（原标题：芝麻软件＂＂流星加速器＂新型网络黑灰产业链揭秘！）

根据“火绒威胁情报系统”监测，火绒安全团队发现一款名为“流星加速器”的软件，正通过各大下载站下载器进行静默推广传播，且携带恶意代理模块和后门模块。

根据“火绒威胁情报系统”监测，火绒安全团队发现一款名为“流星加速器”的软件，正通过各大下载站下载器进行静默推广传播，且携带恶意代理模块和后门模块。用户运行该软件后，就会激活这些病毒模块。病毒可以控制用户电脑，执行任意命令。

由于“流星加速器”用户数量较多，致使病毒影响的范围较大，目前已感染上百万用户，且感染量还在以单日超过10万的数量增长，请广大用户小心防范。火绒安全软件最新版可及时拦截、查杀上述病毒模块，且不会损坏软件的正常功能，请用户放心使用。

下载器推广截图

恶意模块签名信息

当流星加速器被下载器静默推广安装之后，便会在安装目录释放恶意代理模块LocalNetwork.exe与后门模块SecurityGuard.exe。释放完成后，LXInstall.exe将创建C:/Program Files/Microsoft App文件夹并将LocalNetwork.exe移动到其中，随后启动LocalNetworkFlowService服务。同时LXInstall.exe会将SecurityGuard.exe移动到C:/Windows目录下并启动执行。相关动作如下图所示：

获取主机相关信息

连接C&C服务器

通讯流程图

收到的代理策略及数据传输内容，如下图所示：

数据传输图

此外，我们还发现流星加速器主程序(liuxing.exe)会创建线程每隔2秒就会检测LocalNetwork.exe进程是否存在，如果不存在，则会执行其软件安装目录下的LocalNetwork.exe。由于当前版本的流星加速器所释放的LocalNetwork.exe恶意代理模块已经不在其软件安装目录中，上述执行逻辑已经失效，我们会对其主程序模块的更新进行持续追踪。相关逻辑，如下图所示：

检测启动LocalNetwork.exe相关代码

SecurityGuard模块

SecurityGuard.exe模块的主要功能就是将自身注册为服务并接收C&C服务器(api.jm.taolop.com)下发的后门命令控制码来执行不同的后门功能，如：更新模块，创建、删除服务，运行远程命令。相关代码如下图所示：

执行后门功能

二、 溯源分析

此外，我们根据恶意模块的签名信息“江苏灵匠信息科技有限公司”发现其旗下存在大量与数据爬虫采集，流量代理加速等有关产品，相关信息如下图所示：

江苏灵匠信息科技有限公司旗下部分产品

仅以芝麻代理为例，今日活跃的代理IP数量为200万左右与我们在火绒终端威胁情报系统中所监测到的该病毒感染数量较为相近，官网页面如下图所示：

芝麻代理官网

三、 附录

三、 附录

病毒hash