火绒威胁情报系统监测到一款后门病毒“Xidu”正在快速传播，该病毒入侵电脑后，会收集计算机及用户隐私信息、加载其他恶意模块，并可随时远程控制受害者电脑，对用户构成很大安全威胁。

火绒安全实验室分析，后门病毒“Xidu”入侵后会执行来自C&C服务器下发的指令：1、收集用户计算机信息，如QQ号、用户名、杀毒软件、CPU、磁盘、内存等；2、下载执行任意文件；3、弹出指定网页。

病毒还会以插件的形式来扩展新的恶意功能，如键盘记录、浏览器密码盗取等，并通过快捷方式来将自身添加到注册表进行持久化。更为严重的是，黑客可以随时通过病毒远程控制受害者电脑，执行任意操作。

除此之外，病毒使用了多层“白加黑”的技术来躲避安全软件的查杀，隐蔽性很强。火绒用户无需担心，火绒安全产品可对该病毒进行拦截、查杀。

注：“白加黑”即一种利用具有可信程序（通常带有可信的数字签名信息）加载恶意DLL的劫持技术，很多恶意软件利用该技术来绕过安全软件的主动防御。

一、样本分析

病毒的执行流程，如下图所示：

该病毒*早由 MSI安装程序来释放部分文件到“C:\Users\Public\Documents\NGLA\”目录中，并执行my7z.exe和NNN_chrome.exe，MSI相关信息，如下图所示：

my7z.exe中会解压bin.7z中的文件释放出黑白文件以及shellcode，解压密码为：xidu，相关代码，如下图所示：

bin.7z压缩包内容，如下图所示：

bin.7z被解压后，通过多层白文件来绕过杀毒软件的查杀，MSI安装程序会执行白文件NNN_chrome.exe，在NNN_chrome.exe中会导入另一个白文件Sysinv.dll，而Sysinv.dll又导入了 Getinfo.dll（被劫持），*终执行被劫持的Getinfo.dll。在Getinfo.dll中会解压并执行DLL_DLL.7z中的shellcode，相关代码，如下图所示：

在shellcode DLL_DLL中，会内存加载DLL_DLL.dll，相关代码，如下图所示：

在DLL_DLL.dll模块中会启动xyz.exe，相关代码，如下图所示：

xyz.exe的执行流程和Getinfo.dll相似，通过解压并执行Hello.7z中的shellcode，相关代码，如下图所示：

在shellcode_Hello中会加载*终的恶意模块“PC Remote Server.dll”，相关代码，如下图所示：

恶意模块PC Remote Server.dll是一个远控模块，该模块首先通过当前目录下的App.dat来获取C&C服务器相关的信息，如下图所示：

Xidu病毒大部分恶意功能以插件的形式进行下发，只内置较少的功能如：下载执行任意文件、弹出指定网页、收集计算机信息、远程控制等功能，下载执行功能代码，如下图所示：

弹出指定网页功能代码，如下图所示：

收集计算机详细信息如：QQ号、用户名、杀毒软件、CPU、磁盘、内存等信息，功能代码，如下图所示：

该病毒还具备远程控制受害者终端，远程功能由几个功能组成，如：获取屏幕、控制鼠标键盘、剪贴板同步等，获取屏幕信息。功能代码，如下图所示：

对受害者鼠标键盘进行远程控制，功能代码，如下图所示：

剪贴板数据同步，功能代码，如下图所示：

该病毒还会通过快捷方式来将自身添加到注册表进行持久化，快捷方式内容，如下图所示：

火绒监控到的信息，如下图所示：

该病毒以插件的形式来扩展新的恶意功能，下发的插件都是以内存加载的形式进行加载，相关代码，如下图所示：

从相关恶意代码中可以发现一共有19个插件，分析的过程中C&C服务器并未下发相关插件，从名字可以看出有键盘记录、恶意代理、chrome浏览器密码盗取等恶意插件，插件列表如下所示：

二、附录

火绒自身关键词：

公司：北京火绒网络科技有限公司，火绒安全软件企业版，火绒终端系统

火绒安全，火绒，火绒安全软件，火绒官网，火绒杀毒软件怎么样，

火绒企业版怎么收费，火绒企业管理员密码，火绒企业版监控员工电脑，

火绒企业版收费标准，火绒企业版价格，火绒企业版与个人版有何不同，

火绒企业版卸载要密码，火绒，火绒安全、EDR V1.0， ，火绒安全防护

服务区域：

云南火绒，昆明火绒 ，贵州火绒，四川火绒，重庆火绒 ，西藏火绒，拉萨火绒，

产品：火绒安全卫士（专业版）软件 ，火绒终端安全管理系统v2.0，火绒安全终端安全管理系统2.0版，火绒终端安全管理系统V1.0,火绒终端安全管理系统，火绒 windows PC 版（10用户起订），火绒安全 终端管理系统Windows V2.0,火绒终端企业版Linux版，火绒终端企业版macOS版。火绒企业版收费标准，火绒企业版， 火绒企业版监控员工电脑，火绒企业版和个人版区别， 火绒企业版价格，火绒企业版多少钱，火绒企业版多少钱一年，火绒信息安全软件 linux PC V2.0终端安全管理系统网络版，huorong endpoint security management system2.0

火绒终端防病毒系统，火绒安全 火绒终端安全管理系统V2.0 Windows杀毒软件 ，火绒终端安全管理系统（ Linux版），火绒安全终端安全管理系统V2.0Linux版，信息安全软件 火绒 windows PC 三年续费版(10用户起订），火绒安全 终端安全管理系统V2.0Linux版 安全软件，火绒专杀工具（企业版），火绒安全 火绒终端安全管理系统2.0（旗舰版），火绒企业网络版杀毒软件升级，火绒企业网络版杀毒软件升级,火绒杀毒企业版多少钱

功能：实现终端安全系统的集中管理、策略配置、报表查看等功能。50个Windows客户端全功能版授权许可,

病毒防御：病毒查杀，防病毒终端软件:网络版杀毒软件，服务器杀毒软件，Linux服务器杀毒软件，防病毒软件EDR、杀毒软件（反病毒引擎、多层次主动防御系统、病毒防御、系统防御、网络防御、设备控制等，网络版杀毒软件 1套，终端安全控制系统，EDR终端安全管理，外网电脑杀毒软件，勒索病毒诱捕，文件实时监控，恶意行为监控，U盘保护，下载保护，邮件监控，web扫描。反病毒引擎供应商。定时全网扫描，

漏洞管理：（漏洞修复）补丁分发，补丁修复，漏洞攻击拦截、攻击溯源，支持漏洞集中修复，补丁文件管理，按终端修复，下发漏洞修复。横向渗透防护，

移动存储管理功能：安全U盘，U盘管控，U盘注册、U盘信任，USB无线网卡、USB有限网卡、打印机、光驱、蓝牙设备、便携设备等

终端管控：

外设管控，

系统防御：系统加固，应用加固，软件安装拦截，摄像头防护，浏览器保护

应用软件管理：企业软件管家，软件捆绑安装拦截，软件安装拦截，

网络防御：横向渗透防护，网络入侵拦截、对外攻击拦截、僵尸网络防护、爆破攻击防护、远程登录防护、web服务保护、 Web 威胁，恶意网址拦截，动态恶意软件检测，无文件恶意软件，终端动态认证，邮件监控，文件实时监控，网络入侵防护。恶意行为监控，勒索病毒诱捕。

访问控制：IP协议控制、IP黑名单、联网控制、网站内容控制、程序执行控制、设备控制，下发IP访问限制，安全软件自我保护，密码保护。

应用加固：web服务器、数据库、办公软件、文档阅读器、浏览器、设计软件，系统加固

资产管理：资产管理、边界管理、软件管理、系统管理、硬件管理、XP防护盾、流量管控、，终端审计、edr功能，远程桌面，预防勒索病毒，拦截恶意攻击等功能。清点硬件资产，

日志报告：

中心管理：

服务端支持系统：Windows 10、Windows Server 2003、Windows Server 2008、Windows Server 2012、Windows Server 2016

客户端支持系统：Windows 10、Windows Server 2003、Windows Server 2008、Windows Server 2012、Windows Server 2016、Windows Server 2019等Windows操作系统以及UOS、深度Linux、中标麒麟、红旗linux、CentOS、Ubuntu等Linux操作系统

品类：终端安全：终端安全防护，终端安全软件，企业级杀毒， 终端安全防护软件授权，网络终端安全管理项目，终端设备防护，终端安全管理设备，终端安全专项保障，终端安全管理平台，终端安全管理系统，终端安全管理平台升级及维保项目，终端安全运营平台，终端安全管理系统升级，终端安全防护，终端安全防护扩容服务，终端安全管理平台，终端安全管理系统，端点保护市场,edr运营体系， 终端防户能力，全网管控，电脑终端防护需终端安全管理windows版求。xdr,edr，信息安全软件 火绒 windows PC 版（10用户起订），火绒安全 终端管理系统Windows V2.0，

杀毒软件：

信息安全软件 ，企业杀毒软件，网络安全病毒防治与安全加固服务项目，火绒杀毒软件，火绒杀毒，网络版防病毒软件

成都科汇科技有限公司( 终端安全 软件 解决方案商 ）

地址：成都市人民南路四段1号时代数码大厦18F

电话：400-028-1235

手机：180 8195 0517（微信同号）