2009-08-11

樣本分析 - 農民幣誘拐

Facebook一段時間了,它裡面有個Flash Game叫做開心農場
初期給你六塊田去耕種,如果要繼續擴張,那你必須花錢購買農民幣
如果不想花錢,有的時候會有一些免費送農民幣的活動
這些活動通常都是真的,但有的時候也有假的
可能是要求你安裝一些有的沒有的東西
有的可能騙說送你農民幣,但其實是利益交換
騙人花招很多,就是看準了人的"貪念"



進入這個頁面,我們找Free類別的
然後可以看到如圖中的畫面,我照著說明
下載了那個所謂通訊軟體的客戶端
如果你沒有Facebook帳號那點我進入




因為這個東西看起來就覺得非常可疑
而且它還要求你一直開啟它
跟你的其它通訊軟體
基於常理判斷,應該不是什麼好東西




在它的安裝過程中就有不少惡意行為
還不隱避,才一開始就出現了惡意行為



直接修改IE記憶體



開始一連串的Downloader行為









這行為或許合法,但重點是接下來



又繼續下載了



對系統做了不少修改



生成*.tmp檔,並在windir下生成






開始生成ocx檔









繼續修改註冊表





















繼續修改explorer.exe記憶體內容






IE居然開始自動要求聯網



行回實在太可疑了,這回D+也報啟發了




安裝完後,發現了一個叫做Power Cleaner的東西
我沒有執行它,它自己就莫名其妙的出現在我的眼前




看起來它找到了一大堆需要修復或清理的對象



可是當你要進行清理時,它就要你花錢了



IE由svchost.exe開啟,再明顯不過的怪異行為




IE的連線,IE沒有視窗,除非打開工作管理員
否則你不會發現IE在背後偷偷工作



該樣本從它被執行的那一刻開始,就一直不停的聯網
下載了很多東西,其中不少還是合法的軟體
像是Yahoo toobar之類的工具,我沒有檢查這些工具是否被加料
但是數位簽章相當完好,或許是用合法掩護非法的手段

過程中CIS大約有100次左右的彈框,我僅擷取部分
大部分的聯網提示我都捨棄,只保留能夠解釋部份行為的提示
其中svchost.exe因為規則的關係,還有我放行explorer.exe被修改
所以CIS被沒有提示將要被執行IE

除了這個樣本外,FaceBook上還有更多類似的東西
所以玩Facebook想要免費取得農民幣
應該找不需要下載或安裝的

對你的隱私或個人財產才會比較有保障!

6 則留言:

  1. 呃…那這軟體是好是壞啊?
    因為「免費資源網路社群」有介紹過耶…
    http://www.freegroup.org/2009/08/free-software-digsby/

    回覆刪除
  2. 或許它介紹時還沒有露出狐狸尾巴
    但從這些種種的跡象來看
    這應該不是什麼好軟體

    回覆刪除
  3. 其實這次的放行算是第二次了,第一次放行時就有出現些許的災情。這軟體在安裝時,小紅傘會一直出現警告!

    回覆刪除
  4. 感謝分享,自己也裝過這個軟體,這的是沒注意到這個問題,回去趕快檢查電腦去.

    回覆刪除
  5. 我也有玩

    但沒發現是這種招術

    我也要來安裝您用的這套comodo了!!

    真誇裝~~

    回覆刪除
  6. 之前有看到大大您的FLASHGET 1.94

    掛馬檢測

    我到網路上下載了FLASHGET2.11.0.1187 繁體中文版

    不知道還有沒有此問題 希望你檢測看看

    http://www.softking.com.tw/soft/download.asp?fid3=8846

    上為軟體王多個載點

    回覆刪除