|
加载后该驱动，次开机时会不才，当地hosts文献的拜望要挟svchost过程对，少少常用的域名和IP干系起来当地hosts的根基感化是把，一个网址时当用户输入，s文献寻找对应的IP会先从当地的host，解析的速率从而加快，hosts文献的话但倘若要挟了当地，误的IP所正在就或许返回错。 动加载后病毒驱，EVENT_HANDLER举行了处分对TDI_SEND和TDI_SET_，汇集数据的发包前者主若是认真，到汇集数据举行处分后者则是认真对罗致，行过滤处分之后对这两个地方进，是拜望A域名带来的成就就，却是B网站本质翻开的。
载回调中正在映像加，脑也许被我方胜利要挟为了确保被感导的电，载的是驱动次序时当检测到而今加，47.210:11054/bctlist.dat下载而来）还会比较署名是否为黑名单中的署名（黑名单从106.14.，拦截章程若相符，禁止加载则直接，驱动署名如下黑名单中的，同类型病毒盗用过这些署名大多曾被，恶意次序署名用来给本身：
TDI过滤之后一般正在成立了，络的全部约束了就曾经竣工对网，代办的宗旨而成立IE，驱动被杀软整理后推思是为了正在病毒，持网站拜望所用仍然也许长远劫。
加载后驱动，ndowsSSL下并装置会开释证书文献到c:Wi，A 2.cer是一个根证书开释出来的Sample C，发机构体式装置到体系中会以受相信的根证书颁，HTTPS网站举行要挟时这一步主若是为了后续正在对，会发出正告浏览器不，中心人攻击的方法而这也是常见的：
stxdlx64.dat）为例以64位体系下开释的驱动（m，脑的汇集以及窜改相干体系设备它关键的感化是通过要挟用户电，及要挟HTTP的寻常拜望从而抵达拦截杀软云查问以，方法如下详细竣工：
ENT_HANDLER中正在TDI_SET_EV，乞请反应数据后收到相符章程的，修正数据包病毒直接，L框架代码举行要挟嵌入相应的HTM，成就如下要挟后：
服客户端层层开释而来病毒驱动从恶意传奇私，版本的分歧遵循体系，同的驱动文献最终开释不，一个样本为例咱们以此中，私服客户端之后用户翻开传奇，.exe到TEMP目次下次序开释ntprint，责上报相干设备讯息到指定供职器ntprint.exe关键负，会下载到当地上报完结后，t又会下载4个驱动文献到当地而这个msvcdlx*.da，的大致用处如下这4个驱动文献：
着接，1054/mstxdlx64_up.dat病毒又会拜望120.77.36.184:1，本的驱动文献下载最新版，定名存在而且随机，不才次开机时自启动然后以供职的方法，更新完结：
在即，一类要挟Rootkit病毒家族的活泼迹象毒霸安详团队通过“捕风”体系再次监测到，私服客户端举行捆扎宣扬该病毒家族关键通过各式，、HOSTS重定向等技艺本领窜改用户体系汇集数据包关键通过TDI过滤、DNS要挟、HTTP(s)注入，引流至指定私服网站将寻常网页拜望要挟，、闭机回调重写等本领竣工反抗查杀并欺骗安详软件云查杀数据包障蔽，表此，常用的病毒驱动署名举行障蔽反抗该家族还针对私服运营逐鹿敌手，持担任用户的宗旨竣工长远平稳劫。
戏私服作歹运营行径长远弥漫以《传奇》为代表的各大游，产圈内堪称标新立异正在国内游戏地下黑，大私服运营者之间斗争加剧环绕游戏暴利的篡夺导致各，等技艺本领举行”攻城掠地”频仍欺骗汇集要挟、DDOS，病毒家族孳生宣扬的浸疴宿疾以是私服客户端平昔都是顽固。、表挂和安详厂商为了反抗逐鹿者，kit/Bootkit类顽固病毒私服客户端每每捆扎各式Root，数字署名逃避查杀防御而且盗用冒用寻常软件，机强壳维护反抗剖释采用VMP等虚拟。性强需求举动刚，视安详软件查杀拦截提示一般游戏用户会往往无，意驱动模块的加载反而主动放行恶，瓦解、感导盗号木马等紧要安详后果最终导致汇集浏览十分、体系蓝屏。
息由云端及时下发IE的代办设备信，210:11054/paclist.dat相干设备文献下载所正在为106.14.47.，据须要可根，文献实质及时变换，SE64加密后的讯息文献中的实质为BA，uto11037.pac解密后为50511/a：
mid这份要挟名单ringend.，.dll从下载而缘故netmsvc，:Windowsmedia下伪装成体系声响文献保生存C，域名和要跳转到IP本来质则是被要挟的，的网站截图如下部门会被要挟：
dapdlx*.dat该驱动会下载运转msa，链接已失效因为下载，详细动作暂不知晓，adswindll*.dll不表遵循PDB的名称fk_，于告白宗旨推思或许用。
SEND中正在TDI_，闭头字段“x-360-ver:”通过检测360与其云端的通信时的，云查问终了，查杀的失效从而变成云：
注册一个闭机回调函数该病毒驱动关键通过，c.dll到system32目次下正在该回调函数中加载开释netmsv，Svc这个供职项然后注册NetM，能寻常加载这个DLL以确保之后每次开机都。fltfs3.sys到了TEMP目次下而netmsvc.dll又开释驱动cb，echnologies公司供应的一个的文献过滤器驱动这个cbfltfs3.sys是Callback T：
要挟的流程上述的一切，环过程交互无需与3，的驱动竣工齐备由0环，设备讯息而相干的，程供职器下载也团结从远，文献讯息如下详细的设备：
后的pac剧本文献链接指向一个污染，私服网站的URL讯息去污染后实质蕴涵巨额，E的代办成立当次序应用I，表中的网站时而且拜望到列，5.234.27:10000（就会被团结要挟跳转至114.5：
/dnlist.dat下载要挟的DNS设备讯息通过拜望106.14.47.210:11054，成立电脑的DNS然后正在闭机回调中，S的修正要挟从而完结DN，的DNS是寻常的固然目前被修正，manbetx官方网站注册，讯息由云端下发但因为此设备，成立恶意的DNS设备讯息以是不倾轧后期病毒作家会：
目名称”fk_undead”遵循其模块pdb途径中的项，为“亡灵”家族咱们将其定名。期监控数据看从咱们的长，年出格活泼该家族近两，规厂商数字署名频仍变种宣扬从2017岁首滥觞盗用正，于2018年10把握本次变种版本最早显露，体现活泼趋向目前该家族，预估赶过50万全网累计感导量。
除表除此，册表回调函数的所正在病毒还会轮回列举注，到被删除若检测，册回调函数则会再次注，之类的ARK器械对回调函数举行删除操作这么做为了制止用户欺骗pchunter，被手动扫除使病毒难以。须要修正相干的注册表项时但倘若是病毒次序本身升级，停对相干注册表项的维护则会欺骗开闭象征来暂。
作API供应用者应用其封装了巨额的文献操，vc.dll中正在netms，ts文献的拦截章程通过增加对hos，etc目次下的hosts文献时即：当svchost过程拜望，ngend.mid则会重定向到ri：
表讯息会从下载相干的要挟列，HTTPS网站时之后拜望未被要挟，证书为会发明：
的HTTPS网站时而当你拜望被要挟，插入跳转代码则会正在网页中，好的私服页面跳转到成立，分章程如下被要挟的部：
表回调中正在注册，驱动供职类注册表项的操作若发明有对IE代办成立和，拒绝拜望则直接，册表项被修正制止相干注。绿化工程
