试看！

do4family

火绒是我的最爱，已经用几年了，一直不错！