远离GHOST系统 小心“苏拉克”木马

刚重装的系统就中毒了，这是很多网友常常遇到的事，这很可能是你安装的系统自带了木马。

“苏拉克”木马是2015下半年来持续爆发的木马，该木马感染了大量的计算机，其主要传播释放是直接在ghost镜像中植入木马，然后将ghost镜像上传到大量网站提供给用户下载，此外，近期也发现该木马的win8、win10版本通过oem激活工具植入用户电脑中。由于该木马的主要模块名为“surak.sys”，且通过分析得知该木马的项目名称即为“surak”，因此将其取名“苏拉克”木马。

网民常用的ghost系统下载网站中大量ghost系统已被“苏拉克”木马污染。此类网站投入了大量推广费，普通用户通过搜索引擎找到的前10个系统下载站几乎全是带木马的， 涵盖山寨的“雨林木风”、“深度技术”、“电脑公司”、“萝卜家园”、“番茄花园”等常见的GHOST系统。

“苏拉克”木马的功能主要分为4大模块，即内核Rootkit模块、应用层主体模块、应用层加载器模块、应用层上报模块。模块分工明确，可扩充性强，配置灵活，且所有的通讯都使用高强度加密算法加密(AES & RSA)，该木马有xp版、win7版、win8版、win10版，除xp版外其它版本又分为32位版本和64位版本，每个版本功能基本一致，以下以xp版本为例进行分析，其它版本行为类似。

通过各个模块分工协作，该木马完成了主页锁定、云端控制、插件下载、对抗安全软件等功能。

“苏拉克”木马特点：

1、传播渠道隐蔽，由于该木马被直接植入到ghost镜像中，用户一安装系统就自带该木马，而此时尚未安装任何安全软件，因此木马的传播过程完全不在监控中。

2、影响用户多，由于大量网站传播该类ghost镜像，且此类网站投入了大量推广费进行推广，普通用户通过搜索引擎找到的镜像下载站几乎全是带木马的。此类镜像涵盖了“雨林木风”、“深度技术”、“电脑公司”、“萝卜家园”、“番茄花园”等主流ghost。

3、难以清除，由于木马进入系统时间比安全软件早，掌握了主动权，对其后安装的安全软件做了大量的功能限制，使其大量功能无法正常使用，如安全防护无法开启、信任列表被恶意操作等，导致难以检测和清除木马。

4、对用户电脑安全威胁大，“苏拉克”木马除了锁定浏览器主页获利外，还会实时连接云端获取指令，能够下载其它木马到本地执行，给系统安全造成了极大的威胁。此外，针对64位系统，该木马还会修改系统内核文件，使得64位系统自带的驱动签名校验、内核防钩子等安全机制全部失效。