又见下载站投毒！火绒发现法拉日历病毒正在通过21压缩和下载站传播

据火绒安全发布的分析报告，近期有款名为法拉日历的内核后门病毒正在通过垃圾压缩软件以及下载站传播。这个病毒虽然名为法拉日历但只是伪装因为没有任何日历功能，用户若不慎安装则会遭到该病毒无休止劫持。

包括静默安装其他垃圾软件、桌面弹窗广告、劫持网站访问、将用户电脑变成流量跳板当做黑客代理服务器。和多数国产病毒类似，该病毒也具备远程下载功能可以添加新功能进行更多恶意操作，目前主要是捆绑软件。

公司都正大光明做病毒：

让人疑惑的是无论是法拉病毒还是用于传播病毒的21压缩，竟然都有正规数字签名，因此也能轻易查到公司。比如法拉日历病毒是上海九罗网络科技有限公司开发的，21压缩则是重庆智领云英教育科技有限公司开发的。

这两家公司背后是否有关联还不清楚，但可以确定的是21压缩也是个垃圾软件会向用户投毒和疯狂的弹窗等。21压缩原本通过垃圾下载站的高速下载器捆绑传播，安装后再静默下载法拉日历病毒进行传播侵害用户权益。

在315 晚会报道做捆绑下载器的安徽百助和中关村、PC6 等下载站后，目前下载站的捆绑下载器基本已歇菜。不过仍然还有不少下载站提供21压缩由此继续传播病毒，建议曾不慎安装过21压缩的用户尽快使用火绒查杀。

目前主要的恶意行为有这些：

火绒安全工程师进行分析后发现，法拉日历病毒主要恶意行为就是将用户电脑当成获利的工具疯狂安装软件。例如会自动静默安装快压等付费推广的软件，强制在桌面上弹出低俗色情广告，劫持用户访问的互联网站点。

其中劫持网站访问并投放广告在这类病毒里不算常见，法拉病毒会记录用户访问的站点然后进行针对性劫持。例如访问导航类网站时会劫持并添加推广后缀，访问某些常规网站则可能会在页面里掺杂广告诱导用户点击。

该病毒也具备后台更新功能因此不法分子可以实现远程下发命令、远程监控、更新模块，实现更多恶意功能。