万名网友验证金山毒霸恶意驱动 可导致电脑蓝屏

直至终结

　　上周，金山毒霸植入恶意驱动，针对360程序与及带360字样的程序进行暗中拦截，甚至会导致用户电脑蓝屏。目前针对“金山毒霸植入恶意驱动”的活动测试人数已经超过十二万。
+ ^2 _# ]3 P6 x4 u8 q
; e: c% r# [! z　　http://img226.poco.cn/mypoco/myphoto/20140219/20/538802992014021920000002.jpg

　　下面内容来自网友的验证结果：

　　在没有安装金山毒霸恶意驱动前，带360字样的程序均可以正常打开。
# B0 D% f% t4 ~6 F* i' j2 u; b
0 ?' Y* q, v4 J" n7 N, S1 ?* x  k　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200026047.jpg
5 |4 W7 M2 Z+ C7 e) Y　　安装金山毒霸恶意驱动
" m% r7 `* Y6 t; k
( G/ S4 v9 B9 K5 {4 U　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200047092.jpg
# {; r! X% g7 u: p& c& Y　　带360字样的程序都无法打开了。
/ `% [/ ~- P" A# y
, R+ W# @7 f5 M# ~5 V7 D　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200103011.jpg
　　甚至有大量测试用户反馈，毒霸恶意驱动甚至会导致用户电脑蓝屏和无限重启。

1 o' e+ V) E: Z7 ~　　http://img226.poco.cn/mypoco/myphoto/20140219/20/538802992014021920012102.jpg

/ h0 f9 }! F( Q3 l* o; F+ d! e　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200138028.jpg

% p( \" v. y  c& |8 f* w: H　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200157055.jpg
# Q, `* y9 P+ Y' i% g7 t% p
　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200216019.jpg

8 v6 U% ~! T$ i2 f8 g; `8 g　　据技术型网友分析：
8 R4 C) B! s$ o6 h9 A1 k  v　　DiggerPlus：#金山毒霸植入恶意驱动# 做一个技术性验证，结果：1. @360安全卫士此次提供的sys文件样本数字签名确实为金山 2.将该sys驱动简单逆向一下就能分析出该sys的行为，该sys文件回调函数直接判断进程名中是否包含"360"字样，因此，只要包含"360"都会被干掉。另科普:PsSetCreateProcessNotifyRoutine是向系统注册一个回调函数，当系统中有进程创建的时候就会调用这个函数，而这里的回调函数中检测了"360"字样。

　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200234058.jpg
, v5 i2 s7 i! ~0 _8 X
　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200251048.jpg

3 s) r1 e( h0 J  u/ C, _　　http://img226.poco.cn/mypoco/myphoto/20140219/20/5388029920140219200310092.jpg