关于火绒误杀explorer.exe事件的简要分析

      简而言之，这份代码就是给系统打了个快照，然后检测是否存在360系列产品的进程，如果存在就返回ture。

以恶意代码分析的角度来看，这份代码的静态可疑点就是有360全家桶的字符串，而且函数名存在Hijacking，这个词本意为注入，劫持，这些都是编写木马时的高频词，加之其程序的时间戳不在正常范围内，会很容易被杀毒软件注意到。其次，从行为的角度来看，这份代码的运行流程有打进程快照、检测360全家桶是否存活。这些行为特征放在一个静态特征存疑的程序上很容易被误认为木马，火绒官方文件中提到的AVkiller（强杀杀软）系列木马是会有这个行为，此外其他木马在进行免杀化的过程中识别系统是否有杀软进程进而进行不同的后续感染上线操作也是必不可少的步骤。这一切为火绒杀掉explorer.exe提供了合理性。

此处留意，后文要提。

我们只分析主要功能:

这里调用ShellFeedsExperienceHelpers::GetShellFeedsRegKey函数来获取注册表ShellFeedsTaskbarViewMode键值。如果这个键值大于等于0且等于2，它将v12设置为1，否则，它将跳转到LABEL_34标签。

我们去百度搜索这个ShellFeedsTaskbarViewMode键值的功能，发现这个键值是代表着windows“资讯和功能”功能，且在键值为2时是关闭的。

我们接着往下看下面出现了几个函数：

IsDeviceInDmaRegion、IsInCampaignEnabledRegion、IsHijackingProcessRunning、CheckAvailability_UserUnpinDate、CheckAvailability_LastCampaignRunDate

我们接下一个一个分析。

IsDeviceInDmaRegion函数：

检测注册表键值IsDeviceInDmaRegion，这个百度搜不到，我问了ChatGPT，说是这个注册表键值用于确定设备是否位于DMA（直接内存访问）区域中。如果设备位于DMA区域，它可能能够利用DMA来进行更高效的数据传输。这个信息对于系统性能调优和设备管理来说可能是重要的。用人话说就是检测这个设备是否是传输数据的关键设备（我自己理解的）。如果是，它将跳转到LABEL_34标签。

IsInCampaignEnabledRegio函数：

这里就是视频里提到的检测地区是否为中国，但是在这个函数的后边又判断了windows是否为企业版。如果是，它将跳转到LABEL_34标签。

IsHijackingProcessRunning函数：

这个就是喜闻乐见的360进程检测代码了，如果存在360进程，它将跳转到LABEL_34标签。上边已经做过一遍分析这里不再赘述，值得思考的一点是为什么微软写这段代码为什么要用Hijacking命名？

所以有一种可能是360的系统监控与windows本身的“资讯和功能(feeds)”冲突，微软为了为维持系统稳定性在这里要检测系统是否有360全家桶而后来关闭“资讯和功能(feeds)”。

最后在经过很多次判断后，即满足feeds功能存在且开启、DMA区域机器、中国地区的企业版windows、安装360系列产品任一条件就来到的这个LABEL_34标签，LABEL_34是一个返回函数，返回0值给主函数，也就是 ShellFeedsCampaign 不可用，大概意思也就是关闭feeds功能。

参考文章：https://www.zhihu.com/question/642107690

本文首发于Freebuf，原文链接：https://www.freebuf.com/articles/system/392264.html

作者：H77

原文始发于微信公众号（凯撒安全实验室）：关于火绒误杀explorer.exe事件的简要分析