搜索

[11935] 2017-10-26_新型恶意软件“BadRabbit”闪击东欧（IOCs见原文）

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-10-26_新型恶意软件“BadRabbit”闪击东欧（IOCs见原文） 新 型 恶 意 软 件 “ B a d   R a b b i t ” 闪 击 东 欧 （ I O C s 见 原 文 ） l i k i   F r e e B u f   2 0 1 7 - 1 0 - 2 6 近 日 ， 一 种 新 型 的 恶 意 软 件 近 日 ， 一 种 新 型 的 恶 意 软 件 “ B a d   R a b b i t ” 在 东 欧 国 家 引 起 了 一 阵 不 小 的 骚 乱 ， 很 多 政 府 和 商 业 机 构 都 受 到 了 冲 在 东 欧 国 家 引 起 了 一 阵 不 小 的 骚 乱 ， 很 多 政 府 和 商 业 机 构 都 受 到 了 冲 击 。 撰 写 本 文 时 ， 击 。 撰 写 本 文 时 ， “ B a d   R a b b i t ” 已 经 蔓 延 到 了 已 经 蔓 延 到 了 俄 罗 斯 ， 乌 克 兰 ， 保 加 利 亚 和 土 耳 其 。 已 经 确 认 的 受 害 者 有 ： 乌 俄 罗 斯 ， 乌 克 兰 ， 保 加 利 亚 和 土 耳 其 。 已 经 确 认 的 受 害 者 有 ： 乌 克 兰 的 敖 德 萨 机 场 ， 基 辅 的 地 铁 系 统 和 基 础 设 施 部 门 ； 俄 罗 斯 的 两 个 新 闻 机 构 ， 克 兰 的 敖 德 萨 机 场 ， 基 辅 的 地 铁 系 统 和 基 础 设 施 部 门 ； 俄 罗 斯 的 两 个 新 闻 机 构 ， I n t e r f a x   和 和   F o n t a n k a 。 乌 克 兰 。 乌 克 兰 的 的   C E R T   团 队 已 经 对 国 内 企 业 发 出 警 报 ， 提 醒 他 们 注 意 此 次 事 件 。 团 队 已 经 对 国 内 企 业 发 出 警 报 ， 提 醒 他 们 注 意 此 次 事 件 。 此 次 此 次   B a d   R a b b i t   的 蔓 延 速 度 和 今 年 五 六 月 份 爆 发 的 的 蔓 延 速 度 和 今 年 五 六 月 份 爆 发 的   W a n n a C r y   和 和   N o t P e t y a   相 近 。 相 近 。 B a d   R a b b i t   通 过 虚 假 通 过 虚 假   F l a s h   更 新 进 行 传 播 更 新 进 行 传 播 E S E T 和 P r o o f p o i n t 的 研 究 人 员 表 示 ， B a d   R a b b i t   最 初 是 通 过 虚 假   F l a s h   更 新 传 播 ， 但 它 也 可 通 过 网 络 内 部 横 向 蔓 延 ， 这 也 解 释 了 它 为 什 么 能 在 短 时 间 内 横 跨 多 个 机 构 。 卡 巴 斯 基 发 布 的 一 份 报 告 谈 到 ， 公 司 的 遥 测 数 据 显 示 ： “   B a d   R a b b i t   是 通 过 网 站 诱 导 （ d r i v e - b y   a t t a c k ） 传 播 的 ， 受 害 者 会 从 合 法 的 新 闻 网 站 重 定 向 到 伪 造 的   F l a s h   更 新 下 载 站 点 。 ” 根 据   E S E T ， E m s i s o f t 和 F o x - I T   的 分 析 ， B a d   R a b b i t   使 用   M i m i k a t z   从 本 地 计 算 机 内 存 中 提 取 凭 证 和 硬 编 码 凭 证 列 表 ， 它 使 用   S M B   和   W e b D A V   访 问 同 一 网 络 上 的 工 作 站 和   W e b D A V   [ 1 ,   2 ,   3 ] 。 B a d   R a b b i t   还 是 一 种 磁 盘 编 码 器 ， 和   P e t y a   和   N o t P e t y a   类 似 。   B a d   R a b b i t   首 先 加 密 用 户 计 算 机 上 的 文 件 ， 然 后 替 换 掉   M B R （ 主 引 导 记 录 ） 。 完 成 以 上 任 务 之 后 ， 它 会 重 启 用 户 的 电 脑 ， 而 此 时 ， 用 户 电 脑 的   M B R   也 被 写 入 了 勒 索 提 示 信 息 。 这 些 信 息 和 今 年   6 月 出 现 的   N o t P e t y a   类 似 。 尽 管 如 此 ， 在 代 码 结 构 上 来 说 ， 相 似 度 并 不 是 很 高 ， I n t e z e r   表 示 二 者 只 有 1 3 % 的 代 码 复 用 。
勒 索 提 示 信 息 上 显 示 ， 受 害 者 需 要 使 用   T o r   浏 览 器 访 问 特 定 站 点 ， 支 付 赎 金   0 . 0 5 比 特 币 （ 约 2 8 0 美 元 ） 。 受 害 者 需 在 4 0   小 时 内 支 付 赎 金 ， 否 则 金 额 还 会 上 涨 。 仔 细 研 究 之 后 发 现 ， B a d   R a b b i t   可 能 基 于   D i s k C r y p t o r ， 它 是 一 个 开 源 的 磁 盘 加 密 程 序 ， 和   H D D C r y p t o r   类 似 。 （ 今 年 早 些 时 候 ， 它 攻 击 了 旧 金 山 的 运 输 服 务 ） B a d   R a b b i t   的 源 码 中 还 包 含 了 很 多 《 权 力 的 游 戏 》 中 的 角 色 名 ， 如   G r a y w o r m 。 此 外 ， 该 勒 索 软 件 设 定 的 三 个 任 务 名 就 叫   D r o g o n ,   R h a e g a l ,   和   V i s e r i o n ， 这 是 《 权 力 的 游 戏 》 中 三 条 龙 的 名 字 。 《 权 力 的 游 戏 》 已 经 不 是 第 一 次 出 现 在 勒 索 软 件 中 了 ， 比 如 上 次 的 加 密 勒 索 软 件 中 就 看 到 了 它 的 身 影 。
D r o g o n   s c h e d u l e d   t a s k B a d   R a b b i t   的 技 术 信 息 的 技 术 信 息 完 整 的 技 术 分 析 还 没 出 来 ， 以 下 是 我 们 掌 握 的 相 关 信 息 。 正 如 上 文 所 提 到 的 ， B a d   R a b b i t   这 次 是 将 目 标 对 准 了 俄 罗 斯 和 东 欧 国 家 ， 通 过 虚 假   F l a s h   更 新 站 点 诱 导 受 害 者 下 载 勒 索 软 件 。 当 用 户 点 击 这 些 文 本 时 ， i n s t a l l _ f l a s h _ p l a y e r . e x e   会 自 动 下 载 。 当 执 行 完 这 个 程 序 之 后 ， 它 会 生 成 一 个 文 件   C : W i n d o w s i n f p u b . d a t ， 并 使 用 命 令 行 执 行   C : W i n d o w s s y s t e m 3 2 r u n d l l 3 2 . e x e   C : W i n d o w s i n f p u b . d a t ,   # 1   1 5 。
I n f p u b . d a t   E x e c u t e d   v i a   R u n d l l 3 2 . e x e 一 旦 执 行 之 后 ， I n f p u b . d a t   会 创 建 文 件   C : W i n d o w s c s c c . d a t   和   C : W i n d o w s d i s p c i . e x e 。 C s c c . d a t   就 是 D i s k C r y p t o r   中   d c r y p t . s y s 换 个 名 字 而 已 ， 然 后   I n f p u b . d a t   会 创 建 一 个   W i n d o w s   服 务 — —   W i n d o w s   C l i e n t   S i d e C a c h i n g   D D r i v e r ， 用 来 执 行   c s c c . d a t   d r i v e r 。 当 电 脑 中 出 现 用 户 记 录 时 ， I n f p u b . d a t   还 会 创 建 一 个   t a s k   来 执 行   d i s p c i . e x e ， 名 为   R h a e g a l ， 也 是 《 权 力 的 游 戏 》 里 面 的 角 色 。 这 个   e x e   会 执 行 命 令 ：   “ C : W i n d o w s d i s p c i . e x e ”   - i d   [ i d ]   & &   e x i t 。
c s c c . d a t   d r i v e r   和   d i s p c i . e x e   用 来 加 密 硬 盘 和 修 改   M B R ， 在 受 害 者 打 开 电 脑 的 时 候 ， 就 可 以 看 到 勒 索 提 示 信 息 了 。 B a d   R a b b i t   B o o t   L o c k   S c r e e n I n f p u b . d a t   当 然 还 有 别 的 功 能 ， 安 装 完   D i s k C r y p t o r   组 件 之 后 ， 它 还 会 对 受 害 人 文 件 在 用 户 态 上 进 行 一 次 加 密 。 似 乎 使 用 的 是   A E S   加 密 。 加 密 文 件 的   A E S   k e y   会 用 内 嵌 的   R S A - 2 0 4 8   公 钥 加 密 。 现 在 还 不 知 道 最 终 的 加 密   k e y   在 哪 ， 但 很 可 能 是 在 被 加 密 的 文 件 中 。 B a d   R a b b i t   加 密 文 件 时 和 别 的 勒 索 软 件 不 同 ， 它 不 会 在 加 密 文 件 后 面 加 入 新 的 扩 展 名 。 但 它 会 在 每 个 文 件 末 尾 插 入 但 它 会 在 每 个 文 件 末 尾 插 入 加 密 后 的 标 记 字 符 串 加 密 后 的 标 记 字 符 串 。
E n c r y p t e d   F i l e   M a r k e r 最 后 ， I n f p u b . d a t   还 可 以 将   B a d   R a b b i t   通 过   S M B   传 播 到 其 他 电 脑 中 。 它 通 过   S M B   访 问 网 络 共 享 来 窃 取 受 害 者 电 脑 中 的 凭 证 和 用 户 名 密 码 。 如 果 可 以 访 问 远 程 网 络 共 享 ， 它 还 会 马 上 将 自 己 复 制 ， 并 在 其 他 电 脑 上 运 行 勒 索 软 件 。 这 是   S M B   流 量 情 况 ： S M B   T r a f f i c 最 后 ， B a d   R a b b i t   还 会 创 建 两 个 新   t a s k   来 重 启 计 算 机 。 这 些   t a s k 也 是 用 《 权 力 的 游 戏 》 中 的 角 色 命 名 的 — — d r o g o n   和   v i s e r i o n 。 这 些   t a s k   用 于 关 闭 并 重 启 计 算 机 ， 这 样 就 可 以 在 用 户 登 录 时 执 行 其 他 程 序 ， 或 是   W i n d o w s
启 动 之 前 锁 定 屏 幕 。 如 何 防 范 如 何 防 范   B a d   R a b b i t ： ： 建 议 用 户 关 闭   W M I   服 务 ， 这 样 勒 索 软 件 就 不 会 传 播 到 你 的 网 络 上 。 大 多 数 的 恶 意 软 件 都 是 通 过 钓 鱼 邮 件 ， 网 站 ， a p p ， 第 三 方 平 台 上 的 恶 意 广 告 传 播 的 。 所 以 ， 对 那 些 来 历 不 明 的 文 件 和 网 站 ， 还 是 要 格 外 小 心 。 而 且 ， 永 远 都 不 要 从 第 三 方 平 台 下 载   a p p ， 在 官 方 平 台 下 载 时 也 要 先 阅 读 下 面 的 评 价 。 对 数 据 也 要 十 分 警 惕 ， 随 时 保 持 备 份 到 存 储 设 备 上 。 安 装 有 效 的 杀 毒 软 件 ， 并 时 常 更 新 。 附 录 ： 附 录 ： B a d   R a b b i t   I O C s 【 阅 读 原 文 】 【 阅 读 原 文 】 * 本 文 作 者 ： 本 文 作 者 ： L i k i ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理