诱骗安装又出新剧本搜索竞价“空手套白狼”

近日，腾讯遇见威胁情报中心检测到大量流氓软件下载者每天感染近万台电脑，且呈持续上升趋势。软件流氓推送、恶意炸弹广告的行为早已是网民的公愤。一些流氓软件推广者精心设计了作弊安装界面，将难以发现的默认复选标记隐藏在推荐软件的星级中；通过在搜索引擎中宣传假冒的常用工具和软件来推广下载者。

这些推广方式成本极低，可谓“空手套白狼”:极低成本的开发，极低成本的作弊页，只需要购买廉价的搜索广告。

这种下载器工具在大多数场景下会给用户带来很多不必要的软件安装。同时会篡改浏览器首页，通过添加、劫持电商网站的计费ID来获取收益。一些下载者还会借机传播病毒木马。我们提醒用户，尽量从官网下载自己需要的软件，或者通过腾讯电脑管家的软件管理直接搜索下载，以免落入软件下载器的绑定陷阱。

诱导新脚本的安装

下图是传统下载器的推广方式。推广页面有明确的勾选按钮，至少给用户可选的推广和安装项目。在这种情况下，用户可以手动取消选中该框，只安装他们需要的软件。

流氓下载器采用的全新推送方式，以虚假的热门软件推荐+星级为幌子，误导用户认为该星代表该热门软件当前的流行程度，而忽略了第五颗星作为默认勾选选项。点击“立即安装”，右侧推荐的所有不需要的软件都会安装到用户的电脑上。

在这个场景中，右边的第五个星星隐藏了很难找到的勾号选项。局部放大显示有一个可选择的刻度。

这个假冒的Flash Player软件只是用户通过搜索“Flash Player”点击的广告推荐网站，域名是lkmzv.cn。腾讯安全威胁情报中心检测到其多次以搜索引擎广告的方式推广流氓，近期监测数据显示推广域名再次活跃。

空手套白狼的高效推广

传统的软件下载站通过推广软件来盈利，他们会在提供软件的发布页面提供多个下载入口。例如，下图包含本地下载和高速下载链接。当用户选择高速下载时，会下载该软件的下载器。下载器运行后，会下载并安装用户需要的软件。同时会通过一些可取消的推广和安装项来实现流量，实现下载站的盈利。这种方式需要将成本投入到相应的下载站，才能做好网站运营:比如软件内容、版本维护、购买服务器带宽等等。

空手套白狼新的推广方式效率更高，更省钱。流氓下载器直接购买搜索引擎广告，区域性买断一些知名软件关键词搜索结果。当用户搜索这些工具和软件的名称时，会被定向到官网的下载页面，具有很强的欺骗性。这种推广成本极低，不需要软件开发和维护成本。你只需要购买搜索引擎的关键词广告服务，维护多个推广软件站点的单个模板页面。

安全软件

对于流氓下载者，安全软件会采取多维度拦截，如url拦截、文件拦截、推送拦截等手段。流氓下载者，为了躲避安全软件的拦截，也会采取病毒式的对策。比如下载器本身没有文件版本信息，没有厂商信息，没有签名信息。它会频繁更新自己的推广站点，频繁更换下载器MD5以规避安全规则。反制措施的成本极低。

流氓推送器运行后，会在用户电脑上释放一个名为xserver_download001.exe的恶意程序。程序会判断是否处于虚拟机环境，如果处于真实用户环境，就会把自己添加为系统服务，以便以后做推送软件、弹窗广告、劫持网页等进一步的操作。