火绒安全警报：疑似方正集团子公司签名泄露遭黑客利用盗取Steam账号

文章正文

发布时间：2025-06-15 02:03

使用论坛附件上传样本压缩包时必须使用压缩密码保护，压缩密码:52pojie，否则会导致论坛被杀毒软件等误报，论坛有权随时删除相关附件和帖子！
病毒分析分区附件样本、网址谨慎下载点击，可能对计算机产生破坏，仅供安全人员在法律允许范围内研究，禁止非法用途！
禁止求非法渗透测试、非法网络攻击、获取隐私等违法内容，即使对方是非法内容，也应向警方求助！

一、概述
日前，火绒安全团队发出警报，火绒工程师截获下载器病毒Apametheus，该病毒入侵电脑后会下载多个病毒模块，病毒模块运行后，将盗取steam账号，同时劫持用户QQ临时登录权限，强行添加QQ好友、转发空间，散播违法信息。
通过技术溯源发现，该病毒带有"北京方正阿帕比技术有限公司"（北大方正子公司）的数字签名："Beijing Founder Apabi Technology Limited" ，以躲避安全软件的拦截查杀，疑似为签名泄露被黑客团伙利用，建议该公司尽快排查。

image005.png (60.89 KB, 下载次数: 0)

下载附件

2018-9-13 20:05 上传

"火绒产品（个人版、企业版）"最新版即可查杀该病毒。

二、样本分析
近期，火绒截获到病毒文件带有"Beijing Founder Apabi Technology Limited"签名（北京方正阿帕比技术有限公司），系北大方正集团有限公司子公司，病毒数字签名可以验证通过。如下图所示：

image006.png (42.35 KB, 下载次数: 0)

下载附件

2018-9-13 20:05 上传

病毒数字签名

image007.png (42.35 KB, 下载次数: 0)

下载附件

2018-9-13 20:05 上传

病毒数字签名

image008.png (43.57 KB, 下载次数: 0)

下载附件

2018-9-13 20:05 上传

病毒数字签名
病毒运行后通过访问C&C服务器下载下载器病毒（Linking.exe和calc.exe）至本地执行，运行后会启动svchost.exe进程进行注入，被注入svchost.exe进程分别会执行不同的恶意代码逻辑。恶意代码逻辑分别包括：盗取steam账号、利用本地会话劫持强行添加QQ好友和转发QQ空间日志。病毒执行恶意行为后进程树状态，如下图所示：

image009.png (18.25 KB, 下载次数: 0)

下载附件

2018-9-13 20:06 上传

病毒执行后进程树
盗取steam账号
病毒会不断搜索steam登录窗口，当搜索到steam登录窗口后，释放cuic.dll并将该动态库注入到steam.exe进程中。相关代码逻辑，如下图所示：

image010.png (287.15 KB, 下载次数: 0)

下载附件

2018-9-13 20:06 上传

注入steam.exe
被注入的恶意代码（cuic.dll），首先会循环检测SteamUI.dll是否已经成功加载。如果成功加载，则会通过获取控件数据的方法获取用户登录信息。如下图所示：

image011.png (90.68 KB, 下载次数: 0)

下载附件

2018-9-13 20:06 上传

循环检测SteamUI.dll
比较控件名称相关代码，如下图所示：