“简易下水道”：偷跑流量恶意软件分析

　　现今由于易语言的出现，中文编程的门槛越来越低，虽然很多人对此不屑一顾，但不得不说，这门语言的出现，大大降低了黑产行业的门槛。易语言编写简单，入门快，再加上各种易模块，使得简单几行代码就能实现一些强大的功能。据不完全统计，90%以上的游戏辅助和各类抢购软件都出自易语言开发，大量恶意程序也出自易语言之手。早在2011年亚洲反病毒大会上，微软工程师JIM就针对易语言程序的逆向进行了演讲，使得易语言程序的分析变得简单。笔者搜集了部分相关资料，通过对易语言程序结构的学习，分析了一款刷流量的恶意软件。

　　0×02运行效果

　　该程序伪装为IE图标，运行后窗口被隐藏起来，通过PCHunter把程序窗口隐藏属性去掉，效果如下图。

　　0×03基本流程

　　该程序的窗口在启动时被隐藏起来，通过定时器访问C&C地址，跳转到各类推广连接中。部分推广连接中包含有添加QQ群、下载文件和一些弹出窗口，该程序通过枚举窗口检查后，通过模拟点击关闭这些窗口。

　　0×04详细分析

　　该程序是易语言程序，通过分析易语言程序的结构得知，包含一个窗口、4个定时器、3个浏览器控件、一个选择框和一个编辑框。易语言窗口程序只需要分析它控件回调即可。

　　1.窗口初始化功能

　　该程序获取系统中的所有进程。

　　检查进程列表中是否有包含“qq”字符串的应用程序。

　　结束掉所有QQ进程。

　　InlineHook “waveOutWrite”、”midiStreamOut”、”DirectSoundCreate”、”InternetReadFile”这4个函数，让程序保持静音。

　　开启4个定时器，第一个定时器为5秒执行一次，后面3个定时器是随机时间

　　设置随机数种子，并取随机数

　　设置3个定时器随机时间间隔。

　　2.定时器1

　　使用易语言 超文本浏览框.跳转对3个浏览器控件访问下面的URL，这些URL会随机访问各类推广网站，比如赌博、黄色、游戏推广、营销推广连接等。

　　”https://www.sunshoo.com/10001.html“

　　”https://www.0571jihao.com/reyu.html“

　　”https://www.bangyuanhome.com“

　　”https://www.sunshoo.com/10002.html“

　　”https://www.0571jihao.com/eqsythjkl.html“

　　3.定时器2

　　查找所有的QQ加群窗口。

　　枚举QQ加群窗口的所有子窗口。

　　检查子窗口的标题是否是如果“离开”或者“确定”

　　激活子窗口，通过发送按键消息，模拟点击空格键，关闭加QQ群的窗口。

　　同样的方法还对其他类似的弹出窗口进行模拟点击取消。

　　4.定时器3

　　清理IE缓存

　　5.定时器4

　　关闭所有QQ进程。

　　0×04总结

　　该程序结构清晰，在定时器访问C&C地址，跳转到各类推广链接中。部分推广连接中包含有添加QQ群、下载文件和一些弹出窗口，该程序通过枚举窗口检查后，通过模拟点击关闭这些窗口，使得用户无法察觉。但由于部分弹出窗口没有被及时关闭，使得自身浏览器控件被占用，系统便打开默认浏览器跳转到目标链接。最终变成每隔一段时间自动打开浏览器并跳转到广告页中。

　　*本文作者：吃荤的驴子，转载请注明来自FreeBuf.