您当前的位置 :国内国际 > 互联网新闻 正文
瑞星证实扣扣保镖设后门 可骗QQ用户备份信息
http://www.jxnews.com.cn   2010-11-05 09:56   编辑: 薛岚

腾讯QQ和奇虎360纷争

【字体:    】 【进入论坛】 

[导读]第三方反病毒机构瑞星报道证实,扣扣保镖除了界面上的可见功能以外,还存在屏蔽QQ软件升级、劫持腾讯浏览器、屏蔽QQ启动的特定进程列表、骗取QQ用户备份信息等4个隐藏的功能,用户无法控制。

北京时间11月5日消息,国内知名第三方反病毒机构瑞星最新发布的技术分析报告证实,扣扣保镖除了拥有其宣称的11大类可见功能之外,至少还存在4个隐藏功能,这些功能仅针对QQ,且都具有用户不可见、不可控制等特性。这些隐藏功能随时处于活动状态,并且可由360公司远程开启。

腾讯科技讯

昨日,曾有媒体报道扣扣保镖存在四大后门技术,可以随时远程开启。但360对此矢口否认。如今终于得到来自第三方反病毒机构瑞星铁一般的证实。

以下是报告全文:

360扣扣保镖为何激怒腾讯?

----瑞星第三方独立研究报告(一)

2010年10月29日,360公司在京宣布,推出一款名为“扣扣保镖”的安全工具,全面保护QQ用户的安全。该工具包括防止隐私泄漏、防止木马盗取QQ账号以及给QQ加速等功能。360称,扣扣保镖默认不修改QQ任何设置,所有功能都必须由用户主动选择触发,并可随时启用和恢复。

瑞星研发部门通过对扣扣保镖(1.0.0.1004版本)主要功能实现模块QGuard.dll进行分析:发现该软件除了拥有其宣称的11大类可见功能之外,至少还存在4个隐藏功能,这些功能仅针对QQ,且都具有用户不可见、不可控制等特性。这些隐藏功能随时处于活动状态,并且可由360公司远程开启。

扣扣保镖4个隐藏功能详细分析

扣扣保镖除了界面上的可见功能以外,还存在屏蔽QQ软件升级、劫持腾讯浏览器、屏蔽QQ启动的特定进程列表、备份并恢复QQ软件等4个隐藏的功能,它们均由Config.ini文件进行开关控制。经分析,该控制文件在扣扣保镖安装包中并没有提供,安装后也不会自动生成,只可能由360 “云服务器”直接进行远程投递(或用户可以手动生成激活隐藏功能)。也就是说,用户对于这些隐藏功能均无法控制,而且不了解其激活和生效情况。

技术细节:

用户使用扣扣保镖(1.0.0.1004版本)时,它会把自己的主要功能模块QGuard.dll通过全局钩子方式注入腾讯QQ进程,并拦截QQ进程的系统调用ShellExecuteExW和CreateProcessInternalW等,时刻关注Config.ini文件(隐藏功能激活文件),一旦发现该文件存在,将根据文件内容进行相关隐藏功能的激活动作。

通过对现有的4个隐藏功能代码分析,我们可以推测Config.ini文件至少存在以下4种开关:

[Main]

DisableUpdate=1 //自动屏蔽QQ升级,导致用户不知情的情况下QQ软件无法升级。

DisableBrowser=1 //劫持QQ对浏览器的启动并替换为360”安全”浏览器。

Com=<过滤的进程文件名1>;<过滤的进程文件名2>;……

//自动屏蔽QQ启动指定镜像名例表的进程启动。

enable_repair=1 //开启备份QQ的参数:是否开启弹框引导用户备份QQ软件

MaxNotifyCount = 50 //开启备份QQ的参数:最多弹框次数

FirstNotify=1 //开启备份QQ的参数: QQ启动后弹框的时间(秒)

瑞星证实扣扣保镖设后门 可骗QQ用户备份信息

以下为扣扣保镖QGuard.dll 进行WINDOWS API 拦截及API拦截功能实现的相关代码

瑞星第三方报告:360扣扣保镖为何激怒腾讯

瑞星第三方报告:360扣扣保镖为何激怒腾讯
 

扣扣保镖在QQ IM进程中拦截相关系统API后将实时监控QQIM启动进程动作(用户不能使用任何功能设置项进行隐藏功能关闭操作)

隐藏功能一:激活后自动屏蔽QQ软件升级

该隐藏功能影响域:

该隐藏功能激活后,QQ的安全组件、QQ本身等软件都不能正常更新升级(用户毫不知情,也不会得到任何错误提示),QQ软件将变成一个“死”软件。

瑞星第三方报告:360扣扣保镖为何激怒腾讯
 

以下为扣扣保镖QGuard.dll在拦截ShellExecuteExW及CreateProcessInternalW后进行的QQ IM启动升级进程(屏蔽QQ升级)识别及屏蔽升级部分代码。

瑞星第三方报告:360扣扣保镖为何激怒腾讯
 

如果发现启动的是auclt.exe、SelfUpdate.exe和QQSafeud.exe并在Config.ini文件中DisableUpdate=1则将绕开真实系统调用,使QQ升级进程启动失效。这些操作将对用户没有任何提示!

隐藏功能二:激活后根据指定进程列表进行QQ启动程序的拦截

该隐藏功能影响域:

该隐藏功能激活后,将根据360投送的Config.ini里指定的进程名进行QQ启动程序过滤。这将让360可以非常方便进行可控的QQ启动程序拦截。

扣扣保镖还会尝试读取位于安装目录下360\360safe\360QGuard\下的Config.ini中Main主键下的Com字段(参照上文所述Config.ini结构)。由于Config.ini在默认安装情况下不存在,在此无法得知具体需要屏蔽的进程,但是通过分析代码可以得知此字段为一个由“;”分割的一个进程列表。扣扣保镖将拦截此列表中所有文件名相同的进程的启动。

以下为QQ启动程序屏蔽列表部分代码

瑞星第三方报告:360扣扣保镖为何激怒腾讯
 

以下为:扣扣保镖QGuard.dll屏蔽列表读取代码

瑞星第三方报告:360扣扣保镖为何激怒腾讯
 

除此之外还会在%AppData%的配置文件UserConfig.ini中读取component字段,其中每一项镜像名其后的0和1为进程屏蔽开关。

%AppData%\360QGuard\UserConfig.ini内容如下:

[component]

<要阻止的文件名及扩展名>=0|1

隐藏功能三:激活后对QQ软件的浏览器进行劫持(替换成360浏览器)

瑞星证实扣扣保镖设后门 可骗QQ用户备份信息

瑞星证实扣扣保镖设后门 可骗QQ用户备份信息

瑞星证实扣扣保镖设后门 可骗QQ用户备份信息

 
 

该隐藏功能影响域:

该功能激活后,QQ 进程启动的浏览器进程(带参数浏览URL方式)将被替换成启动360SE来进行浏览(装着360浏览器的情况下)。由于该功能是拦截 API实现,所以无论用户设置的默认浏览是什么,也不论腾讯QQ当前选用哪个浏览器都将被劫持成360SE(附:该隐藏功能不单可以劫持TTraveler.exe,QQBrowser.exe,还能根据升级的配置随时指定劫持的浏览器进程名。)

这样QQ软件用户聊天时带的所有URL链接的浏览量将都被360SE获取。

 [1] [2] 下一页
来源:( 腾讯科技 )
[410872]大江网友: 2010-11-08 18:36 发表评论:

  瑞星也不是好东西,跟着腾讯下井落石。你软件好咋没人用呢,360有后门也不是你说了算,我就不相人会这样弱智,想想自已该怎么发展吧,别一味做帮凶,这样对你一点好处都没有。


[410819]大江网友: 2010-11-08 17:45 发表评论:

  我感觉都挺好,后不后门对我没什么影响,我继续聊我的QQ,杀的我360。你两爱吵架慢慢去吵,我花了钱开了钻的。别影响我,祝你们两家吵得开心,吵得愉快


[409977]大江网友:9989987 2010-11-08 09:55 发表评论:

  瑞星也不是好东西,跟着腾讯下井落石。你软件好咋没人用呢,360有后门也不是你说了算,我就不相人会这样弱智,想想自已该怎么发展吧,别一味做帮凶,这样对你一点好处都没有。


[409921]大江网友:爱我中华 2010-11-08 09:20 发表评论:

  网上流传360的后台老板是MSN,如果属实,就不是恶意竞争那么简单了!而是中美经济大战的一部分了!!!

  QQ用着挺习惯!

  360用起来挺省心!

  如果两家合并,不但是两家企业的大幸,也是民族企业的大幸,国人的大幸!!!!


[409372]大江网友: 2010-11-06 20:30 发表评论:

  3721改成360不也还是流氓吗


[409292]大江网友: 2010-11-06 16:29 发表评论:

  qq去死吧水能载舟亦能覆舟


[408967]大江网友:匿名 2010-11-05 21:07 发表评论:

  鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网鄙视360,抵制360.卸载360.滚出互联网


[408846]大江网友:黑白记忆 2010-11-05 18:50 发表评论:

  真晕,360真是永远也改不了这流氓本质


[408764]大江网友:大幅度 2010-11-05 15:53 发表评论:

  去死吧360


[408715]大江网友:闷闷 2010-11-05 14:25 发表评论:

  身边没人喜欢360,也幸好不喜欢360


我来说两句:
[ 网友留言只代表个人观点,不代表大江网立场 ] 昵称:     
*** 大江网推荐内容 ***
-南昌路考年底视频音频监控 将实现交通违法异地罚缴
-专家在三清山未找到"虎迹" 从照片谨慎推论像金钱豹
-江西新增13个新农保试点 2011年将有450万农民参保
-印度70多人还不上贷款自杀 舆论忧“次贷危机”
-蜱虫叮咬致病元凶确定 多家单位将联合开发疫苗
-360:决定搁置争执 愿意让中国互联网恢复平静
-年轻女性怀不上孩子的妇科病 秋日洗澡养生之道
-Selina返台治疗被剃光头 任爸落泪称愿替她受罪
-孙海平:刘翔曾连谢文骏都跑不过 亚运正常跑定夺冠
-科萨:鲁能让我想起当年大连 今天我们被老布玩了
大江网版权与免责声明
1、凡本网注明“大江网讯”或“大江网”的所有作品,版权均属于大江网,未经本网授权不得转载、摘编或利用其它方式使用上述作品。已经本网授权使用作品的,应在授权范围内使用,并注明“来源:大江网”。违反上述声明者,本网将追究其相关法律责任。
2、凡本网注明“大江网讯[XXX报]”或“大江网-XXX报”的所有作品,版权均属于江西日报社,未经本网授权不得转载、摘编或利用其它方式使用上述作品。已经本网授权使用作品的,应在授权范围内使用,并注明“来源:大江网·XXX报”。违反上述声明者,本网将追究其相关法律责任。
3、凡本网注明“来源:XXX(非大江网)”的作品,均转载自其它媒体,转载目的在于传递更多信息,并不代表本网赞同其观点和对其真实性负责。本网转载其他媒体之稿件,意在为公众提供免费服务。如稿件版权单位或个人不想在本网发布,可与本网联系,本网视情况可立即将其撤除。
4、如因作品内容、版权和其它问题需要同本网联系的,请在30日内进行。
※联系方式:大江网新闻中心 电话:0791-6849735
更多图说世界
国内国际新闻排行榜
更多一周点睛

十一届全国人大常委会第十七次会议决定习近平为中华人民共和国中央军事委员会副主席……『全文

国家决定自本月26日零时起,将汽油、柴油价格每吨分别提高230元与220元,相当于90……『全文
更多历史上的今天
更多新闻语录