dnf宝马外挂让你电脑秒变“毒窝”

火绒安全团队截获一批捆绑在《地下城与勇士》游戏外挂上的首页劫持病毒。根据技术分析追溯，我们确定这些病毒的主要传播源是一个游戏外挂网站，进而发现，这个外挂站是一个巨大的“病毒窝点”，传播的电脑病毒种类之多、数量之大，令人惊讶。

总体说来，该网站暗藏三类病毒，一类是游戏用户深恶痛绝的括盗号木马，二类是控制用户电脑，劫持首页的后门病毒，三类是强制捆绑安装软件的下载器病毒。该网站的用户会被随机感染数种病毒，电脑受到持久的多重侵害和骚扰。

这个游戏外挂网站是

hxxp://www.dnf3996.com

hxxp://www.dnf9669.com

hxxp://www.wg9669.com

该站的运作流程如下：1、游戏外挂作者将自己开发的外挂程序放到该网站进行推广，并设定每个外挂的金额；2、代理商先付费获得代理资格，然后用各种方式（如QQ群等）推广、销售这些外挂程序，赚取代理费。

《地下城与勇士》是一款用户众多的经典网游，针对这款游戏的外挂数量巨大。电脑病毒制作者瞄准该游戏的海量外挂用户们，将各种电脑病毒和外挂程序捆绑在一起，进行再打包，然后通过这个外挂平台往外传播。根据“火绒威胁情报系统”统计，被这些病毒感染的用户，已经覆盖了全国大部分地区。

更为奇葩的是，除了盗取游戏账号、控制用户电脑锁首（将首页强行修改为“2345”导航站）之外，第三类下载器病毒捆绑安装的，竟然是老牌杀毒软件“瑞星”。根据测试，这款“瑞星”装入用户电脑之后，各种正常的安全模块都不开启，唯独开启自我保护和弹窗广告模块——也就是说，除了长期驻留电脑骚扰用户之外，没有任何功能。根据软件签名和下载地址可以确认，这款“专门弹窗版”瑞星杀毒软件，并非外部团伙的篡改和构陷，而是来自于瑞星官方。

二、病毒行为简述

病毒推广站页面如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 1、外挂推广网站

图中所示，如“DNF XX辅助”就是属于不同的外挂作者的推广渠道，该网站中称之为端口。不同的推广端口对应的价格不同，经过一段时间的验证我们发现，外挂带毒主要集中在低价外挂区域，其外挂中不定期会捆绑病毒程序。该推广站所涉及的病毒共有三类，一类是下载器病毒，一类是通过漏洞传播的盗号木马，另一类是具有首页劫持功能的后门病毒。

2.1 下载器病毒

我们在该站“DNF封神辅助”推广端口下载到了捆绑此类病毒的外挂。文件属性如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 2、文件属性

外挂运行后，界面如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 3、外挂界面

其首先会释放带有数字签名且文件名随机的ThunderShell程序。如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 4、文件属性

ThunderShell程序启动时，会加载名为LiveUDHelper.dll的病毒动态库，该动态库中包含恶意代码。其加载后会启动系统svchost进程对其进程注入，注入内容为LiveUDHelper.dll中的一个子PE文件。该PE文件中包含真正的下载器病毒代码，执行后会下载hxxp://dl.i1236.com/dl/wrqdown2/ravv16stdf10O4120001.exe。如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 5、恶意推广行为日志

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 6、进程树

通过文件属性我们可以看出其所下载的文件是一个7Z自解压包，并且包含瑞星数字签名，如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 7、软件安装包

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 8、数字签名详细信息

更值得一提的是，该病毒与以往我们见到的恶意推广病毒不同，其只推广瑞星杀毒软件，且其推广的该版本瑞星杀毒软件不具有任何杀毒功能，除了自保功能外，只会不定期弹出广告，甚至连软件主界面都无法正常启动。

软件广告弹窗，如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 9、广告弹窗

根据域名查询结果，下载该版本瑞星杀毒软件的域名（hxxp://dl. i1236.com）与瑞星官方论坛域名（hxxp://www.ikaka.com）的注册人信息一致。如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 10、域名信息对比

2.2 盗号木马

在个别低价外挂下载过程中会跳转到一个漏洞页面，如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 11、漏洞页面

上述页面中利用MS14-064漏洞下载盗号木马，漏洞触发后，IE进程树如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 12、进程树

木马文件运行后会先在系统环境中搜索腾讯游戏登录相关的进程，伪装成腾讯游戏平台的登录界面，诱骗玩家输入账号密码。如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 13、盗号木马运行界面

2.3 后门病毒

我们在该站“DNF宝马辅助”推广端口下载到了捆绑此类病毒的外挂。该病毒功能分为两个部分：

1)Intel.exe与Intel.sys相互配合劫持浏览器首页。

2)Intel.exe下载后门病毒Pack.exe，通过与C&C服务器通讯Pack.exe可以随时执行多种DDOS攻击。

因为后门病毒的威胁级别更高，所以后文中统称其为后门病毒。捆绑后门病毒的外挂文件属性，如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 14、文件属性

外挂运行界面如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 15、外挂运行界面

外挂文件运行后，表面与一般外挂程序并没有什么不同，但是火绒剑进程树中我们可以看到，其后台执行的行为非常之多。如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 16、外挂进程树

外挂进程在释放带有数字签名360Tray.exe之后，会将其启动并对其进行注入。注入后，360Tray.exe会加载nike.dll动态库释放其主要病毒文件。如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 17、文件属性

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 18、病毒行为展示

Intel.exe和Intel.sys相互配合会劫持浏览器首页，在用户启动浏览器的时候Intel.sys会结束原有进程，之后由Intel.exe再次启动浏览器进程，并在参数中加入劫持网址。劫持效果如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 19、首页劫持

劫持网址为：hxxp://www.dresou.com/219671.htm，访问该网址后会直接跳转到hxxp://www.2345.com/?33483进行流量套现。劫持效果如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 20、劫持IE首页

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 21、劫持参数

病毒劫持的浏览器如下图所示：

    microsoftedge、baidubrowser、maxthon、firefox、liebao、ucbrowser、qqbrowser、sogouexplorer、2345explorer、chrome、theworld、safari、netscape、twchrome、360chrome、360se、iexplore、115chrome

被劫持浏览器

Intel.exe除首页劫持功能外，还会联网在C&C服务器（hxxp://main.dresou.net）下载后门病毒pack.exe。pack.exe会先将自身文件以svchost的文件名复制到Temp目录中，再由其释放的假spoolsv启动假svchost执行后门逻辑。如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 22、进程树

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 23、假svchost网络连接状态

假svchost是个后门病毒，连接C&C服务器的45678端口获取控制命令。根据从C&C服务器所传回的控制信息，该后门病毒可以清空IE浏览器缓存、发起洪水攻击或者从C&C下载执行其他恶意程序。其用来清除浏览器缓存的程序基本属性如下图所示：

游戏外挂网站暗藏病毒：下个外挂，电脑秒变“毒窝”

图 24、文件属性

该后门病毒可以执行的洪水攻击类型如下图所示：

    SYN   Flood、Connect Flood、UDP Flood、ICMP Flood、TCP   Flood、HTTP Flood、DNS Flood

Intel.sys会在系统内核级保护Intel.exe、Intel.sys及其自身相关的注册表键值。因为Intel.exe是后门病毒的释放者，所以不通过内核级工具是无法彻底清除后门病毒。在启动外挂后，用户就会完全变成病毒作者的“傀儡”。

依托于该外挂推广站的“黑产”套现渠道众多，其中包含外挂推广、恶意软件推广、流量劫持推广、盗号获利、利用后门病毒组织DDOS攻击敲诈获利。一旦走进其套现链条，用户就会完全变成病毒作者的获利工具，造成持久性安全威胁。