恶意扩展疯狂袭击浏览器，2600+个网站被劫持

2019-02-26 20:16:54
我要分享


微信扫码分享

近期360安全大脑监测到大量针对浏览器的劫持攻击，中招用户的浏览器被静默安装了恶意扩展（如时钟提醒、今日惠购、页游等），然后浏览网页时莫名跳转到指定网站。

目前该恶意扩展已劫持超过2600个网站，并且对于部分网站，它还把作恶开始、结束时间指定在下班或深夜时段，已经累计超过百万用户受到影响。经360安全大脑追踪分析，该恶意扩展主要通过一款叫做游迅游戏盒子的软件植入用户电脑。

部分中招用户实例：

1）中招用户访问淘宝，会被劫持跳转到带ID的天猫链接：

2）还有部分用户访问hao123导航，被劫持跳转到带ID的2345导航：

3）QQ游戏、4399、7k7k等常见游戏网站被劫持到一个棋牌游戏网站：

4)其它一些私服网站则全部劫持到该私服页面：

受影响区域分布：

广东、江苏、浙江、山东、辽宁等沿海地区的用户劫持受影响程度比较高。

行为分析：

样本：

安装说明中诱导用户退出杀软的提示

该游戏盒子程序主要通过游迅网进行传播，在其安装说明中诱导用户允许或关闭杀毒软件运行；游戏启动器在用户点击关闭按钮退出时则会下载执行配置文件中配置的伪装成刺激战场游戏的木马程序，该木马执行后判断杀软环境又会去云端(hxxp://box.bainuonet.com/extendU/ChggmeePlugin.zip)拉取恶意扩展在多个浏览器进行安装，并且云端还会不断变换扩展名称：

添加到浏览器中的部分恶意浏览器扩展（页游、时钟提醒、今日惠购等），如下图所示：

该扩展会随着浏览器的打开而在后台运行，从链接hxxp://lusang.cckyedu.com/cgi/NewPageJumpConfiguration.ashx/pagejumpconfig/getconfig?intermode=0&ver=读取json配置用于流量劫持的配置列表，同时为了防止被用户轻易发现，其在多个连接的劫持配置中还设置了进行劫持的时间段控制代码，在指定的时间段才会劫持；另外如果不在劫持时间段内则会通过一个触发机率控制参数“Odds”来控制触发劫持行为的机率。