万名网友验证金山毒霸恶意驱动 可导致电脑蓝屏

直至终结

　　上周，金山毒霸植入恶意驱动，针对360程序与及带360字样的程序进行暗中拦截，甚至会导致用户电脑蓝屏。目前针对“金山毒霸植入恶意驱动”的活动测试人数已经超过十二万。
3 I0 r" |3 j8 @1 ?6 O! y
　　http://img226.poco.cn/mypoco/myphoto/20140219/20/538802992014021920000002.jpg
8 l  |9 F+ J+ X1 O" u
　　下面内容来自网友的验证结果：
. ]( d4 p' |. c) w/ b6 x  p$ j
9 Y. l$ D7 \$ m% J/ V& Z　　在没有安装金山毒霸恶意驱动前，带360字样的程序均可以正常打开。

　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200026047.jpg
　　安装金山毒霸恶意驱动
) T0 f( V* v: u- H7 D
0 G% O7 D- ^6 L$ D* w9 p　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200047092.jpg
　　带360字样的程序都无法打开了。
. t- ~- E; ~8 |$ `* {* l
　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200103011.jpg
　　甚至有大量测试用户反馈，毒霸恶意驱动甚至会导致用户电脑蓝屏和无限重启。
1 M# P& B/ j; u0 I+ e+ Y' S" p
　　http://img226.poco.cn/mypoco/myphoto/20140219/20/538802992014021920012102.jpg
4 i2 ^' t% a" a4 S" C
1 T5 u; w, {$ v$ B3 g. k  K3 U　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200138028.jpg
; W6 @3 ~0 g: s+ |7 e$ _7 ]
　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200157055.jpg

$ E& u" A# n0 k# a  n! c　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200216019.jpg
2 G' r( b2 q; q( E5 _
: g# ]7 i' y8 I) _) @5 X4 N* E　　据技术型网友分析：
9 Z/ k) Z$ H1 ~3 d　　DiggerPlus：#金山毒霸植入恶意驱动# 做一个技术性验证，结果：1. @360安全卫士此次提供的sys文件样本数字签名确实为金山 2.将该sys驱动简单逆向一下就能分析出该sys的行为，该sys文件回调函数直接判断进程名中是否包含"360"字样，因此，只要包含"360"都会被干掉。另科普:PsSetCreateProcessNotifyRoutine是向系统注册一个回调函数，当系统中有进程创建的时候就会调用这个函数，而这里的回调函数中检测了"360"字样。

　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200234058.jpg
' ^% `8 d$ `; P9 C5 W
　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200251048.jpg
6 T" Q  P0 x' t1 P6 V# q1 \
6 b) O3 }# ]. ^: _" ~5 x1 E　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200310092.jpg