在介紹“百度劫持者”廣告軟件時(shí)，首先需要對一種木馬釋放器進(jìn)行說明。因?yàn)樯鲜鼋俪职俣鹊膹V告軟件一般通過一種名為Trojan-Dropper.Win32.Flystud.qt的木馬釋放器下載感染用戶。卡巴斯基中國病毒實(shí)驗(yàn)室分析員對此木馬釋放器進(jìn)行技術(shù)分析時(shí)發(fā)現(xiàn)，它是采用E語言編寫而成。
而且為了欺騙用戶運(yùn)行它進(jìn)行感染，它會采用Windows的文件夾圖標(biāo)，并以用戶現(xiàn)有的文件夾名字命名。如果用戶不細(xì)心觀察，很容易將它誤認(rèn)為就是一個(gè)正常文件夾而點(diǎn)擊運(yùn)行。
一旦運(yùn)行，該木馬釋放器就會在用戶不知情的情況下，在用戶計(jì)算機(jī)系統(tǒng)的system32目錄下創(chuàng)建一些文件夾和文件，并且這些文件夾都是隱藏的，一般用戶很難發(fā)現(xiàn)。如下圖所示：
由于此木馬釋放器是采用E語言編寫，其運(yùn)行還需要E語言支持庫。這些隱藏文件夾中就包含其運(yùn)行所需的庫文件。這些隱藏文件夾的創(chuàng)建都是以隨機(jī)16進(jìn)制數(shù)做為文件夾名。此木馬還會查找移動(dòng)存儲設(shè)備，一旦發(fā)現(xiàn)有移動(dòng)存儲設(shè)備，就會將原有移動(dòng)存儲設(shè)備中的文件夾隱藏，創(chuàng)建和原文件夾名稱一樣的并且具有文件夾圖標(biāo)的exe文件進(jìn)行偽裝。而當(dāng)用戶在其它計(jì)算機(jī)上使用此移動(dòng)設(shè)備時(shí)，就很容易將偽裝的木馬文件認(rèn)為是自己的文件夾而點(diǎn)擊感染。另外，此木馬還會在移動(dòng)存儲設(shè)備上創(chuàng)建autorun文件，使得用戶在雙擊打開移動(dòng)存儲設(shè)備時(shí)也會被感染。
此木馬會向E語言支持庫所在的文件夾中下載文件。這些文件中就包含我們上述的“百度劫持者”廣告軟件(not-a-virus:AdWare.Win32.FlyStudio.c)。如下列截圖所示：
感染用戶計(jì)算機(jī)后，該廣告軟件會會定時(shí)彈出廣告窗口，干擾用戶正常使用計(jì)算機(jī)。同時(shí)，劫持對百度的訪問，使用戶在試圖訪問百度時(shí)自動(dòng)跳轉(zhuǎn)到谷歌。卡巴斯基實(shí)驗(yàn)室的病毒分析專家對“百度劫持者”廣告軟件的代碼解密后發(fā)現(xiàn)里面包含有g(shù)oogle字樣。如下圖：
目前，卡巴斯基實(shí)驗(yàn)室的反病毒產(chǎn)品完全能夠查殺該木馬釋放器以及它下載的廣告軟件。請用戶及時(shí)更新病毒定義數(shù)據(jù)庫，及時(shí)查殺這類惡意軟件。同時(shí)建議用戶養(yǎng)成良好的上網(wǎng)和操作計(jì)算機(jī)習(xí)慣，提高警惕性，不要打開來歷不明的文件或者訪問不良網(wǎng)站，以避免感染此類惡意軟件，造成不必要的損失或麻煩。
