电信天翼客户端携带病毒疯狂“挖矿“ 多款软件携带同样病毒代码

电信天翼客户端携带病毒疯狂“挖矿“ 多款软件携带同样病毒代码

日前，火绒安全实验室发布预警称，中国电信校园门户【】提供下载的“天翼校园客户端”携带后门病毒“/”。 该病毒可以随时接收远程命令，并利用受感染的计算机来增加广告流量并“挖掘”。 “挖矿”（生产“门罗币”），将这些校园用户的电脑变成供其盈利的“肉鸡”。

“天翼校园客户端”拥有庞大的用户群，所有从中国电信校园门户【】下载“天翼校园客户端”的用户都可能被感染。 最新版本的“安全软件”可以检测并查杀该病毒。

通过“威胁情报系统”追踪病毒代码可以发现，“网通快车”、“一字节恢复”、中国电信的农历等软件也携带相同的病毒代码。 该病毒代码的同源代码也曾出现在火绒此前发布的病毒报告中（火绒官网：“恶性病毒“攻破”安全厂商白名单”）。

据火绒安全团队分析，病毒感染计算机后，会造成广告流量和挖矿两大危害。 首先，病毒会创建一个隐藏的IE浏览器窗口，模拟用户操作鼠标和键盘来点击广告。 由于病毒屏蔽了广告页面的声音，用户很难发现自己被劫持了。 其次，病毒会利用受害者的电脑来挖掘“门罗币”。 病毒挖矿时会占用大量CPU资源。 结果，电脑会变慢并发热，用户可以听到电脑风扇高速运转所产生的噪音。

火绒安全团队表示，该病毒下载了大约400个广告链接。 由于广告页面被病毒隐藏，无法显示在用户电脑上，广告商白白增加了流量成本。 受该病毒点击欺诈影响的广告商包括腾讯、百度、搜狗、淘宝、IT168、风行网等。

令人震惊的是，安全厂商普遍认为大型互联网公司签名的程序是安全的，病毒利用这一点通过安全软件的“白名单”信任机制来逃避检测和查杀。

火绒安全团队追查技术来源后发现，这些病毒代码虽然同源性极高，但属于不同厂家。 这些程序已经在互联网上活跃了很长时间。 天翼客户端两年前（2015年12月）就携带病毒。 后门代码， 的安装包早在2014年就带有该后门代码。

目前，最新版本的“安全软件”可以检测并查杀该病毒。 火绒安全工程师建议电信园区用户删除“天翼校园客户端”安装目录下的.dll文件。 他们还呼吁上述携带病毒的软件提供商迅速解决问题。 火绒安全团队可以提供支持。