新闻链接：b9dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6e0u0U0N6r3!0Q4x3X3g2U0L8$3#2Q4x3V1k6z5k6i4N6K6i4K6u0r3x3U0l9I4y4e0l9I4i4K6u0r3x3K6M7@1x3e0p5^5i4K6u0W2K9s2c8E0L8l9`.`.
新闻时间：2015-01-31
新闻正文：卡巴斯基的安全专家近日对比了2014年“红极一时”的恶意软件Regin以及键盘记录器Qwerty的代码，竟然发现他们具有不少相似点。
什么是恶意软件Regin

2014年11月，赛门铁克发现名为Regin的恶意软件，它潜伏在爱尔兰、俄罗斯、沙特阿拉伯及其他几个国家的计算机上并盗取数据。Regin可能是西方国家制造出来用于监视各国政府，它可以盗取密码，获取快照及恢复已删除的文件。研究人员声称Regin是比美国和以色列政府麾下黑客于2010年开发的针对伊朗核设施的震网病毒（Stuxnet）更为先进。欧盟和比利时的通信公司也是Regin的猎物之一。

Qwerty键盘记录器又是啥？

Qwerty键盘记录器于本月早些时候被发现，源于DerSpiegel杂志刊登的一篇斯诺登文件揭露美国NSA（国家安全局）网络间谍工作的文章。据知，不仅NSA，五只眼（Five Eyes）情报联盟也在使用它。

五只眼情报联盟在英美情报共享的基础上发展起来的。在二战结束后的1946年，英美签署了英美通信协定，将情报共享机制化。1948年，加拿大加入该协定。1956年，澳大利亚和新西兰加入。

代码相似，Regin≈Qwerty

卡巴斯基的安全分析师分析二者的代码发现了不少相同之处，这是否意味着他们的开发者是同个人或者是在同个地方工作的同事？





从上面的图片可以看出，Regin和QWERTY的源代码很相似，还有一个特别之处就是Regin插件上有一行代码和QWERTY里的代码完全一样（图中标红处）。要知道50225是存在于Regin的内核hooking函数上，而QWERTY又调用了50225插件的内核hooking函数，所以这间接证明了QWERTY是Regin的一部分。

现在问题来了：恶意软件Regin和QWERTY的关系如此紧密，是否也暗示着NSA和五只眼（Five Eyes）有着千丝万缕的关联呢？

[培训]科锐逆向工程师培训第53期2025年7月8日开班！