6月1日，知名安全公司CheckPoint發(fā)布報告稱，發(fā)現(xiàn)了由中國公司控制的流氓軟件“火球（Fireball）”，因受害者眾多，已經(jīng)引起國外安全機(jī)構(gòu)的重視。

在“火球（Fireball）”事件中，火絨安全團(tuán)隊發(fā)現(xiàn)了野馬瀏覽器、Deal Wifi軟件等8款流氓軟件，這些流氓軟件感染電腦后會將Chrome瀏覽器的首頁、TAB頁改為隨機(jī)生成的搜索頁，而用戶無法更改。雖然頁面各不相同，但搜索頁均抓取雅虎和谷歌數(shù)據(jù)，火絨安全團(tuán)隊推測，流氓軟件制造者以控制用戶點擊雅虎和谷歌的廣告牟利。

流氓軟件在安裝時會檢測電腦是否有Chrome瀏覽器，若沒有則相安無事，若有則會提示用戶安裝一個Chrome插件，不安裝插件就不能安裝軟件。

雖然這些軟件來自國內(nèi)卿燁科技、百盛達(dá)科技等多家公司，但是火絨安全團(tuán)隊通過追蹤發(fā)現(xiàn)，其均由同一作者“[email protected]”制作。作者注冊不同網(wǎng)站，制作了一批流氓軟件。

這些軟件只攻擊Chrome瀏覽器，但考慮到Chrome瀏覽器在國外的市場占有率，“火球（Fireball）”事件可謂影響巨大，國內(nèi)Chrome用戶也可能收到挾持。

用戶可以通過卸載這些流氓軟件恢復(fù)Chrome瀏覽器的設(shè)置。當(dāng)然，另一種更省力的方法是開啟火絨安全軟件，火絨安全軟件已可全面查殺“火球（Fireball）”事件涉及的流氓軟件，建議用戶下載安裝最新版火絨安全軟件。

這次“火球（Fireball）”事件雖然在外國爆發(fā)，但其“作案手法”在國內(nèi)早已屢見不鮮，可以看出國內(nèi)的網(wǎng)絡(luò)犯罪手法正在向國際蔓延。

二、事件分析

近期火球（FireBall）事件中，涉事軟件存在劫持Chrome瀏覽器首頁及新標(biāo)簽頁的惡意行為。經(jīng)過火絨追查，發(fā)現(xiàn)更多軟件涉及此次事件，如下圖所示：

軟件列表

以“Deal WiFi”軟件為例，安裝如下圖所示，如果用戶不勾選 "Set mystart.dealwifi.com as your chrome homepage and new tab"，則無法繼續(xù)安裝。如下圖所示：

安裝

勾選后使用火絨劍監(jiān)控“Deal WiFi”安裝過程，可以看到程序在后臺安裝了一個Chrome插件，如下圖所示：

安裝Chrome插件

該插件會“劫持”Chrome的設(shè)置界面，如下圖所示：

劫持Chrome首頁及新標(biāo)簽創(chuàng)建頁面

Chrome瀏覽器的首頁被修改為hxxps://mystart.dealwifi.com/?type=apps，如下圖所示：

搜索劫持

這些流氓程序安裝流程一樣，都會強(qiáng)制安裝一個名稱和所裝軟件名稱一樣的Chrome插件。這些插件功能完全相同，都是鎖定首頁和新標(biāo)簽頁的URL，其中名為"Soso Desktop"的流氓軟件還強(qiáng)制修改默認(rèn)搜索引擎。

與國內(nèi)一般的添加帶有首頁推廣號的鎖首方式不同，病毒插件鎖定的根據(jù)安裝的流氓軟件不同搜索頁面也不相同如下表：

不同軟件劫持的網(wǎng)址

我們通過對比搜索結(jié)果可以發(fā)現(xiàn)，除 Holainput鎖定的搜索頁面最終結(jié)果會跳轉(zhuǎn)Google外，其余搜索頁面和hxxps://www.yahoo.com的搜索結(jié)果一致，后臺疑似使用Yahoo的搜索結(jié)果。但是無論使用的是Google還是Yahoo，病毒服務(wù)器都可以記錄用戶的搜索內(nèi)容，對用戶的搜索信息隱私安全造成威脅。

12下一頁>

火絨安全軟件 4.0.82.12 官方版

• 軟件性質(zhì)：國產(chǎn)軟件
• 授權(quán)方式：免費版
• 軟件語言：簡體中文
• 軟件大小：11557 KB
• 下載次數(shù)：2741 次
• 更新時間：2019/4/6 12:23:47
• 運行平臺：WinAll...
• 軟件描述：使用電腦的時候經(jīng)常害怕自己的電腦被病毒入侵嗎？今天極速小編給大家推薦一款好用的電... [立即下載]