TrojanGet正侵蝕著全球的網路使用者

http://sinwen.com/?p=1627

【台北訊】幾天前我們開始收到從使用者傳來的消息，說道他們的防毒軟體已經察覺木馬病毒出現在 Flashget 資料夾目錄中。


資料分析結果顯示這個問題影響了全球 Flashget 的使用者。這個檔案被命名為inapp4.exe、inapp5.exe、inapp6.exe( 由卡巴斯基防毒軟體偵測出，並且命名為Trojan-DropperWin32.Agent.exe、Dropper.Win32Agent.ezxo和 Trojan-Dowloader.Win32.Agent.kht)出現在使用者被感染的電腦中。

其中最奇怪的地方在於可以被用來入侵這個系統上的木馬程式沒有被偵測出來。一些受到感染的使用者已經完全修補操作系統以及網頁瀏覽器，而惡意程式是如何滲透進他們的電腦的？

首先必須注意的是這隻木馬的所在位置─FlashGet 的資料夾目錄中。仔細地看，除了帶有木馬的檔案之外，其他的皆變成透明，而註有日期的FGUpdate3.ini檔案則已經被新增/更改至最新(與原始檔案不同的地方用藍色標記出來)。

[Add]
fgres1.ini=1.0.0.1035
FlashGet_LOGO.gif=1.0.0.1020
inapp4.exe=1.0.0.1031

[AddEx]
[fgres1.ini]
url=http://dl.flashget.com/flashget/fgres1.cab
flag=16
path=%product%
[FlashGet_LOGO.gif]
url=http://dl.flashget.com/flashget/FlashGet_LOGO.cab
flag=16
path=%product%

[inapp4.exe]
url=http://dl.flashget.com/flashget/appA.cab
flag=2
path=%product%


非常異常的是，連結到 inapp4.exe ( Trojans 的資料夾)引導至 FlashGet 網站，而這個網站就是從 appA.cab.下載下來的木馬程式。

FlashGet 網站並沒有任何與這個事件有關的資訊，但使用者的討論區卻大量地討論這個議題，儘管開發者並沒有對此有任何表示。

根據這個訊息我們設法從網路上去尋找，發現第一波感染事件在2月29日被偵測到。在上一個我們所知道的感染事件發生在3月9日。在這十天裡，完全合法的程式偽裝木馬的下載程式，從開發者的位置進入使用者的電腦安裝並執行木馬！

木馬程式目前已經從這個網址被移除，另外 FGUpdate3.ini (同樣也經由網路下載至使用者電腦的程式)也回到原始的狀態。

FlashGet如何轉變成木馬下載程式？有一個明顯的答案─這個開發者的網站被駭客以及某個人操控，並取代標準結構的檔案夾，引導連結至某個木馬的所在位置。為什麼駭客不使用另一個網頁，或許這是經過深思熟慮的秘密行動，當一個連結至 FlashGet 結構中的資料夾不會喚起猜疑。我們決定去檢查是否它有可能可以使用這個技巧從任何網站下載任何資料夾。這個答案是對的嗎？是的！

你需要的是去增加一個連結(任何可以代表你想要的資料夾)在 FGUpdate3.ini file，接著當你執行 FlashGet 後，每隔一段時間它會自動下載至你的電腦。是否你打上“Refresh”，FlashGet就會利用.ini資料夾中得到的資訊。「弱點」被提出在 FlashGet 1.9xx中的版本中。

所以，儘管這個網站不再被駭，使用者同樣難以防範。任何木馬程式都可以修改這個位置，.ini FlashGet的資料夾，導致它的運作模式和木馬下載程式很相似。它並不值得FlashGet經常將它當成託管應用對待，因此，網路作業活動導致經由申請或請求的網站不會被懷疑，而使用者也不會收到警告。


至今為止，還沒有接到從FlasfGet中國開發者的官方反應，這個事件剩下含糊不清的理由，並沒有保證它不會在度發生。使用者應該感到自由地寫下屬於他們的結局，並衡量他們覺得被竊取的東西。