知名软件ADSafe暗藏恶意代码 从众多 站劫持流量

日前，火绒安全团队发现“ADSafe净 大师”、“清 卫士”、 “广告过滤大师”等多款知名软件暗藏恶意代码，偷偷劫持用户流量。这些软件出自同一公司，功能类似，主要是屏蔽 页广告。根据技术分析，三款软件都会通过替换计费名（不同 站和上游分成的标识）的方式来劫持流量，牟取暴利。其劫持 站数量为近年最多，已达50余家，包括国内多家知名导航站、电商以及在线消费交易平台等。更可怕的是，“ADSafe”劫持规则可随时通过远程操作被修改，不排除其将来用来执行其他恶意行为的可能性，存在极大安全隐患。

图1

火绒安全团队发现，“ADSafe”官 的软件版本虽然停留在v4.0.610，但其论坛、下载站中却发布了v5.3版。根据技术分析，“清 卫士”、“广告过滤大师”和v5.3版“ADSafe”的功能、广告过滤规则，以及恶意代码都完全一样，可以认定，“清 卫士”和“广告过滤大师”软件其实就是”ADSafe”的最新版本，都会通过替换计费名（不同 站和上游分成的标识）的方式来劫持流量，牟取暴利。

目前，”ADSafe”（v5.3及以上版本）和“清 卫士”等软件正在通过国内各大下载站、官 以及官方论坛大肆传播。用户电脑中只要装了上述软件， 站中（如 图2）产生的流量都会被劫持。

图2

如上图所示，此次涉及到的受劫持 站数量是我们近年来发现最多的一次，共有50余家。不仅包括国内的导航站、电商（淘宝、京东、华为商城、小米商城、1药 等）；还包括国内一些在线消费交易平台（新东方、悟空租车）；国外的品牌购物站（Coach、Hanes、Clarins等）。

另外，现在劫持规则还在持续更新，不排除将来可能用于其他攻击。例如火绒之前 道过的病毒利用JavaScript进行挖矿（
www.huorong.cn/info/151443978790.html）和窃取个人信息（
www.huorong.cn/info/1518338707106.html）的案例，建议广大用户注意防范。“火绒安全软件”最新版可以拦截“ADSafe”和“清 卫士”。