电脑管家提醒:小心湄公河行动种子藏毒
克日，腾讯平安团结实验室反病毒实验室哈勃分析系统发布了《8月威胁情报-活跃木马故事》（以下简称《故事》）。 ??根据《讲述》，8月份恶意程序释放类木马和恶意网络相邻类木马活跃对照频繁，影响普遍有限。CrackWare木马每天活动超过3万次。值得注意的是，恶意程序木马可以伪装成流行的游戏补丁、软件破解补丁、视频下载器等元素，欺骗用户信托，诱导用户点击，对用户的网络安全构成巨大威胁。木马伪装成系统启动项目 诱使用户点击操作 ??在8月份自动捕获的威胁样本中，CrackWare木马最活跃，单日捕捉峰值超过3万。
（八月份CrackWare木马活跃图) ??《讲述》指出，将近58%的文件用于版权信息中捕获的木马样本。CracksWare Corporation木马发布的大量文件也有字样文本Crack因此被命名为CrackWare木马。此外，其他报毒引擎也使用reconyc”、“specx”等名称。 ??哈勃剖析系统研究发现，CrackWare木马运行后，会在那里system32在目录下释放一个名字叫svchosts.exe可执行文件。值得注意的是，文件名称和系统文件svchost.exe只有一个字符，所以很容易被误认。与此同时，为了冒充系统启动项目，逃避用户嫌疑，木马将在注册表中自然命名为SvcHosts32启动项目指向之前发布的文件。最后，木马将大量复制自己system32\drivers32目录下，伪装成当前流行的免费游戏CD补丁、软件破解补丁、影戏下载器等等，且会将原始路径下的木马文件自动删除。用户稍不留心就会被这些名称吸引并打开文件，从而致使木马进一步运行和流传。 
（CrackWare木马天生的伪装过的恶意可执行程序） ??还指出》还指出，Mira8月份木马也比较活跃，日均捕捉量在5000左右。CrackWare类似的木马会在受害者的电脑上发布大量恶意文件。 
（八月份Mira木马活跃图) ??Mira木马的一个明显特点是，除了公司版权外，这类木马的文件属性还将使用Microsoft Corporation除了伪装成微软公司的正式文件外，还将其命名为产品名称Mira Malware这也是木马报毒名称的由来。 ??进一步研究哈勃分析系统发现，Mira木马运行后，会在那里Application Data在目录下释放随机文件名的文件和Mira.h虽然后者是文件.h的扩展名，腾讯电脑管家哈勃分析系统亮相VB2016
但它实际上是一个可执行的文件。为了确保用户的计算机每次重新启动后都能运行，木马将这两个文件设置为隐藏属性，并将一个启动项目指向注册表中的第一个文件。为了进一步伪装成系统启动项，木马将启动名称设置为Microsoft?Windows?Operating System”。 未来，木马将自动运行发布的第一份文件将遍历C根据目录下的所有目录和文件，与名称自然相同的可执行文件，然后隐藏原始目录和文件。同时，这些新的和自然的文件将使用类似于系统目录的图标。事实上，这是木马隐藏自己的习惯。一旦用户打开这些目录，就很容易将这些文件识别为他们想要打开的目录并双击运行，但实际上无意中鼓励了木马的传播。 ??目前，哈勃分系统可以准确识别和检测此类木马。
(哈勃分析系统阻塞提醒) 恶意网络链接木马活跃 70%的服务器位于美国 ??根据这个故事，另一种活跃的木马在8月份出现了——Kryptik木马，该木马以恶意网络链接为主要作恶手段。此木马最高日捕捉量到达1.3八月初一万次特别活跃。 
（Kryptik木马活跃图) ??哈勃分析系统指出，Kryptik木马的行为并不巨大。木马运行后，实验将毗邻一个C&C服务器，通过http协议上传信息和吸收指令。值得注意的是，特洛伊木马在8月份举行了35万次以上的网络动态行为。哈勃分析系统研究了其网络行为，发现许多网络数据包发送到相同的服务器。根据服务器域名，涉及近9万个域名。此外，这些域名基本上是三级域名，域名的第一段是随机字符串，相应的二级域名没有流行的动态域名。如果根据二级域名，C&C只有不到900个服务器。 
（Kryptik木马网行为统计) ??哈勃分析系统进一步发现，Kryptik木马链接的C&C服务器基本注册.ru(俄罗斯国家顶级域名)通过查询服务器IP后来发现，70%以上的服务器位于美国。 
（Kryptik木马C&C服务器区域漫衍) ??腾讯反病毒实验室哈勃分析系统建议用户始终从正式网站或官方网站下载和使用软件，不要相信小网站和网络磁盘共享的文件，也不要相信群、论坛等社交渠道推荐的软件；在搜索各种补丁、序列号天生器、下载器等工具软件时要小心。即使是计算机硬盘中存在的文件也需要频繁检查，以此类工具软件的名义阻止恶意程序传播；对于不安全的软件，用户可以使用哈勃分析系统（https://habo.qq.com/)检测并及时发现风险。此外，用户必须随时保持腾讯电脑管家等安全软件的运行。 ??腾讯电脑管家9月份上线12.0新版增强了云主防和病毒查杀和安全防护Bootclean消灭手艺、Rootkit通杀、系统急救箱四大安全特征的查杀能力，全方位守护用户电脑安全。 
(腾讯电脑管家12.0新版本界面) 【关键词】腾讯电脑管家 哈勃分析系统 威胁情报 CrackWare Mira Kryptik 木马 流量劫持导致电脑频繁弹广告 电脑管家解决方案