軟件升級包被替換，假升級真中毒引重患
結束了一天忙碌的工作，回到家休息休息，打兩盤游戲放松一下總歸也算是一種勞逸結合。前日小編在打開游戲客戶端的時候，出現了下面的畫面。
作為一款軟件，總歸多升級功能更完善，更能滿足用戶需求對吧。可是在升級結束之后，運行游戲卻出現了這樣的彈窗。一下子引起了小編的注意。
講道理，獲取了最高權限的系統(tǒng)和賬戶，不可能出現這種不兼容的情況，而且作為一款較為流行的游戲，不應該出現16位應用程序不兼容的情況。小編瞬間閃過了三個念頭。
中毒了!
文件被替換了!
重啟試試?
然而重啟并沒有什么卵用，小編這才確認了可能是中了所謂的軟件升級包偽造病毒。
Petya勒索病毒變種在烏克蘭爆發(fā)，并蔓延到歐洲多個國家的大型企業(yè)。病毒攻擊的根源是劫持了烏克蘭專用會計軟件me-doc的升級程序，使用戶更新軟件時感染病毒，從而對眾多企業(yè)的系統(tǒng)和數據造成慘重損失。
劫持軟件升級“投毒”并不是新鮮的攻擊手法，國內也屢有發(fā)生。但就在Petya勒索病毒變種轟動全球后短短數天時間內，山東、山西、福建、浙江等多省的軟件升級劫持達到空前規(guī)模，單日就突破40萬次!
盡管國內的軟件升級劫持目前僅僅被利用流氓推廣軟件，但是大規(guī)模的網絡劫持、大量缺乏安全升級機制的軟件，如果再加上“商業(yè)模式”非常成熟的勒索病毒，無疑會造成災難性后果。
事件還原
近期有多款軟件用戶密集反映360“誤報了軟件的升級程序”，但事實上，這些軟件的升級程序已經被不法分子惡意替換。
下圖就是一例愛奇藝客戶端升級程序被劫持的下載過程：可以看到服務器返回了302跳轉，把下載地址指向了一個并不屬于愛奇藝的CDN服務器地址，導致下載回來的安裝包變?yōu)楸徊环ǚ肿哟鄹倪^的推廣程序。
此次被劫持升級程序的流行軟件遠不止愛奇藝一家，下圖就是一些由于網絡劫持而出現的“假軟件”。當然，并不僅僅只有這些，我們之前提到的TGP也是。
圖2被網絡劫持替換的“假軟件”
以下，我們以偽造的百度網盤安裝程序“BaiduNetdisk_5.5.4.exe”為例分析一下惡意程序的行為。
與正常的安裝程序相比，該程序不具備合法的數字簽名，并且體積較大。
圖3被篡改的偽裝安裝程序
圖4正常的安裝程序
通過對比可以發(fā)現，兩者在內容上還是有較大差別。兩者只有8.7%的函數內容相同。
圖5偽裝安裝程序和正常安裝程序函數對比
程序最初執(zhí)行時會從從資源段中釋放一個PE文件并執(zhí)行，該文件就是程序所偽裝的正常安裝包。因此，該偽裝程序是在運行正常安裝包的同時靜默安裝其他推廣程序。在正常安裝包運行時，本程序會讀取bjftzt.cdn.powercdn.com站點的子目錄下的一個dat文件的內容，dat文件路徑根據安裝程序不同而不同，本文分析的程序“BaiduNetdisk_5.5.4.exe”所讀取的是bjftzt.cdn.powercdn.com/upc/20170329/2A7BF0576BE7380A30B8669182226FBD.dat。程序請求數據包內容如下圖所示：
圖6 請求數據包內容
所讀取的dat文件的內容如下圖所示：
以上內容引用自360方提出的一些研究。
實際上近期大家在進行軟件升級的時候，最好自己去官網手動下更新包，不要貪圖便利讓軟件自動發(fā)現自動更新。
【本文為51CTO專欄“柯力士信息安全”原創(chuàng)稿件，轉載請聯系原作者(微信號：JW-assoc)】
