12月12日動靜，360安然衛(wèi)士微博發(fā)布木馬警報稱，一類專門對準(zhǔn)“雙十二”網(wǎng)購消費者的木馬活躍度敏捷增加。此木馬屬于網(wǎng)購木馬家族的一個分支，從本年6月份開端已變種多次。最新的“雙十二獵手”變種特別桀，其特點包含：
1、操縱nmake工作履行腳本，導(dǎo)進注冊表鍵，實現(xiàn)開機自啟動;
2、操縱號令行版XueTr(一款手工殺毒東西)，加載驅(qū)動粉碎殺毒軟件，傳染W(wǎng)gaTray.exe做開機啟動項;
3、該木馬安裝法度還帶有運行時候鑒定，過了2013年12月12日，安裝法度將不再安裝木馬;
4、周全打劫淘寶、京東、易迅、付出寶、財付通、招農(nóng)行工建中等網(wǎng)上生意和網(wǎng)銀付出，把付出資金劫持到第三方平臺采辦游戲點卡再銷贓。
據(jù)介紹，360安然衛(wèi)士和360殺毒具有對木馬操縱nmake的反對能力，可以將“雙十二獵手”木馬覆滅在萌芽狀況。而其他一些殺毒軟件，經(jīng)測試會被“雙十二獵手”強迫粉碎，沒法啟動。
假定網(wǎng)友發(fā)現(xiàn)本身利用的殺毒軟件無故退出、沒法啟動，這是“雙十二獵手”的歹意驅(qū)動已節(jié)制了系統(tǒng)，建議下載利用360系統(tǒng)急救箱http://www.#/jijiuxiang/index.html，查殺木馬后便可恢復(fù)正常。
以下是“雙十二獵手”木馬手藝闡發(fā)
幾個傳播量最大年夜的木馬樣本：
木馬啟動后，釋放一組文件到“C:\Program Files\淘寶什物圖”目次下，并在桌面新建“淘寶實拍圖”的快捷編制，這個快捷編制指向的是微軟的nmake文件。
nmake文件，本身會往履行makefile文件中的腳本，本來是要做一些編譯調(diào)劑的工作。木馬精心計表情關(guān)了一個makefile文件，用來安裝木馬法度。這類編制，是本年比較風(fēng)行的新白操縱(也稱為“白加黑”)手法。
經(jīng)由過程nmake導(dǎo)進的一個注冊表文件，文件是Sysinternals的PsExec東西的授權(quán)項，木馬安裝法度預(yù)備操縱PsExec東西來寫注冊表，所以先導(dǎo)進了它的授權(quán)：
木馬的安裝腳本中鑒定了當(dāng)前的系統(tǒng)時候，假定過了2013年12月12號，木馬將直接退出，不進行安裝。
將木馬的指導(dǎo)器寫進啟動項，同時替代系統(tǒng)的wgatray文件。
被木馬替代的wgatray法度，這個法度是微軟用來進行正版驗證的，網(wǎng)上有良多經(jīng)由過程點竄這個文件破解微軟把持系統(tǒng)的法度。這個法度被傳染以后，假定殺軟沒法點竄，將造成木馬殺而不死的環(huán)境。
木馬已被寫進了啟動項，初步完成安裝，重啟計較機：
重啟以后，雙十二獵手木馬開端搏斗了，操縱號令行版本的XueTr，刪除殺軟的文件：
被操縱的號令行版XueTr：
以后加載驅(qū)動，結(jié)束殺軟過程，木馬開端了其真實的工作——網(wǎng)購盜竊。
小火伴們，雙十一是不是是還沒搶夠的，雙十二還要再買兩件新衣服？木馬也這么覺得……
神馬天貓?zhí)詫毟冻鰧殹⒄行修r(nóng)行工建中、京東易訊財付通，十足打劫了往。
付款時訂單金額被點竄，實際上訂單已被轉(zhuǎn)到他人買點卡了或網(wǎng)銀轉(zhuǎn)賬了：
木馬的通信數(shù)據(jù)包：
里面包含實際的收款人信息：小火伴們買東東的錢，都被無情的轉(zhuǎn)給了這小我：
防御辦法
早在本年6月份，360已率先反對了此類網(wǎng)購木馬分支。木馬操縱nmake履行，直接被360安然衛(wèi)士禁止：
但某些被木馬列為報復(fù)打擊名單的其他殺毒軟件用戶就沒這么榮幸了。經(jīng)測試，這些軟件今朝還不具有防御“雙十二獵手”的能力。木馬被履行以后，下次開機，這些軟件就已被獵殺而沒法啟動了。
假定用其他軟件而不幸中招了，可以下載360系統(tǒng)急救箱來解救，可以或許完全查殺木馬避免網(wǎng)購資金被打劫。
