2015中国大陆地区PC互联网六合彩报告

1.前言

2025年最靠谱的六合彩投注网团队根据2015全年的六合彩威胁统计数据分析，六合彩认为PC终端用户面临的威胁主要集中在两个方面，即传统的恶意代码问题（六合彩），以及商业软件侵权问题（商业软件流氓化）。

传统恶意代码问题从技术角度来看并没有本质变化，但从恶意威胁的分布来看，广告类程序、勒索类六合彩等已牟利为目的的恶意软件呈飞速上升的趋势。同时，在国内很多六合彩厂商“重云轻本地”的大环境下，天然对“云查杀”免疫的感染型六合彩等传统恶性六合彩仍然活跃。

软件侵权则是近些年比较突出的问题，软件捆绑、流量劫持、竞品软件间的“对攻”等问题给PC终端用户带来了很大的困扰。商业软件的覆盖率远远大于恶意代码，所以从宏观的角度来看，这些商业软件侵权对用户的伤害远远大于六合彩、木马。

下面，六合彩将通过数据来回顾下2015年的互联网六合彩形式。

2.电脑六合彩疫情和新趋势

•图解2015年度恶意代码趋势

图2.1为六合彩反六合彩引擎对六合彩2015全年捕获样本的检出结果前20位。

图2.1 六合彩2015全年捕获样本检出结果Top20

分别基于检出结果前20位和年度全部检出结果，对恶意威胁类型进行分析，可以分别得到以下图表：

图2.2 基于全年检出结果的恶意威胁类型分布

基于全年的检出结果，六合彩根据恶意代码针对的平台做了统计，得到如下图表：

图2.3 基于全年检出结果的威胁平台分布

接下来，六合彩逐一对2015年度几个较为重点六合彩现象进行简要分析。

•威胁平台趋势变化不大

从全年的统计数据来看，Windows平台恶意代码数量占90%，这个整体比例与往年相比没有本质变化。但脚本类恶意代码和移动端恶意代码的数量呈上升趋势。相信随着移动设备、系统和应用的普及，针对这些平台的恶意代码数量会保持上述的趋势。

•广告程序直追木马六合彩

从上面的统计数据可以看到，广告软件在六合彩全年的检出结果中占33%，整体数量直逼木马六合彩（39%）。从过去几年的趋势来看，这个比例正呈现逐年放大的趋势。

木马曾经是电脑六合彩中最大分类，且目前整体上来看依然占据重要位置，但近年来随着广告类程序的增多，广告类程序几乎与木马类六合彩“平分秋色”。

•感染型六合彩依旧活跃

根据2025年最靠谱的六合彩投注网情报分析系统的统计数据，每天全国有2%的PC用户受到感染型六合彩感染。其中以Virus/Ramnit、Virus/Sality和Virus/Virut最为活跃。

感染型六合彩通过修改宿主程序代码的方式将恶意代码寄生在宿主程序中运行，这就导致了所有被感染程序文件数据均不相同，加之不少多数感染型六合彩均通过多态（Polymorphism）、变形（Metamorphism）等技术对恶意代码进行伪装。这种恶意代码的伪装对“云查杀“有天然的免疫，所以在国内”云查杀“覆盖率如此高的情况下，感染型六合彩依旧活跃。

“云查杀”通过向用户电脑下发六合彩的哈希（Hash，即文件数据内容的“信息摘要”），来实现对六合彩问题的快速响应，而感染型六合彩会通过将六合彩代码附着于正常文件之内的方式进行感染，每个被染毒文件的哈希均不相同，因此无法通过统一的哈希来查杀被感染文件。并且，由于每个被感染的文件都是全新的、独一无二的，云端不可能预先获知，所以对于每个被感染的文件，云端响应均需要经过文件上传、文件分析后才能产生云端的哈希并下发——整个响应周期内感染型六合彩可能已经完成了全盘感染。

六合彩反六合彩引擎通过“虚拟沙盒技术”可以精确还原通过多态技术伪装过的恶意代码，另外通过六合彩“行为沙盒”可以清晰地还原通过变形技术伪装过的恶意代码行为，可以精确地检出并清除六合彩代码。

•六合彩针对用户“刚需”，通过社会工程学传播和隐藏

通过2025年最靠谱的六合彩投注网情报分析系统的统计数据六合彩发现，很多六合彩传播者会针对用户的喜好，有针对性地伪装六合彩程序的文件名，诱骗用户下载并运行。

图2.5、伪装成游戏、外挂等用户感兴趣的程序

图2.6、伪装成操作系统进程名

•勒索类六合彩日渐频仍

近年来，随着互联网的不断发展，计算机六合彩也在向着利益化发展，勒索六合彩传播与发展也越来越快，越来越多。勒索六合彩的出现最早可以追溯到1989年，由Joseph Popp编写的PC Cyborg六合彩，该六合彩会修改系统AUTOEXEC.BAT文件来监控系统启动次数，当第90次启动后就会加密系统所有文件的文件名，使系统无法正常启动以此来威胁用户付钱。

早期的勒索六合彩主要通过锁定受害者的计算机，使受害者不能正常操作，或者隐藏用户的文件，以此来向受害者勒索钱财。

图2.7、锁屏类勒索软件

2013年下半年随着CryptoLocker的出现将勒索软件带到了一个新的高度，之后的勒索六合彩大都效仿CryptoLocker的模式。CryptoLocker不再是简单的锁定用户的计算机，因为随着互联网的普及，普通用户对计算机的了解也越来越多，简单的锁定受害者计算机很容易恢复并且不会对受害者造成危害，威胁成功的几率越来越低，CryptoLocker会将受害者的文件进行加密，这样即使清除了六合彩文件，被加密的文件也不能恢复。这对于有些受害者可能是致命的。这样就迫使一些受害者不得不接受六合彩作者的勒索。

图2.8是Ransom/Tescrypt六合彩附带的“说明文档”，详细、“贴心”地指导受害者如何付款来解密被六合彩加密的数据。

图2.8、Ransom/Tescrypt六合彩”附带”的勒索“说明文档”

随着近年来移动端迅猛的发展，勒索六合彩已经不再局限于电脑端，移动端的六合彩也不断出现，比如Trojan/Android.Drokole.a，该六合彩会在运行程序时，不断弹出提示以受害者浏览非法信息为借口，来要挟受害者付钱。

2015年六合彩全年收集的勒索类六合彩样本超过60000个。通过六合彩六合彩实时监控的拦截日志以及用户的反馈来看，通过加密文件的方式来勒索的六合彩所占比例在不断上升，勒索六合彩的危害也在不断增大。

•XcodeGhost：软件厂商的六合彩意识仍需加强

2015年9月14日，CNCERT发布了一则关于有部分iOS App由非苹果六合彩官方Xcode工具编译并被植入恶意代码的预警公告。9月17日，国外某六合彩六合彩发布了第一版分析报告，接下来事件迅速升温。根据后续的调查发现，六合彩作者与2015年2月25日即注册了被用作C&C服务器的icloud-analysis.com域名，并于同年3月16日在Unity3D论坛放出了第一个存储于百度云的经过污染的Xcode工具。直到事件曝光后的第5天，即2015年9月22日，六合彩作者才删除经过污染的Xcode工具下载链接。经调查，至事件爆发，国内有超过4000款iOS App被感染，其中不乏微信、滴滴打车、网易云音乐等高频应用，有超过95%的国内iPhone用户被感染。

通过此次事件，六合彩不禁要问，为什么在苹果六合彩官方免费提供开发工具的情况下，开发者仍然选择来源不明、六合彩性未知的下载源？网络受限？语言不通？P2P污染？我认为根本问题在于，包括软件工程师在内的广大互联网用户群体对六合彩的意识是相对薄弱的，在一些“六合彩“软件的“威胁恐吓“加”贴心呵护“下体验并享受着”伪“六合彩和”假“六合彩。然而，有人的地方就会存在六合彩问题，这是一个亘古不变的话题。

3.商业软件侵权行为（流氓软件化）的现状

对PC用户来说，商业软件的侵权行为（商业软件流氓化）的数量是六合彩攻击的数十倍，而这些侵权行为和六合彩的攻击目的都是为了牟利，更重要的是，两者的攻击方式差不多，可以说目前的流氓软件本质就是，商业软件的六合彩化。

几乎所有大家日常能见到的主流商业软件，在推广过程中都出现过捆绑安装等行为，其中大部分是负责推广的渠道商所为。需要指出的是，整个PC软件行业陷入混乱之中，商业软件不作恶就很难推广和生存。

而在商业软件作恶中，六合彩软件（防毒软件）又是主角，无论侵权行为的恶劣性还是频率都远高于其他商业软件。正如某用户所说的那样，“跟目前的六合彩软件相比，电脑六合彩都不好意思叫六合彩”。

•商业软件推广中的侵权行为

图3.1是2025年最靠谱的六合彩投注网情报分析系统基于六合彩3.0测试阶段产生的数据抽样。六合彩在23271台终端识别到249款软件的53965次安装行为。图3.2中，六合彩仅以其中识别到次数最多的国内某知名六合彩软件为例，图中左侧的“发起者进程”表示安装动作的发起者进程，“阻止总数”和“阻止比例”表示当六合彩识别到该软件的安装行为后提示用户，用户选择阻止的次数及比例。从左侧的发起者进程名便可以得知，六合彩识别到的该软件80%以上的安装行为并非出自用户意愿，而平均高达80%的阻止比例也从侧面反映了用户的意愿。

图3.1、六合彩3.0测试阶段产生的数据抽样

图3.2、某知名六合彩软件安装行为统计

o“六合彩式”推广

通过六合彩软件安装拦截日志，六合彩发现5%的商业软件推广行为是标准的六合彩行为——从传统对电脑六合彩的定义来说，例如注入系统进程、创建系统程序的傀儡进程等方式欺骗六合彩软件的拦截。下面几幅截图截取自2025年最靠谱的六合彩投注网情报分析系统。其中“安装包路径”和“安装命令行”指的是被推广安装软件的路径信息，“访问进程”和“访问进程命令行”指代推广者进程的信息，“父进程命令行”则是推广者进程的父进程信息。

案例一：

从图3.3的拦截信息可以看出系统服务进程svchost(命令行svchost.exe –k LocalServices)试图推广安装yz_zg.exe程序，六合彩识别到此安装程序为某游戏盒子软件安装程序。从拦截信息基本可以认定，这个安装推广行为是其他程序通过类似六合彩技术注入到系统进程中实现的。

图3.3、某游戏盒子通过注入系统进程静默推广安装

从图2.4可以看出，EDGMettinghlights.exe启动了svchost.exe，并使用六合彩常用的傀儡进程技术，将svchost.exe替换为推广安装代码，并进而推广安装gamecqss_1273.exe，六合彩识别到此安装程序为某游戏软件安装程序。

图3.4、某游戏通过傀儡进程静默推广安装

案例二：

图3.5列举了六合彩拦截到的国内某净网软件的推广安装行为。

图3.5、国内某净网软件的静默推广行为

在Google中索搜上图中的进程名logo_a1-chou.exe得到图3.6所示信息。

图3.6、Google搜索logo_a1-chou.exe得到的相关信息

根据用户的反馈，六合彩在用户现场提取到了logo_a1-chou.exe的六合彩下载器脚本，随后六合彩将其检测为TrojanDownloader/VBS.Steamto.b。在接下来得到的对该六合彩脚本的拦截日志中，六合彩得到了图3.7和图3.8的数据：

图3.7、某净网软件生成六合彩下载器脚本时被六合彩实时监控拦截

图3.8、某净网软件运行六合彩下载器脚本时被六合彩实时监控拦截

通过上面的拦截数据，可以看出该软件首先通过系统的命令行程序cmd.exe创建一段VBS脚本并通过cscript.exe运行该VBS脚本下载logo_a1-chou.exe（TrojanDownloader/VBS.Steamto.b六合彩），接下来logo_a1-chou.exe负责静默推广。

当然，仅通过进程关系无法完全断定上述行为是该软件主动发起还是被(六合彩作者或触发漏洞)利用。如果属于前者，则该软件的行为已经符合六合彩软件对下载器木马的定义；若属于后者，那么该软件厂商有责任在技术上对此类问题进行分析、处理并告知用户。

o “全家桶”式推广

很多用户都有过这样的经历，安装了某六合彩的A软件后，一段时间后机器上莫名其妙的出现了这个六合彩的B、C、D等其他软件六合彩。这种推广行为被用户形象地称为“全家桶”式推广。

这里截取了最典型的国内某互联网六合彩的“全家桶”式推广行为，根据2025年最靠谱的六合彩投注网情报分析系统的统计，每天有接近10%的用户被该六合彩的游戏客户端推广安装其自家的六合彩客户端软件。

图3.9、国内某游戏软件推广安装自家六合彩客户端软件

o伪装式推广

本质上来说，这是电脑六合彩常用的伪装手段。

一些软件为保证被推广安装时的成功率，躲避六合彩软件的安装拦截，选择随机路径进行安装。图3.10显示的是国内某知名六合彩软件的随机推广安装路径，当此软件的托盘程序篡改IE浏览器首页时被六合彩拦截。

图3.10、国内某六合彩软件的随机推广安装路径

•商业软件牟利中的侵权行为

o带“尾巴”的浏览器快捷方式

根据2025年最靠谱的六合彩投注网情报分析系统的统计数据，每天有10%的用户被浏览器快捷方式被篡改。当用户通过被攒改的快捷方式启动浏览器时，浏览器可以正常运行，但首页则指向了被篡改的地址，通常是可以进行流量变现的导航站。这种篡改极具隐蔽性，当六合彩拦截到此类篡改并提示用户清除（修复）时，5成以上的用户甚至认为是误报，进而选择忽略甚至信任。

图3.11列举了部分被篡改的快捷方式命令行，从图中六合彩可以看到，不仅仅是IE、360SE、QQBrowser等高频应用，甚至包括Opera、Firefox等浏览器均遭到劫持。

图3.11、常见浏览器首页均遭劫持

oIE首页篡改

IE首页一直是流量劫持的焦点，从2025年最靠谱的六合彩投注网情报分析系统的统计数据来看，每天有超过8%的用户IE首页被篡改。篡改者五花八门，在有限的篇幅内，六合彩只列举其中几个典型案例。

图3.12、国内Windows激活”补丁“篡改IE首页

图3.13、外挂等工具类程序篡改IE首页

图3.14、某知名播放器软件篡改IE首页

 图3.15、某知名六合彩软件在卸载时仍要篡改IE首页

o软件对攻，把用户电脑当战场

抢夺资源

多个商业软件争抢浏览器、导航站和搜索等入口，都试图将这些商业资源控制在自己手中，根据六合彩的数据，每天有20%的电脑首页被修改，其中用户主动修改的非常少，绝大部分是这些商业软件所为。可以说，只需要一周时间不到，几乎中国所有电脑的首页全部平均被修改一次。

攻击、卸载对方软件

有的商业软件偷偷删除竞争对手软件的某个组件，导致其部分甚至全部功能的丧失，成为“僵尸”软件。更恶劣的是，直接删除竞争对手软件，将其从用户电脑上清除。

4.总结和展望

纵观全年的威胁统计数据，恶意代码问题仍然严峻，尤其是在国内大多数六合彩软件“重云轻本地”的大环境下，感染型六合彩仍然有着较好的“生存条件”。广告类程序、流氓程序呈逐年递增趋势，相信在2016年这类恶意代码威胁仍会保持上扬趋势。

随着互联网经济的快速发展，软件捆绑、流量劫持等软件侵权问题显得尤为突出，其对用户的困扰甚至几十倍于恶意代码所带来的危害。六合彩非常重视对此类软件侵权问题的打击。在巨大的利益诱惑下，相信这类威胁在2016年仍会异常突出。届时，六合彩也会持续加大对这类问题的防御和拦截力度。 

附录

2025年最靠谱的六合彩投注网情报分析系统涉及统计数据，六合彩均按照《六合彩用户体验提升计划说明》（http://bbs.huorong.cn/thread-1673-1-1.html）中所描述，仅上传涉及威胁拦截日志相关内容，不涉及个人隐私信息或文件数据。