萝莉黑客，主页保安成锁主页病毒母体，被查杀就重启电脑-黑客业务

新型勒索病毒案件终结！腾讯协助警方迅速侦破，嫌疑人被捕

腾讯计算机管家收到了用户的反馈。当使用计算机管家或救援箱等杀毒软件进行杀毒时，系统将被迫重启。经过分析，发现该系统已安装suoye(锁页)木马，一旦用杀毒软件查杀，电脑就会被迫重启。

一、概述

日本腾讯计算机管家收到用户反馈。当使用计算机管家或救援箱等杀毒软件进行杀毒时，系统将被迫重启。经过分析，发现该系统已安装Rootkit病毒，病毒是匹敌杀毒软件，一查杀就强制重启系统。根据病毒的特点，计算机管家将其命名为suoye(锁页)木马。

Suoye木马的流传源是多种多样的Windows、Office盗版激活工具，通过分析木马现实是主页安全软件驱动模块，主页安全网站声称其旧版本是病毒行使，但软件的行为和病毒及其相似，包括匹配的杀毒软件，防止杀毒软件写作BCD配置文件等。木马和独狼2木马举行捆绑流传。

Suoye木马还接受了强大的竞争手段。当用户使用各种杀毒软件或救援箱进行杀毒时，病毒将强制重启计算机，以停止杀毒操作。建议用户下载计算机管家救援板并使用它U盘抢救箱开机查杀。(参考文末使用指南)

木马流传趋势

主页锁定

二、详细分析

我们分析了流传源之一：xiaoma盗版激活工具携带的激活工具Suoye病毒有以下恶意行为：

1) 默默推装2345浏览器及360浏览器；

2) 在temp释放和运行木马文件svchost.exe及wwwiw121com.exe

3) svchost.exe在driver在目录下释放独狼2系列Rootkit病毒并加载运行，wwwiw121com.exe复制自己HomePageSecurityGuard并重命名目录下protece.exe，然后释放驱动目录suoye驱动病毒并加载

释放在driver三个目录Rootkit病毒，sample.sys，192C9A69.sys(随机名)，a302480006.sys(随机名)，其中sample.sys和192C9A69.sys数字署名为"浙江恒歌网络科技有限公司"(该签名经常被病毒滥用)，是前段时间披露的"独狼2"rootkit，主要功能是匹敌杀毒软件，阻断网络，锁定主页等，详细分析可参考：Rootkit病毒“独狼2冒充激活工具流传，锁定23浏览器主页已经感染了数万台电脑。

a302480006.sys(随机名)suoye驱动木马

独狼2rootkit

Suoye驱动木马分析

加载运行后会建立多个回调，包括注册表cmpcallback，建立过程回调，关机回调等。cmpcallback实现自己的注册表珍惜，在建立回调的过程中实现主页胁迫，在关闭回调中实现自我珍惜，如回写注册表和文件。

建立注册过程回调

将建立多个系统线程，线程函数地址为KeBugCheckEx，函数已被接受hook ，会跳转到rootkit在模块中执行真实的线程函数。在线程函数中完成主要恶意效果的目的是工具看起来线程地址在nt模块内

keBugCheckEx被hook后

强制重启计算机

suoye木马将继续检查系统启动组的注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ServiceGroupOrder 下的List键值默认为系统的第一个键值System Reserved，如果发现启动组的第一项不是System Reserved暴力重启计算机。