主页保安成锁主页病毒母体，被查杀就重启电脑

2018-12-05 来源：原创作者：腾讯电脑管家

我要分享

【文章摘要】腾讯电脑管家收到用户反馈，在用电脑管家或急救箱等杀毒软件进行杀毒时，系统会被强制重启，经分析发现系统被安装suoye（锁页）木马，一用杀毒软件查杀，电脑就会强制重启。

一、概述

近日腾讯电脑管家收到用户反馈，在用电脑管家或急救箱等杀毒软件进行杀毒时，系统会被强制重启，经分析发现系统被安装Rootkit病毒，病毒为对抗杀毒软件，一查杀就强制重启系统。根据病毒特性，电脑管家将其命名为suoye（锁页）木马。

Suoye木马其传播源为各种Windows、Office盗版激活工具，经分析该木马实际为“主页保安”软件的驱动模块，主页保安官网宣称是其旧版本被病毒利用，但该软件其行为和病毒及其相似，包括对抗杀毒软件，阻止杀毒软件写BCD配置文件等。该木马还和独狼2木马进行捆绑传播。

Suoye木马还采取强对抗手段，当用户使用多款杀毒软件，或急救箱杀毒时，病毒会强制重启计算机，从而中断杀毒操作。推荐用户下载电脑管家急救盘，使用U盘急救箱开机查杀。 (使用指引参考文末)

木马传播趋势

主页锁定

二、详细分析

我们分析了其中一个传播源：xiaoma激活工具，该盗版激活工具携带的Suoye病毒有如下恶意行为：

1) 静默推装2345浏览器及360浏览器；

2) 在temp目录下释放并运行木马文件svchost.exe及wwwiw121com.exe

3) svchost.exe在driver目录下释放独狼2系列Rootkit病毒并加载运行，wwwiw121com.exe将其自身复制到HomePageSecurityGuard目录下并重命名为protece.exe，随后在驱动目录下释放suoye驱动病毒并加载运行

释放在driver目录下的三个Rootkit病毒，sample.sys，192C9A69.sys(随机名)，a302480006.sys(随机名)，其中sample.sys和192C9A69.sys数字签名为"浙江恒歌网络科技有限公司"（该签名经常被病毒滥用），为前段时间披露的"独狼2"rootkit，主要功能是对抗杀毒软件，阻断联网，锁主页等，详细分析可参考：Rootkit病毒“独狼2”假冒激活工具传播，锁定23款浏览器主页，已感染上万台电脑。

a302480006.sys(随机名)为suoye驱动木马

独狼2rootkit

Suoye驱动木马分析

加载运行后会创建多个回调，包括注册表cmpcallback，进程创建回调，关机回调等。在cmpcallback中实现自身注册表保护，在进程创建回调中实现主页劫持，在关机回调中实现自保护如回写注册表及文件。

注册进程创建回调

随后会创建多个系统线程，线程函数地址为KeBugCheckEx，该函数已经被被hook ，会跳转到rootkit模块内执行真正的线程函数。在该线程函数内完成了主要的恶意功能，其目的主要是实现隐藏，让杀毒工具看起来其线程地址是在nt模块内

keBugCheckEx被hook后

强制重启电脑

suoye木马会不断的检查系统启动组注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ServiceGroupOrder 下的List键值，系统默认该键值第一项为System Reserved，如果检查到启动组第一项不是System Reserved则暴力重启电脑。