Fireball惡意程序已襲擊全球將近2.5億台PC，背後推手是一家中國電子營銷機構

Check Point研究人員最近發現了一款傳播範圍極廣的惡意軟體，感染的計算機數量高達2.5億，包括Windows和macOS。這款惡意軟體被命名為Fireball，它能夠完全控制受害者的web瀏覽器，把他們變成「殭屍」，並讓攻擊者對受害者的流量進行監控，竊取數據。

研究人員發現它背後的公司叫卿燁科技(Rafotech)。這是一家提供電子營銷和手機遊戲的中國公司，客戶多達3億。這家公司目前用Fireball在用戶瀏覽器中注入廣告獲利，但實際上Fireball的危害不僅限於此，它完全有能力被利用進行大規模的破壞。

Fireball從何而來

感染流程

Fireball的傳播使用了一種中國網民喜聞樂見的方式——捆綁。用戶從網上下載安裝免費軟體後，捆綁的惡意軟體就會安裝瀏覽器插件控制受害者的瀏覽器配置，替換瀏覽器默認搜索引擎和主頁，將之替換成一個假的搜索引擎：trotux.com。

捆綁的軟體中有一些是卿燁科技的其他產品，比如Deal Wifi 和野馬瀏覽器或者「Soso Desktop」、「FVP圖片查看器」。

「值得注意的是當用戶安裝免費軟體的時候，捆綁軟體不一定會同時安裝。」研究人員稱，「另外，很有可能卿燁科技使用了其他的傳播手段，比如以假冒的名稱來傳播免費軟體、使用垃圾郵件甚至是從黑客那裡購買安裝量。」

替換的假冒搜索引擎只是將用戶的搜索請求重定向到雅虎或者google，但植入了追蹤的像素，用來收集受害者的信息。

Fireball能夠做的事情遠遠超出正常範圍，它能夠監控受害者的web流量，在目標系統執行惡意代碼、安裝插件，甚至直接安裝惡意軟體，這樣就能夠在目標系統和網路中留下了巨大的後門。

「從技術的角度來看，Fireball非常複雜精細，有一些繞過殺毒軟體和防檢測的手段，它使用了多層架構和C&C伺服器，這不輸任何真正的惡意軟體。」研究人員稱。

影響范

圍

「根據我們估計的感染率，1/5的企業會受到大型數據泄露攻擊。」

研究人員稱，全球範圍內有2.5億台計算機受到影響，其中20%處在企業網路中。受感染的機器遍布各個國家：

印度：2530萬 (10.1%)

巴西：2410萬 (9.6%)

墨西哥：1610萬 (6.4%)

印尼：1310萬 (5.2%)

美國：550萬 (2.2%)

全球感染率，顏色越深代表感染率越高

很顯然，卿燁科技不會承認使用了瀏覽器劫持和假冒的搜索引擎，在其官網，卿燁科技稱它是一家成功的數字媒體公司，在全球擁有3億用戶，諷刺的是這與Check Point所預估的2.5億感染量不謀而合。

公司背景

基於Check Point的報告，小編也對這家名為「卿燁科技」的公司進行了微小的調查。

工商資料顯示，卿燁科技成立於2015年2月，是「數字營銷行業的領先跨國公司」。

根據卿燁科技官網的資料，公司的業務主要針對兩類客戶：出版商和廣告商。對出版商提供廣告，使媒體「在不新增廣告位的前提下大幅增加收益」；針對廣告商則是「以雲平台和大數據技術做支撐，通過強大的數據挖掘技術快速識別用戶，進行精準廣告投放，支持多種形式的精準廣告定向方式」。

另一塊比較重要的板塊是遊戲，根據卿燁科技官網的介紹，公司旗下擁有四款遊戲，並且在海外的應用市場頗受歡迎。

卿燁科技注重遊戲的海外分發，往往與當地的公司尋求合作。去年10月，卿燁科技還與Taptica合作，後者幫助在英國推廣Piggy Boom遊戲。

檢測防禦

你可以嘗試回答以下的這些問題，如果結果都是「不」，那很有可能中招了（即便不是Fireball，也應該是其他流氓軟體）

打開瀏覽器檢查

你有沒有改過主頁？

你能否更改主頁？

你對默認的搜索引擎熟悉嗎？可以更改嗎？

瀏覽器插件你都認識嗎？

要刪除這款惡意軟體，你只需要卸載相應程序，然後重置瀏覽器到初始狀態。

要進行防範也很簡單——安裝軟體時要格外小心，不要裝上捆綁軟體。

IoC

C&C地址

attirerpage[.]com

s2s[.]rafotech[.]com

trotux[.]com

startpageing123[.]com

funcionapage[.]com

universalsearches[.]com

thewebanswers[.]com

nicesearches[.]com

youndoo[.]com

giqepofa[.]com

mustang-browser[.]com

forestbrowser[.]com

luckysearch123[.]com

ooxxsearch[.]com

search2000s[.]com

walasearch[.]com

hohosearch[.]com

yessearches[.]com

d3l4qa0kmel7is[.]cloudfront[.]net

d5ou3dytze6uf[.]cloudfront[.]net

d1vh0xkmncek4z[.]cloudfront[.]net

d26r15y2ken1t9[.]cloudfront[.]net

d11eq81k50lwgi[.]cloudfront[.]net

ddyv8sl7ewq1w[.]cloudfront[.]net

d3i1asoswufp5k[.]cloudfront[.]net

dc44qjwal3p07[.]cloudfront[.]net

dv2m1uumnsgtu[.]cloudfront[.]net

d1mxvenloqrqmu[.]cloudfront[.]net

dfrs12kz9qye2[.]cloudfront[.]net

dgkytklfjrqkb[.]cloudfront[.]net

dgkytklfjrqkb[.]cloudfront[.]net/main/trmz[.]exe

文件MD5

FAB40A7BDE5250A6BC8644F4D6B9C28F

69FFDF99149D19BE7DC1C52F33AAA651

B56D1D35D46630335E03AF9ADD84B488

2579DF066D38A15BE8142954A2633E7F

8C61A6937963507DC87D8BF00385C0BC

7ADB7F56E81456F3B421C01AB19B1900

84DCB96BDD84389D4449F13EAC750986

5BCE955CF12AF3417F055DADC0212920

2B307E28CE531157611825EB0854C15F

7B2868FAA915A7FC6E2D7CC5A965B1E7

66E4D7C44D23ABF72069E745E6B617ED

*參考來源：THN，本文作者：Sphinx，轉載請註明來自FreeBuf（FreeBuf.COM）

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！