Smartoffice等办公类软件违规推装页游分析

作者：佚名
时间：2018-03-22

近日，腾讯电脑管家发现Smartoffice等多款办公类软件在用户机器上违规推装页游等多个应用，给用户带来不小困扰。对该批软件进行分析后，发现其通过灵活多变的云控方式控制版本发布插件和脚本，在用户机器上执行推装代码，行为非常隐蔽。此外，该批软件使用的云控下发代码方式也存在潜在风险，一旦开发部门管控不严遭黑客入侵，便极易被篡改云端代码进而下发任意恶意代码到用户机器。

从某软件中心下载平台可看到，Smartoffice下载量高达490万次：

（图1：某软件中心下载平台）

（图2：用户电脑被莫名安装页游）

0x2 Smartoffice软件模块分析

从该软件中心下载Smartoffice，逐一排查软件模块分析后可知，该软件通过com劫持的方法将软件目录中的smartoff.dll注入到系统Explorer进程中，每次开机启动时，被注入smartoff.dll模块的Explorer将以命令行smartup拉起软件目录中的SmarLive.exe进程。

（图3：Smartoffice软件目录结构）

（图4：命令行拉起的SmartLive.exe进程）

SmartLive.exe模块是一个主装载模块，该模块需以命令行smartup启动，否则不执行后续代码直接退出，随后创建一个名为__SmartSouresup_Mutex__的互斥量和一个主要的工作线程，软件所有云控行为也从这个线程开始执行：

（图5：启动条件）

（图6：主要工作线程）

线程内首先获取自身目录路径，再拼接外部文件名组成一个外部加密文件的全路径，该路径文件是主装载模块同目录结构下的smoUplive.cache文件。主装载模块读取该文件后，在内存中使用des算法解密，最后展开得到一个PE文件。

（图7：加密的外部文件路径）

（图8：内存中解密的PE）

经过内存Dump该PE后可看出，是一个静态引用了Lua5.3.4版本引擎的DLL，主装载模块通过遍历导出函数，获取解密云端Lua脚本，执行Lua脚本。

（图9：内嵌lua5.3.4引擎）

（图10：拉取执行Lua脚本功能导出函数）

调试该DLL可发现其Lua脚本通过云端地址：

hxxp://config.wddma.com/src/smartds.html获取，读取html页内加密的Lua脚本文件后，在内存中同样使用DES算法解密运行，通过Dump下解密后的的Lua脚本内容可看出脚本通过函数IsNoBzArea()判断是否为北京、上海、广州、深圳、珠海的IP，当用户IP来自以上区域时，则直接退出脚本。也就是说，北上广深、珠海等地的IP用户不会出现弹框推装等行为，幕后操作者以此在地域上躲避大多数安全公司的监控。

（图11：内存中解密的Lua脚本）

（图12：关闭UAC云端拉取插件函数）

（图13：主页篡改功能函数）

（图14：地区过滤判断函数，排除北上广深、珠海等“炮轰”区域）

（图15：多重条件过滤推装代码片段）

进一步观察Dump模块C++与Lua脚本的交互接口函数，可发现其功能十分丰富，接口功能主要有内存操作、注册表操作、js相关命令解析执行、AdbShell操作等功能......通过这些接口可知该软件不仅可实现对用户PC进行弹框、推装、主页篡改等行为，还具备通过AdbShell对连接PC的移动设备实现进一步推装的能力，以下为该模块实现的Lua接口。

（图16：软件预留的Lua接口函数）

0x3 同源性分析

Smartoffice使用签名为重庆熙禧科技中心，经腾讯御见威胁情报中心查询，该签名可关联到一款名为“易压缩”的解压软件，通过“易压缩”软件官网域名可关联到数十个其它网站，部分站点涉及桌面便签、压缩、办公、阅读等软件类型。排查后发现“乐享桌面便签”，“易压缩”同样存在内存解密云控相关的代码模块，并且其代码相似度极高，可确认为同一组织编写。