国产流氓软件“火球（Fireball）”全球作恶

6月1日，知名安全公司CheckPoint发布报告称，发现了由中国公司控制的流氓软件“火球（Fireball）”，因受害者众多，已经引起国外安全机构的重视。

在“火球（Fireball）”事件中，火绒安全团队发现了野马浏览器、Deal Wifi软件等8款流氓软件，这些流氓软件感染电脑后会将Chrome浏览器的首页、TAB页改为随机生成的搜索页，而用户无法更改。虽然页面各不相同，但搜索页均抓取雅虎和谷歌数据，火绒安全团队推测，流氓软件制造者以控制用户点击雅虎和谷歌的广告牟利。

流氓软件在安装时会检测电脑是否有Chrome浏览器，若没有则相安无事，若有则会提示用户安装一个Chrome插件，不安装插件就不能安装软件。

虽然这些软件来自国内卿烨科技、百盛达科技等多家公司，但是火绒安全团队通过追踪发现，其均由同一作者“[email protected]”制作。作者注册不同网站，制作了一批流氓软件。

这些软件只攻击Chrome浏览器，但考虑到Chrome浏览器在国外的市场占有率，“火球（Fireball）”事件可谓影响巨大，国内Chrome用户也可能收到挟持。

用户可以通过卸载这些流氓软件恢复Chrome浏览器的设置。当然，另一种更省力的方法是开启火绒安全软件，火绒安全软件已可全面查杀“火球（Fireball）”事件涉及的流氓软件，建议用户下载安装最新版火绒安全软件。

这次“火球（Fireball）”事件虽然在外国爆发，但其“作案手法”在国内早已屡见不鲜，可以看出国内的网络犯罪手法正在向国际蔓延。

二、事件分析

近期火球（FireBall）事件中，涉事软件存在劫持Chrome浏览器首页及新标签页的恶意行为。经过火绒追查，发现更多软件涉及此次事件，如下图所示：

软件列表

以“Deal WiFi”软件为例，安装如下图所示，如果用户不勾选 "Set mystart.dealwifi.com as your chrome homepage and new tab"，则无法继续安装。如下图所示：

安装

勾选后使用火绒剑监控“Deal WiFi”安装过程，可以看到程序在后台安装了一个Chrome插件，如下图所示：

安装Chrome插件

该插件会“劫持”Chrome的设置界面，如下图所示：

劫持Chrome首页及新标签创建页面

Chrome浏览器的首页被修改为hxxps://mystart.dealwifi.com/?type=apps，如下图所示：

搜索劫持

这些流氓程序安装流程一样，都会强制安装一个名称和所装软件名称一样的Chrome插件。这些插件功能完全相同，都是锁定首页和新标签页的URL，其中名为"Soso Desktop"的流氓软件还强制修改默认搜索引擎。

与国内一般的添加带有首页推广号的锁首方式不同，病毒插件锁定的根据安装的流氓软件不同搜索页面也不相同如下表：

不同软件劫持的网址

我们通过对比搜索结果可以发现，除 Holainput锁定的搜索页面最终结果会跳转Google外，其余搜索页面和hxxps://www.yahoo.com的搜索结果一致，后台疑似使用Yahoo的搜索结果。但是无论使用的是Google还是Yahoo，病毒服务器都可以记录用户的搜索内容，对用户的搜索信息隐私安全造成威胁。

12下一页>

火绒安全软件 4.0.82.12 官方版

• 软件性质：国产软件
• 授权方式：免费版
• 软件语言：简体中文
• 软件大小：11557 KB
• 下载次数：2741 次
• 更新时间：2019/4/6 12:23:47
• 运行平台：WinAll...
• 软件描述：使用电脑的时候经常害怕自己的电脑被病毒入侵吗？今天极速小编给大家推荐一款好用的电... [立即下载]