国内知名第三方反病毒机构瑞星最新发布的技术分析报告证实,扣扣保镖除了拥有其宣称的11大类可见功能之【zhī】外,至少还存在4个隐藏功能,这些功能仅针对QQ,且都具【jù】有用户不可见、不【bú】可控制等特【tè】性。这些隐藏功【gōng】能随时处于活动状态【tài】,并且【qiě】可由360公司远程开启。
昨日,曾有媒体报道扣扣保镖存在四大后门技术,可以随时远程开启。但360对此矢口否认。如今终于得到来自第三方反病毒机构瑞星铁一般的证实。 ——QQTN更新扣扣保镖后门
以下是报告全文:
360扣扣保镖为何激怒腾讯?
9-20,360公司在【zài】京宣【xuān】布,推【tuī】出一款名为“扣扣保镖”的安全工具,全【quán】面保护QQ用户【hù】的【de】安全。该工具包括防止隐私泄漏、防止木马盗取QQ账号以及给QQ加速【sù】等功能。360称,扣扣保镖默认不修改QQ任何设置,所有功能都必须由用户主动选择触发【fā】,并可随时启用和恢复。
瑞【ruì】星研发【fā】部门通过对扣扣【kòu】保镖(1.0.0.1004版本)主要功能实现模块QGuard.dll进行分析:发现该软件除了拥有其宣称的11大类可见【jiàn】功能【néng】之外,至少还存在4个隐藏功能,这些功能仅针对QQ,且【qiě】都具有用户不可见【jiàn】、不可控制等特性。这些隐藏功能随【suí】时处于【yú】活动【dòng】状态,并且可由360公司远程开启。
扣扣保镖4个隐藏功能详细分析
扣扣保镖除了界面上的可见功能以外,还存在屏蔽QQ软件升级、劫持腾讯浏览器、屏蔽QQ启动的特【tè】定进程列表、备份并恢复QQ软件等4个隐藏的功能,它们均由Config.ini文件进行开关控制。经分析,该控【kòng】制【zhì】文件在【zài】扣扣保镖安装包中并没有【yǒu】提【tí】供,安【ān】装后也不会自动生成,只可能由360 “云服务器”直接进【jìn】行远程投递(或用户可以手动生成激活隐藏功【gōng】能)。也就是说,用户对于这些隐藏功【gōng】能均无法控【kòng】制,而且不了解其【qí】激活和生效情况。
技术细节:
用户使用扣【kòu】扣【kòu】保镖(1.0.0.1004版本)时,它会把自己【jǐ】的主要【yào】功能模块QGuard.dll通【tōng】过【guò】全局钩子方式注入腾讯QQ进程,并拦截QQ进程的系【xì】统调用ShellExecuteExW和CreateProcessInternalW等,时刻【kè】关注Config.ini文件(隐藏功能激活文件),一旦发现该文件存在,将根据文件内容进行相关隐藏功能的激【jī】活动作。
通过对现有的4个隐藏功能代码分析【xī】,我们可以【yǐ】推测Config.ini文件至少存在以下4种开关:
[Main]
DisableUpdate=1 //自动【dòng】屏蔽QQ升【shēng】级,导【dǎo】致用户不知情的情况下QQ软件无法升级。
DisableBrowser=1 //劫持QQ对【duì】浏览器的启动并替换为360”安全”浏览器。
Com=<过滤的【de】进程文件名1>;<过滤的进程文件名2>;……
//自动屏蔽QQ启动指定镜像名例表的进程启动。
enable_repair=1 //开启备【bèi】份QQ的参数:是否开启弹框引导【dǎo】用户备份QQ软件
MaxNotifyCount = 50 //开启备份【fèn】QQ的参数:最【zuì】多弹框次数
FirstNotify=1 //开启备份QQ的参数: QQ启动后弹框的时间(秒【miǎo】)
以下为【wéi】扣扣保镖QGuard.dll 进行【háng】WINDOWS API 拦截及API拦截功能实现【xiàn】的相关代码
| |
扣扣保镖在QQ IM进程中拦截相关系统API后将实时监控QQIM启动进程动作(用户不能使用任何功【gōng】能设置项【xiàng】进行隐藏功能关【guān】闭操作)
隐藏功能一:激活后自动屏蔽QQ软件升级
该隐藏功能影响域:
该隐藏功能激活后,QQ的安全组件、QQ本身等软件都不【bú】能正常更新升级(用户毫不知情,也不会【huì】得到任何错误【wù】提示),QQ软件将变成一个“死”软件。
| |
以下为扣扣【kòu】保镖QGuard.dll在拦截【jié】ShellExecuteExW及CreateProcessInternalW后进行的QQ IM启【qǐ】动升级进程(屏蔽QQ升【shēng】级)识别及屏蔽升级部分代码。
| |
如果发现启动的是auclt.exe、SelfUpdate.exe和【hé】QQSafeud.exe并【bìng】在Config.ini文件中DisableUpdate=1则将绕开真实【shí】系统调用,使QQ升级进程【chéng】启动失效。这些操作将对用户没有任何提示!
隐藏功能二:激活后根据指定进程列表进行QQ启动程序的拦截
该隐藏功能影响域:
该隐藏功能激活后,将根据360投送的Config.ini里指定【dìng】的进程【chéng】名进行【háng】QQ启动程序【xù】过滤。这将让360可以非常方便【biàn】进行可控的QQ启动程序拦截。
扣扣保镖还会尝试读取位于安装目录下360\360safe\360QGuard\下的Config.ini中Main主键下的Com字段(参照上文所【suǒ】述Config.ini结构)。由于Config.ini在默【mò】认【rèn】安装情况下不【bú】存在,在此无法得知具体【tǐ】需【xū】要屏蔽的进程,但是通过【guò】分析代【dài】码可以得知此字段为一个由“;”分割的【de】一个进程列表。扣扣【kòu】保镖【biāo】将拦截此列表中所有文件名相同的进程的启动。
以下为QQ启动程序屏蔽列表部分代码
| |
以下为:扣扣保镖QGuard.dll屏蔽列表读取代码
| |
除此之外还会在%AppData%的配【pèi】置文件【jiàn】UserConfig.ini中读取component字段,其中每一项镜像名其后的0和1为进程屏蔽开关【guān】。
%AppData%\360QGuard\UserConfig.ini内容如下:
[component]
<要阻止的文件名及扩展名>=0|1
隐藏功能三:激活后对QQ软件的浏览器进行劫持(替换成360浏览器)
该功【gōng】能激活后,QQ 进【jìn】程启动的浏览器进程(带参数浏览URL方式)将被替【tì】换成启动360SE来进行浏览(装着【zhe】360浏览器的情况下)。由于该功能是拦截 API实现,所以无论用户设置的默认【rèn】浏览是什么,也不论腾讯QQ当前选用哪【nǎ】个浏【liú】览【lǎn】器都将被劫持成360SE(附:该隐藏功能不单可以劫持TTraveler.exe,QQBrowser.exe,还能根据升级的配【pèi】置随时指【zhǐ】定劫持的浏【liú】览器进程名。)
这样QQ软件用户聊天【tiān】时带的所有URL链接的浏览量将都【dōu】被【bèi】360SE获取。
扣扣【kòu】保镖QGuard.dll拦截程序,发现QQ IM启动的程【chéng】序为腾讯的浏览器(TTraveler.exe和QQBrowser.exe),且Config.ini文件内容中有DisableBrowser=1,则将QQ IM启动的【de】浏览器自动替换为【wéi】360的浏览器。
除此之【zhī】外,通过最后【hòu】一行Call InitComponent读取位于%AppData%的配置文件UserConfig.ini中的component项是否有指定名称的镜像名,如果发现也【yě】将替换为360的浏览器。
隐藏【cáng】功能四:激活后欺骗【piàn】用户对QQ软件进行备份(并可做恢复操作)
该隐藏功能影响域:
该隐藏【cáng】功能激活后,将根据360投送的Config.ini里配置的参数引导用户备份QQ软件到360指定目录,并可通过【guò】扣扣保镖【biāo】进【jìn】行恢复。
| |
在config.ini里填入以上内容,在启【qǐ】动QQ时会出现以下对话框。
| |
在这里可以禁用QQ的自动更新功能。备份按钮会将QQ的全【quán】部数据【jù】备份到【dào】360的配置目录。如【rú】下图:
相关代码如下:
| |
| |
| |
|
分析总结:
由于360扣扣保镖的这4个隐藏功能针对性极强(针【zhēn】对QQ软件【jiàn】)并具【jù】有:
1、在不被用户知情的情【qíng】况下进行破【pò】坏其它软件正常运行的流氓软【ruǎn】件特性。
2、绕开用户控制隐蔽触发的后门功能特性。
3、注入其它进程,修改其正常功能运行方式的外挂特性。
而这些技术手段通常只在木【mù】马【mǎ】、后门、病毒这类【lèi】恶意软件上见到,在【zài】一款“以安全为名”的软件上出现并针对【duì】正常软件使用是极为罕见的。这也可以【yǐ】很好地理解为什么360让它【tā】如此短【duǎn】命,腾讯为什么如此愤怒。
附:
从百度百科中查出一些公众认知的定义:
外挂:外挂一般是指在电脑运行中,一个程序通过某种【zhǒng】事件触发而【ér】得以【yǐ】挂接到另外一个程序的空间里(常用的触发事件有键【jiàn】盘触发,鼠标触【chù】发【fā】,消息触发等),挂接的【de】目的通常是想改变被挂接程序的运行方式。
后【hòu】门功能:指绕过软件的安【ān】全性控制而从比较隐【yǐn】秘的通【tōng】道获取对程序或系统访问权的方法。
流氓【máng】软件新发展:新的流氓软件可能并没有捆绑插【chā】件,新【xīn】的流氓行为包括故意妨碍其他同类软件的使用【yòng】,新的流氓行为【wéi】包括把自己的流氓行为说成是【shì】BUG或者好功能,以此来掩盖自己【jǐ】肮脏的目的,新的流氓都精通心【xīn】理学,把用户的心理研【yán】究的透透彻彻,并利用这种心理来做利于自己的事情【qíng】。
更多QQ360大战相关新闻更新:http://www.7pam.com/cmslist/r_3_1.html
周鸿祎 360再推“扣扣保镖”可以去QQ广告 腾讯将追360