福建
一、事件概述
近期火绒安全实验室收到用户反馈：恶意程序滥用带有360数字签名的漏洞驱动程序，强制终止火绒等终端安全软件防护进程，进而绕过终端安全体系。该攻击借助合法签名提升隐蔽性，对终端安全防护存在明确威胁。
用户反馈
目前，火绒安全产品已经实现对该行为的拦截与查杀。
查杀图
二、攻击流程
1、运行样本，点击安装中文简体语言包.exe；
2、其运行后会向TMP目录释放两个文件，分别是用于漏洞利用的驱动文件 dsark64.sys，以及带有360数字签名的可执行程序LiveUpdate360.exe；
3、加载驱动并创建进程，通过父进程注入Shellcode至带360签名的LiveUpdate360.exe，借助该程序打开目标驱动获取句柄并复制到自身进程，利用360漏洞驱动实现杀软终止；
4、创建镜像劫持，禁止安全软件程序正常加载启动，实现长期绕过防护的效果。
三、风险与危害
1、终端防护失效：安全软件进程被强制终止、启动被劫持后，系统将失去病毒查杀、入侵拦截、行为防护等全部安全能力，极易被后续植入木马、勒索病毒、挖矿程序等恶意代码，引发数据泄露、文件加密、系统被控等严重后果。
2、隐蔽性强：攻击全程依托带有正规厂商数字签名的驱动和程序发起，可轻易绕过常规检测机制，普通用户难以提前发现风险。
3、深层威胁：漏洞驱动被恶意滥用后除终止部分安全防护软件外，还可被用于篡改系统核心配置、窃取底层数据，对系统稳定性与数据安全构成深层次威胁。
四、火绒安全提醒
1、及时将火绒等安全防护软件升级至最新版本，保持病毒库与防护规则实时更新，获取完整的攻击防护能力；
2、保持火绒防护中心功能处于启用状态，强化系统关键位置的安全防护；
3、提高安全警惕，切勿运行来源不明的程序，谨慎下载非官方渠道的文件；
4、若发现安全软件异常退出、无法正常启动等情况，请立即执行全盘病毒扫描，排查系统驱动列表与注册表镜像劫持项是否存在异常，必要时可联系火绒官方客服协助处理。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
