Smartoffice等办公类软件违规推装页游分析

2018-03-21 来源:原创 作者:腾讯电脑管家
【文章摘要】近日,腾讯电脑管家监测发现Smartoffice等办公软件通过云端控制向用户电脑违规安装多款页游,该软件的违规推广故意避开北上广深、珠海等城市。仅在某软件中心下载平台,Smartoffice下载量就高达490万次,腾讯电脑管家建议用户使用软件管理功能卸载违规软件。

0x1 概述

近日,腾讯电脑管家发现Smartoffice等多款办公类软件在用户机器上违规推装页游等多个应用,给用户带来不小困扰。对该批软件进行分析后,发现其通过灵活多变的云控方式控制版本发布插件和脚本,在用户机器上执行推装代码,行为非常隐蔽。此外,该批软件使用的云控下发代码方式也存在潜在风险,一旦开发部门管控不严遭黑客入侵,便极易被篡改云端代码进而下发任意恶意代码到用户机器。

从某软件中心下载平台可看到,Smartoffice下载量高达490万次:

(图1:某软件中心下载平台)

(图2:用户电脑被莫名安装页游)

0x2 Smartoffice软件模块分析

从该软件中心下载Smartoffice,逐一排查软件模块分析后可知,该软件通过com劫持的方法将软件目录中的smartoff.dll注入到系统Explorer进程中,每次开机启动时,被注入smartoff.dll模块的Explorer将以命令行smartup拉起软件目录中的SmarLive.exe进程。

(图3:Smartoffice软件目录结构)

(图4:命令行拉起的SmartLive.exe进程)

SmartLive.exe模块是一个主装载模块,该模块需以命令行smartup启动,否则不执行后续代码直接退出,随后创建一个名为__SmartSouresup_Mutex__的互斥量和一个主要的工作线程,软件所有云控行为也从这个线程开始执行:

(图5:启动条件)

(图6:主要工作线程)

线程内首先获取自身目录路径,再拼接外部文件名组成一个外部加密文件的全路径,该路径文件是主装载模块同目录结构下的smoUplive.cache文件。主装载模块读取该文件后,在内存中使用des算法解密,最后展开得到一个PE文件。

(图7:加密的外部文件路径)

(图8:内存中解密的PE)

经过内存Dump该PE后可看出,是一个静态引用了Lua5.3.4版本引擎的DLL,主装载模块通过遍历导出函数,获取解密云端Lua脚本,执行Lua脚本。

(图9:内嵌lua5.3.4引擎)

(图10:拉取执行Lua脚本功能导出函数)

调试该DLL可发现其Lua脚本通过云端地址:

hxxp://config.wddma.com/src/smartds.html获取,读取html页内加密的Lua脚本文件后,在内存中同样使用DES算法解密运行,通过Dump下解密后的的Lua脚本内容可看出脚本通过函数IsNoBzArea()判断是否为北京、上海、广州、深圳、珠海的IP,当用户IP来自以上区域时,则直接退出脚本。也就是说,北上广深、珠海等地的IP用户不会出现弹框推装等行为,幕后操作者以此在地域上躲避大多数安全公司的监控。

(图11:内存中解密的Lua脚本)

(图12:关闭UAC云端拉取插件函数)

(图13:主页篡改功能函数)

(图14:地区过滤判断函数,排除北上广深、珠海等“炮轰”区域)

(图15:多重条件过滤推装代码片段)

进一步观察Dump模块C++与Lua脚本的交互接口函数,可发现其功能十分丰富,接口功能主要有内存操作、注册表操作、js相关命令解析执行、AdbShell操作等功能......通过这些接口可知该软件不仅可实现对用户PC进行弹框、推装、主页篡改等行为,还具备通过AdbShell对连接PC的移动设备实现进一步推装的能力,以下为该模块实现的Lua接口。

(图16:软件预留的Lua接口函数)

 0x3 同源性分析

Smartoffice使用签名为重庆熙禧科技中心,经腾讯御见威胁情报中心查询,该签名可关联到一款名为“易压缩”的解压软件,通过“易压缩”软件官网域名可关联到数十个其它网站,部分站点涉及桌面便签、压缩、办公、阅读等软件类型。排查后发现“乐享桌面便签”,“易压缩”同样存在内存解密云控相关的代码模块,并且其代码相似度极高,可确认为同一组织编写。

(图17:Smartoffice签名)

(图18:易压缩签名)

(图19:通过易压缩网站邮箱信息关联到的数十个站点)

(图20:Smartoffice、 易压缩、乐享便签高度一致的DLL模块内存解密代码)

0x4 结语  

网上各种软件分发渠道良莠不齐,用户费尽周折下载到的软件往往还暗藏杀机,腾讯电脑管家建议用户应尽可能从正规的官方渠道下载软件。此外,腾讯电脑管家的软件管理提供软件下载、安装、升级、卸载等服务,同时拥有高速下载、去插件安装、卸载恶意软件等特色功能,电脑管家用户可放心使用。

(图21:腾讯电脑管家软件分析界面)


电脑管家V13.3

权限雷达全新升级

详情>>

版本更新:2019.5.6