一、概述年12月14日下午，腾讯安全御见威胁情报中心监测到一款通过“驱动人生”系列软件升级通道传播的木马突然爆发，仅2个小时受攻击用户就高达10万。该病毒会通过云控下发恶意代码，包括收集用户信息、挖矿等，同时利用“永恒之蓝”高危漏洞进行扩散。腾讯御见威胁情报中心立即对该病毒疫情对外通报，并发布详细的技术分析报告。年12月14日晚，驱动人生公司接到腾讯御见威胁中心的事件预警后，对该事件高度重视，第一时间与腾讯安全御见威胁情报中心进行联系，告知在木马爆发时，驱动人生公司相关技术人员正在国外旅游团建，因此高度怀疑该事件是驱动人生公司的升级服务器被黑客攻击导致，并请求腾讯企业安全应急响应中心一起协助追查事故原因。
同时，驱动人生公司对该事件向深圳警方报警，并对外发布了紧急声明和采取相应的应对措施。
年12月16日，驱动人生公司相关技术人员放弃团建紧急回国，腾讯企业安全应急响应中心也应邀派出安全工程师，于当晚协助驱动人生公司对本次黑客入侵事件进行溯源追查。经过通宵分析和排查，最终确定该事件是一起精心策划的定向攻击事件，入侵者历时一个多月，利用驱动人生系列软件的升级程序进行攻击，达到构建僵尸网络，安装云控木马、组网挖矿等非法目的。幸运的是，攻击者此番利用，其目的只是安装云控木马收集计算机信息、控制肉鸡电脑进行门罗币挖矿。假如攻击者利用此通道传播勒索病毒，就会制造类似去年WannaCry爆发那样的灾难性后果。此次攻击刚开始不久，就被腾讯御见威胁情报中心率先拦截和查杀，最终该事件并未进一步扩大，攻击者终究未能得逞。二、源头定位经过对驱动人生系列软件的升级流程和组件进行深入分析，我们发现了相关流程如下（以人生日历为例）：
安装后会设置一个名为“wtsvc”的服务，该服务启动后会加载UpdateHelper.dll、CheckUpdate.dll等DLL文件：
开始升级时UpdateHelper.dll指定升级进程为DTLUpg.exe、升级地址为globalupdate.updrv.