近日，该平台检测到一种新型病毒。 安装名称为微信挖矿专家。 经安全人员分析研究发现，该病毒伪装成可控制微信红包地雷的外挂软件，欺骗用户安装并开启危险权限。 后台偷偷将用户信息上传至互联网的行为可能会给用户造成财产损失。

首先我们先来了解一下微信红包的含义是什么？

埋雷是微信上新推出的红包游戏。 除了增加地雷出现数量外，还附带自动抓取自己尾包的功能。 如果你的尾部包是地雷，你就不会抓住它。 如果不是矿，你自己去抢。

例如：

先发红包，比如10个价值10元的红包，让最后一个数字1为雷。

别人抢完后，如果数量是1，就给你10元，不限人数。

也可以抢，运气好的话，朋友之间也蛮好玩的。

微信埋红包原本只是亲朋好友之间的一种小娱乐方式。 不法分子利用少数人求利的不良心理传播病毒，以达到窃取他人财物的目的。

1 自杀“布雷”病毒概述

1.1 病毒应用

经研究发现，同源同类型的病毒名称有微信扫雷专家、QQ扫雷专家、QQ扫雷专家、6k抢红包王、QQ抢红包王、微信仙家牛牛、QQ仙家牛牛、棋牌高手，棋牌牛牛，麻将高手，微信即时抢高手。 快速QQ抢专家。

1.2 病毒行为

Ø 窃取用户支付密码、微信消息、短信等，并上传至服务器

Ø 欺骗用户启用权限，阻止正常卸载。

Ø 锁屏勒索软件

1.3 病毒窃取信息的整体流程

该病毒安装后，诱骗用户在其主界面输入微信支付密码并开启检测窗口权限，然后窃取用户手机上的微信账号信息和短信信息，并将窃取的信息上传至ftp平台搭建上线，造成用户经济损失如图1-1病毒排序运行流程[T1]。

图1-1 病毒排序及运行流程[T2]

2 自杀“地雷”病毒技术原理

分析病毒代码发现，病毒程序会提供用户微信支付所需的账户信息【T3】（自动打开微信找到微信账户信息界面截图上传到ftp），以及所需的验证码登录微信（读取短信并上传），获取微信支付密码（诱骗用户进入并上传ftp）。 会给手机用户造成财产损失[T4]。

2.1 病毒安装图标及主界面

图2-1 病毒图及运行截图

病毒运行时，为了欺骗用户，会制造出一种假装正在计算的假象，如图2-2所示的计算模式假象。

图 2-2 计算模式工件

但实际上，病毒程序在计算时显示的所有内容都是预先写入程序的图片（如图2-3内置幻象所示）。 这证明病毒所展示的功能是用来欺骗用户的。 达到其不可告人的目的。

图 2-3 内置工件

2.2 无法正常卸载

当在主界面点击开启埋雷服务按钮时，病毒程序会要求用户开启一定的权限。 （如图2-4请求权限）

图2-4 请求权限

检测病毒程序中打开权限的代码（如图2-5请求权限代码）

图2-5 请求权限码

当用户开启上述权限后，用户将无法再通过正常渠道卸载病毒。 每当用户拖动病毒图标进行卸载或者打开管理软件进行卸载病毒时，都会通过监控手机用户卸载病毒的操作来打开病毒。 窗口时，它会自动检测窗口内容并单击取消卸载按钮以关闭卸载过程。 （如图2-6，点击关闭卸载代码）

图2-6 点击关闭卸载代码

2.3 窃取各类用户信息

2.3.1 病毒FTP信息

该病毒程序涉及的FTP服务器已得到分析人员的验证。 首次登录FTP平台成功。 FTP信息真实有效。 但此后，FTP服务器就无法登录了，疑似病毒传播者发现情况发生了变化，信息发生了变化。

图2-7 ftp平台信息

2.3.2 诱骗用户窃取支付信息

该病毒程序提示用户输入微信红包支付密码，并将用户的微信支付密码上传至ftp。 欺骗截图提示输入密码，如图2-8所示。

图2-8 提示输入密码

病毒程序获取用户输入的微信支付密码，如图2-9所示，提示输入密码。

图2-9 提示输入代码示意图

将获取到的微信支付密码上传至ftp平台，如图2-10上传密码示意图。

图2-10 上传密码

2.3.3 窃取用户手机相册

病毒程序会将手机相册中的所有图片上传到ftp。 具体代码如图2-11所示。 上传相册

图2-11 上传相册

2.3.4 窃取微信信息

该病毒会自动打开微信，进入微信账号等界面，进行截图，然后将截图上传到ftp，导致所有微信信息被盗取。

判断当前微信界面并截图的代码如图2-12所示。 判断微信界面并截图的代码如图2-12所示。

图2-12 确定微信并截图代码

截图上传ftp的代码如图2-13所示。 上传截图的代码。

图2-13 上传截图代码

2.3.5 窃取短信

该病毒会将用户的短信内容和收件人、发件人信息上传到ftp平台，每当用户的手机发送和接收短信时，病毒就会被激活，如图2-14上传短信代码所示。

图2-14 上传短信信息码

2.4 远程控制会锁屏勒索软件（未激活）。

在病毒程序代码中发现锁屏代码，如图2-15锁屏代码所示。

图2-15 锁屏代码

解锁所需的密码，如图2-16锁屏密码代码

图2-16 锁屏密码

2.5 预防及处置建议

Ø 建议用户提高警惕，从官方网站下载软件。 去应用商店下载正版软件，避免从论坛等下载软件，可以有效减少此类病毒的危害。 关注“影子实验室”公众号，实时获取最新的移动安全状态，避免给您带来损失和伤害。

Ø 为了防止病毒变种，如果用户发现病毒被安装，可以请专业人员对病毒进行分析。

Ø 安全需要消灭在萌芽状态，可以利用恒安嘉信的APP威胁检测和态势分析平台进行分析，从样本中提取信息，进行关联分析和检测；

Ø 用户发现自己感染手机病毒软件后，可以向“网络不良及垃圾邮件举报受理中心”或“中国反网络病毒联盟”举报，以便病毒软件及时查处和拦截尽快[T5]。