2014年9月現蹤的「瘦男孩」(Lanker-Boy)木馬，以「主動向殺毒廠商申訴誤報、騙取信任刪除特征」反常規手法，配合雲控實時劫持支付寶交易參數，半年感染百萬級設備，重新定義木馬免殺與變現鏈路。

木馬檔案結構與偽裝

• 壓縮包內3文件：123 .exe(主程序，含尾隨空格)、update.dll、lanker.dll(均為非PE加密數據)
• 圖標偽裝為記事本，文件名含空格 123 .exe 繞過部分殺毒審核機制(不帶空格時運行偽裝更新程序，帶空格才釋放惡意代碼)

核心技術流程

1. 環境檢測： 判斷文件名含空格 → 決定執行正常/惡意邏輯
2. 內存解密加載：
   • 申請內存 → 讀取 update.dll → 自定義算法解密 → LoadLibrary 加載
   • 創建互斥體 Lanker 防重複感染
   • 釋放誘餌文本文件迷惑用戶
3. 持久化： 拷貝自身至系統目錄、註冊表 Run 鍵值實現開機自啟
4. 二階段載荷： 同法解密 lanker.dll → 掛起自身進程 → 進程注入(Process Hollowing)執行易語言編寫的核心模塊
5. 雲控配置： 定時請求 https://43.252.231.52/6.txt 獲取目標收款賬號(如 qiaojueyanyfw@163.com)
6. 支付劫持： Hook支付寶支付頁面 → 用戶正常下單 → 後台Post提交時替換 seller_email 參數 → 用戶不知情完成付款 → 資金直入木馬作者賬戶

創新點：主動「投毒」殺毒廠商

• 作者用 Lanker-boy 賬號在百度殺毒/騰訊電腦管家/金山毒霸等論壇提交「誤報申訴」，偽裝為「遊戲大廳程序被誤殺」
• 金山毒霸 2015年1-2月連續4次受騙刪除特征，導致大量用戶失去保護
• VirusTotal 2015-04-07 數據：全球僅 360 能查殺核心組件 Lanker.dll

傳統支付劫持 vs Lanker-Boy

類型	手法	用戶可感知度
改金額	偽裝特價商品誘導下單	可見金額異常
改收款人(前端)	DOM篡改顯示不同收款人	細心用戶可發現
Lanker-Boy	後台Post參數替換，前端頁面完全正常	零感知，交易記錄才見收款人已變

防禦建議

1. 殺毒廠商：建立「誤報申訴」嚴格審核流程(沙箱行為分析/靜態特征/威脅情報交叉驗證)，拒絕單憑申訴刪除特征
2. 用戶：
   • 不下載「破解版/外掛/刷單工具」等高風險程序
   • 開啟殺毒軟件「雲查殺/啟發式/行為防護」
   • 支付前核對收款賬號/金額，異常立即終止
   • 定期全盤掃描+專殺工具
3. 瀏覽器/支付平台：推廣數字證書/硬件鑰匙/指紋支付等強認證，減少純參數依賴

Lanker-Boy 證明：社工免殺比技術免殺更隱蔽、成本更低、收益更高。安全廠商與用戶均需升級認知與防禦體系。