近日，瑞星威胁情报平台率先捕获到一批攻击流程异常复杂的.NET恶意程序，经瑞星安全研究院深入分析发现，这些恶意程序实则是一整套黑产工具，名为“FastDesktop”。

该工具可以通过衍生出的病毒及变种远程控制用户主机，并上传用户隐私信息。

经溯源发现该病毒作者疑为国内黑客，通过售卖这套黑产工具牟取利益，定价为300块/天。（获取完整报告关注“瑞星企业安全”，回复关键字“FastDesktop”）

技术细节

瑞星安全专家介绍，这批恶意程序为后门病毒，其中的两大版本均是通过DLL劫持进行攻击的。

攻击者通过调用系统进程svchost.exe，以服务形式加载一个正规迅雷的库文件fdsvc.dll，然后在该库文件执行的时候再导入伪装成迅雷的另一个恶意文件libexpat.dll。

同时由于在攻击流程中负责执行攻击功能的文件都是DLL库，需要被加载进内存才可以执行，因此依靠“捕获-响应”、基于特征或哈希的传统反病毒技术很难检测出这类恶意程序。

图：“FastDesktop”中两大版本的攻击流程

病毒特点

瑞星安全专家表示，近年来基于.NET开发的病毒日益增多，这源于其开源代码多，开发速度快，开发成本低，因此有不少黑客都会采用.NET编写恶意程序。

而此次瑞星截获的“FastDesktop”，相较一般.NET恶意程序而言，攻击流程更加复杂，且初始攻击模块的恶意行为度很低，结构简单，因此隐匿性更强，不仅可以有效对抗查杀，还便于后期病毒版本的更新。

追踪溯源

通过更进一步的分析，瑞星威胁情报中心查询到病毒作者使用到的其中一个域名Whois信息，通过点击发现这是一个购买远程控制软件的网站。在经过注册并登录后显示账户已经过期，需要用户进行续费，并且界面中包括售前/售后、账户充值及管理端下载等主要功能，且定价为300/天。

由此可知，“FastDesktop”制作者为国内黑客，制作这套工具，就是为了进行售卖，方便一些没有开发能力的不法分子直接购买，对目标进行远程控制类攻击。

图：“FastDesktop”制作者兜售远控恶意软件

值得一提的是，此次瑞星捕获的”FastDesktop” system.dll，在VirusTotal今年3月的首次检测报告中，仅瑞星一家国内厂商将其判定为“恶意”。

这源于瑞星近年来在人工智能引擎技术方面的不断研究，以及对.NET恶意软件检测能力上的两项重要创新：

研发基于人工智能的.NET程序文件判定引擎。海量分析的基础上总结抽象，设计一套适用于通用检测和混淆检测的向量化方案，将文件转为1627维特征向量。特征点囊括潜在隐写、动态加载、动态编译、压缩解压缩、编码解码、加密解密、网络下载等多方面的代码意图。

改进特征码检测技术。通过反编译将.NET程序转为结构化文本代码，称之为“程序主干”。结合智能特征码，综合主干中函数调用流、数据引用流、特殊指令流来抽象恶意代码特征，规避二进制特征码易绕过的缺点，但该方案需人工干预，响应速度和日处理量受限人力。

因此，瑞星在.NET恶意软件检测能力获得了较大的提升，在缓解人工分析处理压力的同时，也很好地获得了对未知.NET恶意软件的“预判”的能力。

IT解决方案（签名）
服务区域：
四川瑞星 终端安全 成都瑞星 终端安全 西藏瑞星 终端安全 重庆瑞星 终端安全贵州瑞星 终端安全 贵阳瑞星 终端安全 云南瑞星 终端安全 昆明瑞星 终端安全
四川synology: 德阳瑞星 终端安全 绵阳瑞星 终端安全，攀枝花瑞星 终端安全，西昌瑞星 终端安全，雅安瑞星 终端安全，内江瑞星 终端安全，资阳瑞星 终端安全，南充瑞星 终端安全，眉山瑞星 终端安全，乐山瑞星 终端安全，自贡瑞星 终端安全 泸州瑞星 终端安全 广元瑞星 终端安全 遂宁瑞星 终端安全 宜宾瑞星 终端安全 广安瑞星 终端安全 达州瑞星 终端安全 雅安瑞星 终端安全 巴中瑞星 终端安全 资阳瑞星 终端安全 攀枝花瑞星 终端安全 凉山彝族自治州瑞星 终端安全 甘孜藏族自治州瑞星 终端安全 阿坝藏族羌族自治州瑞星 终端安全
贵州瑞星 终端安全：贵阳瑞星 终端安全 、六盘水瑞星 终端安全、遵义瑞星 终端安全、安顺瑞星 终端安全、铜仁瑞星 终端安全、毕节瑞星 终端安全。 黔南瑞星 终端安全 、黔西南瑞星 终端安全、贵州黔东南瑞星 终端安全
重庆瑞星 终端安全 合川瑞星 终端安全 南川瑞星 终端安全
潼南瑞星 终端安全 铜梁瑞星 终端安全 长寿瑞星 终端安全 璧山瑞星 终端安全 荣昌瑞星 终端安全 綦江瑞星 终端安全 大足瑞星 终端安全 武隆瑞星 终端安全 垫江瑞星 终端安全 奉节瑞星 终端安全
丰都瑞星 终端安全 城口瑞星 终端安全 巫溪瑞星 终端安全 云阳瑞星 终端安全 酉阳瑞星 终端安全 巫山瑞星 终端安全 梁平瑞星 终端安全 彭水瑞星 终端安全 秀山瑞星 终端安全 石柱瑞星 终端安全 开县瑞星 终端安全
昆明瑞星 终端安全、曲靖瑞星 终端安全、玉溪瑞星 终端安全、 保山瑞星 终端安全 、昭通瑞星 终端安全 、丽江瑞星 终端安全 、普洱瑞星 终端安全、 临沧瑞星 终端安全。
文山壮族苗族自治州（文山瑞星 终端安全） 、红河哈尼族彝族自治州（红河瑞星 终端安全） 、西双版纳傣族自治州、（西双版纳瑞星 终端安全） 楚雄彝族自治州（楚雄瑞星 终端安全）、 大理白族自治州（大理瑞星 终端安全）、 德宏傣族景颇族自治州（德宏瑞星 终端安全）、 怒江傈僳族自治州（怒江瑞星 终端安全）、 迪庆藏族自治州（迪庆瑞星 终端安全）

产吕：瑞星ESM防病毒系统信创版，ESM防病毒终端安全防护系统，瑞星下一代网络版杀毒软件 esm30医疗专用版，导线式防火墙

成都科汇科技有限公司（瑞星 安全 分销代理商）
地址：成都市人民南路四段1号时代数码大厦18F
电话：400-028-1235
QQ: 1325383361
手机：180 8195 0517（微信同号）