0x1 概述
腾讯御见威胁情报中心监测发现速浪系列软件突然异常活跃，异常联网行为明显增加，监控数据表明，受该软件家族影响的电脑约50万台。遂对引发该异常的速浪输入法、速浪桌面、速浪极速浏览器、极速拷贝、小熊拷贝、速浪下载器、速浪游戏盒、速浪天气、速浪日历等软件做了应急分析
结果发现，速浪软件家族普遍存在锁用户主页、无法卸载、弹出广告、在用户桌面反复创建快捷方式等严重影响用户使用体验的违规行为。同时，该家族软件还新增了创建虚拟桌面，在虚拟桌面中根据云端控制使用僵尸帐号自动登录YY直播，为指定主播投票、刷评论等手段营造虚假人气。
速浪家族软件的流量造假操作完全受云端服务器指令控制，使用大量僵尸帐号在虚拟桌面登录刷量时，会自动屏蔽音效播放，以免被用户发现
速浪家族系列软件早在2014年就令网民十分头疼，至今在搜索速浪输入法等软件时，搜索引擎会自动推荐关联搜索“无法卸载”。而该软件活跃度的突然飙升，疑与违规软件经营者找到“流量造假”这种新的盈利模式有关。
0x2 详细分析
“速浪输入法”的程序在安装时会注册一个名为srfsrv的服务，该服务指向可执行程序CutrixSr.exe常驻在机器上，一旦发现用户机器安装YY软件，则会拉Cutrix.exe开始刷量。
Cutrix.exe启动后即像服务器请求任务，附带启动的时间。
服务器返回JSON格式指令，start若是0则sleep N秒后退出程序，说明云控暂时关闭
若start为1则说明云控开启主播人气推广模式，服务器会返回一批僵尸粉账号信息，JSON内容：
启动room_id则是被推广的主播房间ID，member_user、member_password对应僵尸粉的用户名和密码。
接着，结束本机yy进程，清除本机登录过的yy账号，并重新安装YY，目的是为了消除本机的自动登录，实现键盘鼠标模拟登录。
重装yy
创建虚拟桌面，以防在推人气时被用户发现。
启动YY安装包
在检测到完成界面后，模拟点击“立即启动”
YY启动后，查找登录窗口
输入僵尸号用户名和密码登录：
启动一线程，监视yy状态，检测到异常后，会结束yy进程，重新登录，或者重新请求僵尸号
目前功能主要有4个，都是提升主播人气的功能：
给主播投票
频道发言
为了不引起怀疑，样本在启动后会Hook掉声音相关函数，这样一来僵尸粉在后台刷人气的时候用户就听不到任何动静！
0x3 同源分析
根据父子文件的对比，发现两个文件的签名并不一致，左侧为Cutrix.exe文件，右侧为CutrixSr.exe，可见两个签名同属一家公司。
根据签名，我们又找到该签名下另几款产品：小熊拷贝
而小熊游戏盒会捆绑一些软件
看似有勾选按钮，其实只要点击取消勾选，软件界面会逃到另一个地方，避免被点击到，而且会快速进入推装模式。
小熊拷贝的版本信息
与刷量模块内置的服务器地址吻合
从注册的公司名看，这些都属于同一伙人。
其法人代表下还关联其他8家公司
0x4 安全建议
速浪家族系列违规软件自2014年起，已令无数网民头疼不已。其干扰用户电脑使用体验的行为并无任何收敛迹象，速浪家族系列软件新增直播刷量盈利模式，会消耗较多系统资源，其反复安装、在虚拟桌面中自动登录，自动发言、自动投票等行为，与木马无疑。在用户电脑安装云端控制软件，也会留下严重安全隐患
腾讯御见威胁情报中心建议用户避免安装速浪输入法、速浪桌面、速浪极速浏览器、极速拷贝、小熊拷贝、速浪下载器、速浪游戏盒、速浪天气、速浪日历等软件，以免成为违规软件的受害者。声明：本文来自腾讯御见威胁情报中心，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
