kuzzle病毒是什么? kuzzle病毒清除及预防教程

就在近日一个威胁广大用户朋友的病毒再次来袭,但是许多朋友都还不知道kuzzle病毒是什么,kuzzle病毒其实是一款会让电脑直接死机的病毒,用户朋友们也不需要担心,一起来看看kuzzle病毒清除及预防方法吧。

一、概述

近日，火绒安全团队截获恶性病毒"Kuzzle"，该病毒感染电脑后会劫持浏览器首页牟利，同时接受病毒作者的远程指令进行其他破坏活动。"Kuzzle"拥有非常高的技术水平，采用多种手段躲避安全软件的查杀，甚至盗用知名安全厂商的产品数字签名，利用安全软件的"白名单"的信任机制来躲避查杀。更严重的是，用户即使重装系统也难以清除该病毒，使用户电脑长期处于被犯罪团伙的控制之下。

据火绒安全团队分析，"Kuzzle"通过下载站的高速下载器推广传播，下载器会默认下载携带病毒的"云记事本"程序。电脑感染病毒后，浏览器首页会被劫持，谷歌、火狐、360等多款主流浏览器都会被修改为hao123导航站。

火绒安全团队通过技术溯源发现，"Kuzzle"采用多种技术手段躲避安全软件的查杀，其中就包括盗用知名安全厂商北信源公司的数字签名。当安全软件检测到该数字签名时，会将其误认为是北信源产品，自动放过病毒，不进行查杀。由于现在行业内的安全软件大多过度倚重白名单技术，病毒通过"盗用文件签名"，即可将攻破这些安全软件的信任漏洞，轻松攻入电脑。

"Kuzzle"通过篡改电脑系统中的主引导记录（MBR）和卷引导记录（VBR），在不修复主引导区情况下，用户即使重装系统也无法根除。火绒工程师表示，近几年，通过MBR、VBR感染进行深度技术对抗的病毒和流氓软件逐渐增多，流氓软件已完全病毒化，越来越多的使用病毒技术，其手段强劲、性质恶劣，对用户的危害甚至超过传统病毒。

目前，"火绒安全软件"已升级病毒库，率先拦截、查杀"Kuzzle"病毒。对于已经感染该病毒的非火绒用户，可以下载使用"火绒专杀工具"彻底查杀该病毒。

二、"Kuzzle"通过下载器感染用户计算机MBR和VBR

Bootkit病毒"Kuzzle"伪装成正规软件"云记事本"，利用国内几大知名下载站的高速下载器进行推广传播。"Kuzzle"使用两个有效数字签名应用和驱动程序，利用"白名单信任漏洞"躲避安全软件防御，加载病毒代码。"Kuzzle"病毒作者利用两个有效签名制作了"Kuzzle"病毒的加载模块。被利用的两个有效数字签名分别是"Beijing VRV Software Corporation Limited."和"南京鸿思信息技术有限公司"。

通过分析我们认为，这两个有效签名的程序并不是传统的"白文件利用"。而且我们怀疑北信源的有效数字签名被黑客窃取或通过其它方式泄露，具体论证详见下文分析。

在病毒分析过程中，我们发现该病毒有很强的隐蔽性，除签名程序的版权信息伪装和正常程序无异，病毒作者甚至还模拟了正常软件应有的功能、并将恶意代码暗藏其中，如果不是详细分析很难察觉签名模块中包含的病毒功能。

"云记事本"利用有效数字签名的程序，内存加载病毒下载器和病毒安装器的攻击流程是通用的，病毒作者可以通过调整云控代码，下发任意功能模块到用户电脑执行任意恶意行为。目前我们看到的是通过云控代码，感染用户计算机的MBR和VBR，主要行为是篡改浏览器主页、劫持导航网站到"https://www.hao123.com/?tn=9******1_hao_pg"。

"Kuzzle"的"Bootkit"模块感染模块兼容XP、Win7、Win10等主流操作系统，通过感染计算机MBR和VBR驻留在用户系统中，还通过Hook磁盘读写钩子对抗杀软查杀。另外，即使用户察觉浏览器异常，重装系统也无法彻底清除"Kuzzle"。

"Kuzzle"隐蔽性比之前的被曝光的"暗云"和"异鬼"等Bootkit更强，病毒用到的全部数据文件都加密存放在用户硬盘，只有在病毒运行时才会在内存解密后加载，整个攻击流程病毒文件全程不落地。火绒安全实验室发现近期感染MBR、VBR技术病毒和流氓软件呈逐渐增多的趋势，而且下载站已经成为流氓软件和病毒的重要传播渠道。

"Kuzzle"病毒完整的攻击流程如下图所示：

一、概述

近日，火绒安全团队截获恶性病毒"Kuzzle"，该病毒感染电脑后会劫持浏览器首页牟利，同时接受病毒作者的远程指令进行其他破坏活动。"Kuzzle"拥有非常高的技术水平，采用多种手段躲避安全软件的查杀，甚至盗用知名安全厂商的产品数字签名，利用安全软件的"白名单"的信任机制来躲避查杀。更严重的是，用户即使重装系统也难以清除该病毒，使用户电脑长期处于被犯罪团伙的控制之下。

据火绒安全团队分析，"Kuzzle"通过下载站的高速下载器推广传播，下载器会默认下载携带病毒的"云记事本"程序。电脑感染病毒后，浏览器首页会被劫持，谷歌、火狐、360等多款主流浏览器都会被修改为hao123导航站。

火绒安全团队通过技术溯源发现，"Kuzzle"采用多种技术手段躲避安全软件的查杀，其中就包括盗用知名安全厂商北信源公司的数字签名。当安全软件检测到该数字签名时，会将其误认为是北信源产品，自动放过病毒，不进行查杀。由于现在行业内的安全软件大多过度倚重白名单技术，病毒通过"盗用文件签名"，即可将攻破这些安全软件的信任漏洞，轻松攻入电脑。

"Kuzzle"通过篡改电脑系统中的主引导记录（MBR）和卷引导记录（VBR），在不修复主引导区情况下，用户即使重装系统也无法根除。火绒工程师表示，近几年，通过MBR、VBR感染进行深度技术对抗的病毒和流氓软件逐渐增多，流氓软件已完全病毒化，越来越多的使用病毒技术，其手段强劲、性质恶劣，对用户的危害甚至超过传统病毒。

目前，"火绒安全软件"已升级病毒库，率先拦截、查杀"Kuzzle"病毒。对于已经感染该病毒的非火绒用户，可以下载使用"火绒专杀工具"彻底查杀该病毒。

二、"Kuzzle"通过下载器感染用户计算机MBR和VBR

Bootkit病毒"Kuzzle"伪装成正规软件"云记事本"，利用国内几大知名下载站的高速下载器进行推广传播。"Kuzzle"使用两个有效数字签名应用和驱动程序，利用"白名单信任漏洞"躲避安全软件防御，加载病毒代码。"Kuzzle"病毒作者利用两个有效签名制作了"Kuzzle"病毒的加载模块。被利用的两个有效数字签名分别是"Beijing VRV Software Corporation Limited."和"南京鸿思信息技术有限公司"。

通过分析我们认为，这两个有效签名的程序并不是传统的"白文件利用"。而且我们怀疑北信源的有效数字签名被黑客窃取或通过其它方式泄露，具体论证详见下文分析。

在病毒分析过程中，我们发现该病毒有很强的隐蔽性，除签名程序的版权信息伪装和正常程序无异，病毒作者甚至还模拟了正常软件应有的功能、并将恶意代码暗藏其中，如果不是详细分析很难察觉签名模块中包含的病毒功能。

"云记事本"利用有效数字签名的程序，内存加载病毒下载器和病毒安装器的攻击流程是通用的，病毒作者可以通过调整云控代码，下发任意功能模块到用户电脑执行任意恶意行为。目前我们看到的是通过云控代码，感染用户计算机的MBR和VBR，主要行为是篡改浏览器主页、劫持导航网站到"https://www.hao123.com/?tn=9******1_hao_pg"。

"Kuzzle"的"Bootkit"模块感染模块兼容XP、Win7、Win10等主流操作系统，通过感染计算机MBR和VBR驻留在用户系统中，还通过Hook磁盘读写钩子对抗杀软查杀。另外，即使用户察觉浏览器异常，重装系统也无法彻底清除"Kuzzle"。

"Kuzzle"隐蔽性比之前的被曝光的"暗云"和"异鬼"等Bootkit更强，病毒用到的全部数据文件都加密存放在用户硬盘，只有在病毒运行时才会在内存解密后加载，整个攻击流程病毒文件全程不落地。火绒安全实验室发现近期感染MBR、VBR技术病毒和流氓软件呈逐渐增多的趋势，而且下载站已经成为流氓软件和病毒的重要传播渠道。

"Kuzzle"病毒完整的攻击流程如下图所示：

△"Kuzzle"病毒的攻击流程

1.通过下载器推广"Kuzzle"

火绒安全实验室发现，某款"高速下载器"推广程序中包含恶性Bootkit病毒"Kuzzle"。该病毒"伪装"成名为"云记事本"的正常应用。为了达到欺骗效果，安装后的"云记事本"还提供文本编辑功能，如果用户直接启动"云记事本"安装程序，则不会下载执行病毒代码。

△下载器推广病毒"云记事本"