摘要
近期一款名為「人生在世」的木馬家族異常活躍，它隱藏在「小馬激活」、「種子搜索神器迅雷雲播版」、「寶寶CF刷槍軟體」、「遊戲啟動器」等軟體中，具有較強的免殺能力和大規模傳播能力，目前國內僅360安全衛士能夠識別查殺該木馬家族。
「人生在世」木馬的主要特點是純shellcode類雲端控制，木馬的雲控代碼藏在幾張美女圖片中，圖片和代碼以「人生在世」這四個字作為「接頭暗號」。
此外，該木馬組裝了「貝殼ARP防火牆」和「ADSafe」的兩個程序，通過白利用方式（針對合法軟體的DLL劫持）加載木馬執行，並採用文件回寫、驅動保護、遠程注入等多個方式隱藏自身。木馬激活後會接受雲端控制，向受害者電腦安裝大量軟體賺取推廣費，還會收集受害者信息，從而進一步推送更多惡意程序。
木馬分析
以「小馬激活」工具被捆綁的木馬樣本為例分析：
0x00 逝去的小馬激活
小馬激活工具官方公告：
網頁置頂聲明：
雖然小馬激活工具已經發了公告和聲明，但怎奈網上浩如煙海的搜索結果真假難辨。這也就給了居心不良者以可乘之機。
偽造的小馬激活MD5為：b85507eaf961dae7216b32a99d5ea9dd
所謂的「小馬激活OEM9」模仿得很真實，不僅圖標和真的一樣，界面也非常具有迷惑性。並帶有Shenzhen WangTengda Technology Co., Ltd.籤發的數字籤名，用以躲避部分安全軟體的查殺。
0x01 雲控ShellCode
用戶一旦上當，點擊「一鍵永久激活Windows和Office」按鈕後，木馬程序便會啟動，訪問網絡配置文件。地址如下：
hxxp://so.lyehk.com/yan.txt
hxxp://so.lyehk.com/so.txt
通過讀取在線配置文件，得到一個「圖片」文件的網址：
如圖，目前配置文件為：
hxxp://cdn.pcbeta.attachment.inimc.com/data/attachment/forum/201505/20/142734eg5yntyabgf6yln6.jpg
而下載回來的jpg文件雙擊後可以正常打開，看起來只是個普通的圖片而已（妹子身材不錯……）
但實際上圖片代碼中有大量的病毒代碼。木馬主程序會將該「圖片」寫入到以下路徑：
C:Program FilesCommon Filesaaa
完成後，木馬主程序會從偽造的圖片文件中，搜索「人生在世」的字符串。「人生在世」字符串之後的數據，即是一個完整的PE文件。
0x02 加載ShellCode
將後面的PE文件解出來，實際上是一個dll文件，該dll文件僅有要給導出函數：「a123」
Dll文件MD5：F3546FDE0E5E87F1176BA40790F6CCDE
雖然是個dll文件，但實際上木馬主體並沒有把dll落成磁碟文件，而是直接在內存中加載函數並執行。
該函數會向%ProgramFiles%路徑下釋放ADSafe.exe和beikecmm.dll，並啟動ADSafe.exe
被釋放文件MD5分別為：
ADSafe.exe : cb4eabb88e154e6e13b73ef7f6d4f6de
beikecmm.dll : c05ea3bcd40acc001370c1ad02c01985
其中ADSafe.exe帶有有效的數字籤名：Beike Internet Security Technology Co.,Ltd
由於沒有做足夠的安全校驗，ADSafe.exe會直接去動態加載同目錄下的beikecmm.dll，這樣在加載的同時，dll文件的DllMain函數即被執行
0x03 ShellCode * 3
ShellCode Dll執行後，會從自身的資源中再解壓出一段ShellCode，加載到內存中執行。
而內存中的執行代碼則如法炮製，去訪問另一份在線配置文件，下載偽裝的圖片文件
hxxp://so.lyehk.com/kan.txt
hxxp://cdn.pcbeta.attachment.inimc.com/data/attachment/forum/201505/20/151014y100odo0u5lk0atu.jpg
圖片如下：
當然，接頭暗號依然是——「人生在世」。
解出來的dll文件MD5為：48f025d14a689e58c1550dfed9cc47ed
同樣是不落成文件，而是第三次直接加載在內存中執行。
0x04 偽裝術
此時，加載了三重ShellCode的木馬程序會向真的ADSafe安裝程序目錄中釋放真的ADSafe主程序和一個adsCore.dll的dll劫持文件，用以迷惑用戶。並將其添加至啟動項：
偽裝正常程序的木馬程序：
木馬通過「正常」位置釋放「正常軟體」並註冊開機啟動項的方式，實現開機自啟動。啟動後，注入系統進程，隱藏自身工作模塊，繞開常規殺毒軟體的檢測。
0x05 作惡
之後，該程序通過網盤下載東方輸入法、QQ瀏覽器、金山毒霸、百度殺毒、百度衛士、百度瀏覽器、火絨在內的大批推廣軟體，並將安裝結果打點回傳。
木馬在下次開機啟動後，加載起來的木馬驅動，用來結束殺軟進程：
木馬查殺
木馬在與殺毒軟體的對抗中，變得越來越隱蔽，「人生在世」木馬就是一個典型。從功能角度來說，「人生在世」大量使用雲控結合shellcode的形式，成為真正的「雲」木馬，木馬落到本地的僅僅是一個loader（引導器）模塊，只負責在受害者電腦中活下來，並等待雲控shellcode下發，功能代碼均由雲端直接發布，具有無需升級、實時更新的能力。
目前國內僅360殺毒和安全衛士能夠全面查殺「人生在世」木馬及其變種，國內其它殺毒產品對這一家族木馬尚無法識別和防禦。
根據VirusTotal掃描結果顯示，捆綁木馬包目前只有7款殺毒引擎能夠識別，國內只有360入圍：
木馬工作模塊更是只有5款殺毒軟體能夠檢出：
360安全衛士可攔截並查殺「人生在世」木馬：
如果發現電腦莫名其妙多出一些陌生軟體，可以安裝360安全衛士進行快速掃描，檢測電腦是否感染了「人生在世」木馬。同時建議網友們選擇靠譜渠道下載軟體，避免使用來源可疑的外掛和破解軟體。