海尔冰箱bcd1228w（海尔冰箱bcd258）

近年来，国内各大网站逐渐升级为http加密连接、甚至是全站http，以防止网站被篡改劫持、用户数据被监听等，在很大程度上提升了网站的安全性。但是一向被认为"安全可靠"的http安全传输协议也不是万能的，如果在客户端出现木马，也可被轻易劫持！

近期360互联网安全中心监测到一款专门劫持http的木马又开始活跃，在2017年，360互联网安全中心曾曝光过该病毒团伙，之后该团伙有所收敛，最近他们重出江湖，又开始大肆传播；来自360网络安全研究院的数据显示，http劫匪木马主要用于劫持控制的域名之一(erhaojie.com)的网络访问请求，近日顶峰单日超过190万次。

传播：

传播方式主要通过"小电影"网站，以及广告位诱导用户安装：

劫持木马安装过程和之前版本没有太大区别，在此不再赘述。

《"移花接木"偷换广告：http劫匪木马每天打劫200万次网络访问》（http://www.freebuf.com/articles/system/144490.html）

危害：

劫持多达48个主流站点：

木马更新了导入其签发的证书，新增了15个域名，签发域名达到48个：

导入的证书及证书信息截图

符合域名规则的js文件请求，在js文件的尾部都会被插入用于劫持的js文件： hxxp://ssl.erhaojie.com/ssl/ba.js

Kangle Web后台看到的回应控制配置的劫持信息

劫持客户端新闻弹窗：

由于近年来软件弹mini新闻窗的风靡，软件作者也是新增了对mini窗页面的劫持，多个软件的mini窗均被劫持到带其推广ID的东方头条mini页面(http://mini.eastday.com/?qid=shxg, http://hot.eastday.com/mini065)

劫持mini页部分代码片断

微博账号刷粉：

此次木马还增加了微博账号自动加粉的功能，如果检测到用户电脑有登录微博则会对其内置的两个微博帐号进行自动点击添加关注：这两个微博粉丝均已超过7000个(其中一个帐号只发了4条微博)，对比发现两个微博的粉丝基本相似，关注方式也基本一致；也能从侧面印证这两个微博帐号很大可能都是被通过这种方式添加的粉丝。

(一分钟看点)weibo.com/p/1005056585391017

(加V 看点新闻图)weibo.com/p/1005051729979622

劫持京东网页二维码：

将京东购物网站中，原本扫描安装京东客户端的二维码篡改为安装其推广软件！

劫持替换京东app的二维护码代码片断及截图

除上面介绍的两个恶意功能外，木马还能够：

1. 访问购物、导航、搜索等网站时，自动跳转带有作者推广号的网址。

2. 对访问的网站插入浮窗广告。

3. 替换掉原来网页中的广告内容。

4. 在搜索引擎的结果中插入广告。

由于这个恶意软件本身劫持功能做的不够精细，还会造成用户在访问网络时出现各种故障，比如：腾讯游戏的相关网站被劫持后，验证码输入窗口被跳转到东方头条网站，导致用户无法正常登录WeGame,如下图所示：

幕后作者：

分析过程中，我们发现这又是一起公司形式制作恶意软件的案例。

通过该劫持木马所用到的两个主要云控域名的备案信息及Whois信息，我们查出注册者为li**qun，邮箱为(30****28@qq.com) 公司为：深圳市**信息科技有限公司

备案信息显示，域名属于深圳某公司：

网站备案信息以及公司股权控制图

通过支付宝姓名验证也确认该邮箱对应的真实姓名为李*群

从搜索引擎搜索该QQ，也能看一些早年作者曾经发过网站备案相关的帖子以及制作过小电影网站的一些信息：

所有相关信息都指向同一主体:姓名(李*群)、及其公司：深圳市**信息科技有限公司、深圳****国际文化传播有限公司、手机1(158******69)、手机2(186******47)、QQ（30****28）、邮箱1(30****28@qq.com)、邮箱2(41*****84@qq.com)；360互联网安全中心已将相关信息提交主管部门。

结语：

http的普及，很大程度上提升了网站的安全性，但http并不是万能的，也存在多种劫持和攻击的手段。近期更是有多款木马开始讲攻击目标锁定在http的站点上。现在绝大部分登录认证，支付过程等涉及用户敏感信息的操作均已经全部使用http的连接解决，针对http的劫持攻击，对用户的威胁也更大。用户和厂商也应格外注意此类型攻击。

对于此类木马，只要正常开启360安全卫士，遇到安全软件报警提示木马病毒的情况，不要冒险添加信任运行，就可以拦截此类木马攻击。