恶意程序伪装成Windows“另存为”对话框骗用户

是 否 +2 论坛币

k人 参与回答

经管之家送您一份

应届毕业生专属福利!

求职就业群

赵安豆老师微信：zhaoandou666

经管之家联合CDA

送您一个全额奖学金名额~ !

立即领取

感谢您参与论坛问题回答

经管之家送您两个论坛币！

+2 论坛币

当前一些通过附加及捆绑在其它应用的恶意软件，为了成功的安装到用户系统上，开始使用一种较为狡猾的方式来试图欺骗用户。

恶意软件分析师 Dr.Web 在本月检测到，恶意软件 Ticno(Trojan.Ticno.1537)，这种木马拥有非常强大的 防检测 的特点。

Ticno 并不像那些常规的恶意软件下载程序一样，盲目的去监听指令，并将 payload 安装到受感染系统 。它具有扫描潜在主机系统的功能，并以此来确定受感染的计算机，到底是一个真实的 PC ，还是一个供安全研究人员用来扫描和分析恶意软件的虚拟机 。

根据 Dr.Web 的研究分析发现，Ticno 会扫描以下这些进程：

irise.exeIrisSvc.exewireshark.exeZxSniffer.exeRegshot.exeollydbg.exePEBrowseDbg.exeSyser.exeVBoxService.exeVBoxTray.exeSandboxieRpcSs.exeSandboxieDcomLaunch.exewindbg.exeollydbg.exevmtools.exe

此外，它还会对以下列举的这些计算机注册表项进行扫描：

HKCU\Software\CommViewHKLM\SYSTEM\CurrentControlSet\Services\IRIS5HKCU\Software\eEye Digital SecurityHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Wiresharkhklm\SOFTWARE\ZxSnifferHKCU\Software\Win SnifferHKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\APIS32HKCU\Software\Syser Softhklm\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Oracle VM VirtualBox Guest AdditionsHKLM\SYSTEM\CurrentControlSet\Services\VBoxGuestHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SandboxieHKCU\Software\Classes\Folder\shell\sandboxHKCU\Software\Classes\*\shell\sandbox

如果这些检查中超过三个以上成功匹配，Ticno 就会停止扫描动作，并会启动一个 Windows Explorer 进程来作为诱饵 。

但是，如果这些检查都没问题的话，Ticno 就会向系统用户弹出一个“另存为”的对话框，要求用户将名为 1.zip 的文件保存到计算机上 。

Ticno 提示用户，将文件保存到磁盘 [来源：Dr.Web]

在这里有经验的用户可能就会察觉到，这种无来源的未知安装程序，可能会给自己的计算机带来一定的风险。

但不幸的是，并不是所有用户都有这么好的安全意识。通常情况下，他们都会随手的就点击保存按钮。

其实如果你仔细的查看“另存为”弹窗的左下角，你就会发现那里有一串带有链接的字“Additional settings(其它设置)”。我们点开链接看看，它的背后到底隐藏着什么 。

Ticno隐藏框 [来源：Dr.Web]

Ticno 用于广告软件和 Chrome 扩展程序推广

Dr.Web 说这些打包为 Windows 软件或 Chrome 扩展的压缩包，其实里面包含的都是些广告软件的安装选项 。一旦你安装了它，就会在你的计算机上一次性安装以下程序：Trojan.ChromePatch.1，Trojan.Ticno.1548，Trojan.BPlug.1590，Trojan.Triosir.718，Trojan.Clickmein.1 和 Adware.Plugin.1400 。

除了以上那些非法的应用程序，其中也包含着一些合法的应用程序。如 Amigo 浏览器 和 Mail.ru 开发的 HomeSearch@Mail.ru 也包括在内。这很可能是软件联盟安装任务的一部分，Ticno 的作者从中应该也有不错的收益 。

如果用户没有及时发现此链接，并将文件保存，“另存为”对话框将转换为一个安装程序 。

转载自：http://netsecurity.51cto.com/art/201701/527020.htm

江苏国骏提供网络安全方案：网络防病毒系统、防火墙/UTM/VPV/入侵防御系统/防病毒网关、网站安全防护、内网安全管理系统、流量整形、负载均衡、数据容灾备份等

扫码加我 拉你入群

请注明：姓名-公司-职位

以便审核进群资格，未注明则拒绝

分享0 收藏0 回帖

关键词：Windows Window wind Win IND Windows 对话框 程序 用户