1、 概述
这个病毒被封装在GHOST系统盘，通过电脑装机、重装系统等途径传播，并且自带驱动对抗杀软，隐藏自身目录防止被查杀。该病毒通过配置文件劫持指定浏览器和主页，并且可通过云端链接升级，十分灵活。
2、 样本简介
该病毒保存在C:\Program Files\bwlock下，整个bwlock目录被驱动drinst.sys保护，防止杀软扫描，同时病毒主程序bwlock.exe开机自启动，主要功能是根据配置文件锁定浏览器主页。SafeProtect.dll被驱动注入杀软和浏览器进程用于自保护和主页劫持。
图1、GHOST盘中病毒目录下的文件
图2、病毒功能大致流程图
3.1 bwlock.exe行为分析
bwlock.exe是病毒主程序，主要功能是根据配置文件篡改指定浏览器快捷方式参数和注册表主页设置，以及升级驱动和dll模块。
1、获取主页地址 访问www. *****.com/kzr/zhu/2015.htm获得要锁定的主页地址，其中Indexurl为要锁定的主页，Driverurl为保存到本地的网页文件，用于重定向到Indexurl。如下图：
图3、主页配置
2、篡改浏览器lnk参数和注册表主页设置
读取配置文件C:\Program Files\bwlock\llq.ini，修改浏览器主页。配置文件升级地址为www.*****.com/kzr/llq/20150101/xpllq_32.htm 。配置文件内容如下：
图4、浏览器主页劫持配置文件部分内容
修改主页时，根据配置文件，对“[要修改的浏览器]”，修改其桌面和任务栏lnk参数为C:\Windows\index.htm；对“[whitelist]”不进行修改；对“[要删除的浏览器]”，删除其桌面和任务栏lnk。 根据配置文件中[项名]、[键名]、[键值]的信息来控制驱动修改注册表中的主页设置，如下图：
图5、修改注册表主页设置
3、云端升级驱动和DLL模块 通过访问www.*****.com/kzr/DriverUpdate/UpDateConfig.txt进行模块升级；更新驱动文件和dll模块。
图6、云端升级配置信息
1、DriverEntry行为首先检查驱动同目录下是否存在bwlock.exe并且检查特征码判断是否为自身的文件；如果存在并通过验证，则hookSSDT和NTFS派发函数，对自身进行过滤保护。驱动通过接收bwlock.exe的控制码来设置bwlock.exe的启动项，确保长期驻留系统。DriverEntry代码如下：
图9、白名单进程过滤
图11、注入dll到指定进程
图12、通过插入APC远程加载dll
图16、PsLookupProcessByProcessId拦截代码
1、劫持命令行参数 如果是kxetray.exe，则hook 系统API函数CreateProcessA/W；在钩子函数中修改命令行参数为之前解密的主页路径。 如果是其他进程，则生成命令行”EXEPATH”C:\Windows\index.htm（EXEPATH为当前进程全路径），hook 系统API函数GetCommandLineA/W，修改函数开头第2字节处的DWORD值为命令行的地址，使得进程读取命令行时得到设置好的主页路径。
hook系统API函数LoadLibraryA/W，在钩子函数中匹配加载dll路径，如果包含下图中字串则直接返回，防止浏览器加载安全软件的主页保护模块。
图18、hookLoadLibraryA/W过滤杀软模块
根据以上分析，该病毒通过修改浏览器快捷方式参数、劫持命令行参数、篡改注册表主页设置来劫持主页；并通过驱动HOOK来对抗杀软和保护自身；由于该病毒通过GHOST系统盘传播，在新安装或者重装系统时尽量使用正版操作系统，不要从网上下载GHOST盘安装，并且一定要第一时间安装安全软件，防止系统被不法分子安装病毒木马，沦为其牟取非法利益的工具。
注：本文转载自网络，个人觉得不错，分享给各位技术员同行。
