风云又起:金山更新驱动,拦截所有360字样进程!(附样本)

又一场腥风血雨啊!
    大概是晚上6、7点钟吧,本来想备份点东西,发现360云盘打不开。刚开始以为是软件bug,也没当回事,就想上网页版。没想到连360浏览器也阵亡了,双击快捷方式没有反应。直觉告诉我,一定是粗大事了。
     赶紧打开主防日志查,发现金山毒霸下午自动装了一个驱动,看起来用的是随机文件名(我这里是ts2z9pfwwe.sys),明显有猫腻。
把这个驱动拎出来,简单分析了下,结果惊呆了。。
     它基本就干一件事:向系统注册进程创建回调(Process Create Notification),判断正在启动的进程名称是否包含“360”。如果包含360,直接结束进程;如果不包含,那什么事也不做。
    也就是说,如果你电脑金山毒霸已经更新了这个驱动,所有带360字样的程序都无法打开了,而且还没提示。死都不知道是怎么死的。
    更搞笑的是,把猎豹浏览器主程序改名成360se.exe,一样打不开。。
    附样本测试地址:http://yunpan.cn/Qpen7UxQSpjdG (包含1. kingsoft.reg2.驱动加载工具instdrv3.金山驱动。再想想,病毒也可以随便加载这个驱动,带金山签名哦,细思恐极~
   步骤: 导入kingsoft.reg 打开驱动加载工具instdrv 把金山的这个驱动拖拽到instdrv的界面上,点击安装后, 点击启动,好了,这个时候再运行任何带有360名字的程序都运行不了了。可以试试看把liebao.exe改为360liebao.exe,也运行不了。好玩了~
关键代码:
在进程创建回调中,判断进程名是否包含360。如果包含就结束进程。
<ignore_js_op>

发表评论

电子邮件地址不会被公开。 必填项已用*标注