国产流氓软件火球全球作恶-火绒安全.PDFVIP

国产流氓软件“火球”全球作恶 受害者众多引起公愤 FIREBALL HUORONG BORUI (BEIJING) TECHNOLOGY CO., LTD. 目录 一、 综述 3 二、 事件分析 4 三、 附录 10 FIREBALL HUORONG BORUI (BEIJING) TECHNOLOGY CO., LTD. 一、 综述 6 月1 日，知名安全公司CheckPoint 发布报告称，发现了由中国公司控制的流氓软件 “火球（Fireball）”，因受害者众多，已经引起国外安全机构的重视。 在“火球（Fireball）”事件中，火绒安全团队发现了野马浏览器、Deal Wifi 软件等8 款 流氓软件，这些流氓软件感染电脑后会将Chrome 浏览器的首页、TAB 页改为随机生成的 搜索页，而用户无法更改。虽然页面各不相同，但搜索页均抓取雅虎和谷歌数据，火绒安 全团队推测，流氓软件制造者以控制用户点击雅虎和谷歌的广告牟利。 流氓软件在安装时会检测电脑是否有Chrome 浏览器，若没有则相安无事，若有则会 提示用户安装一个Chrome 插件，不安装插件就不能安装软件。 虽然这些软件来自国内卿烨科技、百盛达科技等多家公司，但是火绒安全团队通过追 踪发现，其均由同一作者“baoyu430@”制作。作者注册不同网站，制作了一批流 氓软件。 这些软件只攻击Chrome 浏览器，但考虑到Chrome 浏览器在国外的市场占有率，“火 球（Fireball）”事件可谓影响巨大，国内Chrome 用户也可能收到挟持。 用户可以通过卸载这些流氓软件恢复Chrome 浏览器的设置。当然，另一种更省力的 方法是开启火绒安全软件，火绒安全软件已可全面查杀“火球（Fireball）”事件涉及的流氓 软件，建议用户下载安装最新版火绒安全软件。 这次“火球（Fireball）”事件虽然在外国爆发，但其“作案手法”在国内早已屡见不鲜， 可以看出国内的网络犯罪手法正在向国际蔓延。 FIREBALL HUORONG BORUI (BEIJING) TECHNOLOGY CO., LTD. 二、 事件分析 近期火球（FireBall）事件中，涉事软件存在劫持Chrome 浏览器首页及新标签页的恶 意行为。经过火绒追查，发现更多软件涉及此次事件，如下图所示： 软件列表 以“Deal WiFi”软件为例，安装如下图所示，如果用户不勾选Set a s your chrome homepage and new tab ，则无法继续安装。如下图所示 ： 安装 勾选后使用火绒剑监控“Deal WiFi”安装过程，可以看到程序在后台安装了一个Chrome 插件，如下图所示： FIREBALL HUORONG BORUI (BEIJING) TECHNOLOGY CO., LTD. 安装Chrome 插件 该插件会“劫持”Chrome 的设置界面，如下图所示： 劫持Chrome 首页及新标签创建页面 Chrome 浏览器的首页被修改为 hxxps:///?type=apps ，如下图所示 ： FIREBALL HUORONG BORUI (BEIJING) TECHNOLOGY CO., LTD. 搜索劫持 这些流氓程序安装流程一样，都会强制安装一个名称和所装软件名称一样的 Chrome 插件。这些插件功能完全相同，都是锁定首页和新标签页的URL ，其中名为Soso D