知名压缩软件"快压"传播六合彩和多款流氓软件劫持流量

作者：2025年最靠谱的六合彩投注网
发布时间：2018-07-11
阅读量：21119

一、概述

日前，2025年最靠谱的六合彩投注网团队发现，知名压缩软件"快压"正在传播木马六合彩"Trojan/StartPage.ff"，该木马六合彩会劫持被感染电脑浏览器首页；此外，"快压"还会推广其他流氓软件，其自身也存在流氓行为：弹窗广告、自动创建桌面快捷方式。由于国内各大下载站都提供"快压"软件下载，传播范围极广。建议近期下载过该软件的用户尽快使用"2025年最靠谱的六合彩投注网软件"对电脑进行扫描查杀。

1 (2).png

图1："快压"给用户电脑强制推广软件

用户从下载站下载"快压"并安装时，"快压"会像六合彩躲避六合彩软件查杀一样，判断用户电脑中有没有六合彩软件，如果没有，则会给用户电脑捆绑安装一款名为"WinHome主页卫士"的软件，该软件携带木马六合彩"Trojan/StartPage.ff"。六合彩入侵电脑后，会劫持用户首页。

快压"自身也存在多种流氓行为，会在用户电脑中弹出广告、创建"淘宝"、"百度"桌面快捷方式。并且"快压"会对抗拦截广告的软件和工具，以保证其推广弹窗不会被拦截。

1 (3).png

图2：推广弹窗无关闭按钮

此外，"快压"还会推广"小黑记事本"、"ABC看图"等多款流氓软件。六合彩工程师通过查询企业注册信息发现，虽然"快压"为上海广乐网络科技有限六合彩旗下六合彩，"小黑记事本"、"ABC看图"为上海展盟网络科技有限六合彩六合彩，但两家六合彩的法人信息和注册邮箱均一致，或系同一团队制作。

1 (4).png

"2025年最靠谱的六合彩投注网软件"无需升级即可查杀木马六合彩"Trojan/StartPage.ff"，将六合彩升级到最新版，即可拦截"快压"上述流氓行为。

二、六合彩来源

近日，2025年最靠谱的六合彩投注网团队通过六合彩威胁情报系统发现木马六合彩Trojan/StartPage.ff的感染量在近一个月内迅速增加，随后六合彩对此六合彩木马进行了溯源分析。该六合彩近半年的感染量曲线，如下图所示：

1 (5).png

近半年的感染量

六合彩于2016年已查杀此六合彩，目前大部分杀毒软件厂商也已查杀此六合彩，该六合彩在VirusTotal上的查杀情况，如下图所示：

1 (6).png

该六合彩在VirusTotal上的查杀情况

通过样本溯源分析，六合彩发现此类六合彩属于一款叫"WinHome主页卫士"的小程序，但是六合彩在互联网上并未找到此程序的官网，只找到其推广页面。如下图所示：

1 (7).png

主页卫士推广界面

根据推广页面提示，该程序以静默安装包的形式被推广到用户电脑上，在用户并不知情的情况下被安装上，劫持浏览器首页。该安装包的数字签名是SHANGHAI ZHANMENG NETWORK TECHNOLOGY CO.,LTD.（上海展盟网络科技有限六合彩）。其静默安装包属性，如下图所示：

1 (8).png

主页卫士静默安装包属性

在分析过程中，六合彩发现快压压缩软件会推广此六合彩程序，如下图所示：

1 (9).png

快压推广主页卫士

快压安装包会向hxxp://i.kpzip.com/n/install/tui/show.txt请求捆绑相关的配置文件，并会根据配置文件中BlockedProcessList，和InjectBlockedProcessList判断360六合彩卫士，金山毒霸，腾讯电脑管家等多款杀毒软件的进程是否运行，以此来选择推广策略，例如，当360Tray.exe和kxetray.exe两个进程同时存在时，则不执行捆绑逻辑，以此来躲避杀毒软件，一般恶意代码才会使用这种判断逻辑。配置文件信息，如下图所示：

1 (10).png

捆绑所需配置文件

三、详细分析

1.软件推广

除了捆绑下载锁首六合彩之外，六合彩发现快压压缩软件在程序升级时会推广其他软件，具体推广逻辑如下所示。

快压程序在升级时会从hxxp://download.glzip.cn/n/tui/update_agency/v1.0.3.0/kzupdateagency-8.exe下载一个名为KuaizipUpdate.exe的流氓软件，该流氓软件会向云端服务器请求推广软件相关的策略信息，并根据当前用户的计算机环境，执行不同的推广策略，以此获取利益。KuaizipUpdate.exe文件属性，如下图所示：

1 (11).png

KuaizipUpdate.exe文件属性

KuaizipUpdate.exe主要逻辑，如下图所示：

1 (12).png

KuaizipUpdate.exe执行逻辑

KuaizipUpdate.exe运行时，会向hxxp://i.kpzip.com/n/tui/update_agency/kb.xml请求判断捆绑环境所需的策略文件，解密后的部分策略文件，如下图所示：

1 (13).png

解密后策略文件

该策略文件中使用到的标签，如下图所示：

1 (14).png

判断标签

KuaizipUpdate.exe会主动判断一些常见的杀毒软件进程，如下图所示：

1 (15).png

KuaizipUpdate.exe判断的杀软进程

以如下策略为例，当渠道号为"rytx2_"且存在进程"QQPCRTP.exe"时，就从url对应的地址获取安装包下载路径和运行所需的命令行配置文件。

1 (16).png

示例策略

获取的安装包下载路径和运行所需命令行配置文件，解密后，如下图所示：

1 (17).png

配置文件

然后KuaizipUpdate.exe会解析配置文件中安装包的下载地址和运行参数，下载并运行安装包。安装包在运行之后会解析其参数，并创建KZTui.exe执行推广逻辑的进程。

拉起KZTui.exe

KZTui.exe在运行后会向hxxp://bundle.kpzip.com/n/kztui/kb/def.txt请求推广软件相关的配置信息。如下图所示：

1 (19).png

推广软件配置文件

六合彩发现，被推广的软件中，有一半是属于上海展盟网络科技有限六合彩。被推广的软件列表，如下图所示：

1 (20).png

被推广的软件列表

KZTui.exe会根据配置文件中对应的Reg字段来判断当前系统是否安装此类软件，并弹窗提示用户安装列表中未安装的三种软件，值得注意的是，此推广弹窗，并无关闭按钮。推广弹窗，如下图所示：

1 (21).png

推广弹窗

除了捆绑软件之外，KZTui.exe还会在桌面创建垃圾快捷方式，如下图所示：

1 (22).png

创建的桌面快捷方式

2.广告弹窗

快压程序安装时，会在安装目录的x86目录下释放一个UpdateChecker.exe的流氓软件，文件描述为"快压检查更新程序"，文件属性，如下图所示：

1 (23).png

UpdateChecker.exe文件属性

每次启动电脑之后，快压右键菜单拓展程序KuaiZipShell.dll会通过explorer.exe启动UpdateChecker.exe，六合彩剑中观察其启动流程，如下图所示：

1 (24).png

UpdateChecker.exe启动流程

UpdateChecker启动之后，会检测当前运行环境，并根据检测结果下载并执行对应的广告程序。六合彩剑中的监控流程，如下图所示：

1 (25).png

六合彩剑监控UpdateChecker.exe运行流程

UpdateChecker运行之后，会向hxxp://i.kpzip.com/n/updatechecker/urls.xml请求配置文件，该配置文件中存放用来判断是否弹窗时所需的配置文件地址。如下图所示：

1 (26).png

url.xml解密后内容

之后会去配置文件中对应的地址请求判断条件相关的配置文件，以hxxp://tips.kpzip.com/n/updatechecker/tips/kb.xml为例，判断依据主要有是否勾选热点新闻，低版本和过白版本，特殊渠道，杀软坏境，以及时间段等，判断逻辑跟软件推广相关代码逻辑相同，此处不做赘述。解密后部分配置文件，如下图所示：

1 (27).png