搜索

[20664] 2021-08-04_RansomExx病毒传送载体流程

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-08-04_RansomExx病毒传送载体流程 ​ R a n s o m E x x 病 毒 传 送 载 体 流 程 L e a n d r o   F r o e s   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 8 - 0 4                                 R a n s o m E x x   是 一 种 勒 索 软 件 变 种 ， 它 在   2 0 2 0   年 引 发 了 几 次 备 受 瞩 目 的 攻 击 ， 已 显 示 出 进 一 步 发 展 和 不 受 阻 碍 的 活 动 迹 象 。 最 近 报 道 的 发 展 涉 及 使 用 适 用 于   L i n u x   服 务 器 的 更 新 变 体 ， 有 效 地 将 其 范 围 扩 展 到   W i n d o w s   服 务 器 。         事 件 首 先 被 标 记 为 附 有 受 密 码 保 护 的   Z I P   文 件 的 网 络 钓 鱼 电 子 邮 件 ， 该 文 件 实 际 上 是 带 有 恶 意 宏 的   W o r d   文 档 （ 检 测 为 T r o j a n . W 9 7 M . S H A T H A K . A ） 。 它 显 示 一 条 消 息 ， 诱 使 用 户 启 用 宏 内 容 ： 通 过 允 许 文 档 中 的 宏 ， 它 将 尝 试 从 恶 意   U R L 下 载   I c e d I D   木 马 （ 检 测 为 T r o j a n S p y . W i n 3 2 . I C E D I D . B P ） 。 如 果 下 载 成 功 ， 则 使 用 r e g s v r 3 2 . e x e 执 行 木 马 。 作 为 一 种 常 见 的   I c e d I D   方 法 ， 它 使 用 隐 写 术 作 为 一 种 方 法 ， 通 过 从 恶 意   U R L   下 载 的   . p n g   文 件 传 送 有 效 负 载 。 文 件 被 解 密 ， 有 效 载 荷 被 注 入 内 存 。 为 了 持 久 化 ， I c e d I D   创 建 了 一 个 每 小 时 运 行 的 计 划 任 务 ， 它 再 次 使 用   r e g s v r 3 2 . e x e   运 行 其 恶 意 D L L ：
在 此 事 件 中 ， 我 们 观 察 到   m s i e x e c . e x e   被 用 于 注 入 和 部 署 最 终 的   I c e d I D   负 载 。 有 了 最 终 的 有 效 载 荷 ， 攻 击 者 就 能 够 加 载 和 执 行   C o b a l t   S t r i k e   有 效 载 荷 ， 使 其 能 够 与 命 令 和 控 制   ( C & C )   服 务 器 进 行 通 信 ：                 与 恶 意 服 务 器 建 立 连 接 后 ， 攻 击 者 开 始 收 集 机 器 信 息 并 横 向 移 动 。 在 本 条 目 中 ， 我 们 没 有 证 据 显 示 恶 意 软 件 用 于 横 向 移 动 的 所 有 方 法 ， 除 了 通 过   S M B   的 方 法 。                 用 于 交 付 在 环 境 中 执 行 的 其 他 组 件 的 工 件 是   N o t e p a d + +   的 木 马 化 版 本 — — V a t e t   加 载 程 序 （ 检 测 为 T r o j a n . W i n 3 2 . V A T E T . S M ） 。 如 我 们 之 前 的 博 文 所 述 ， V a t e t   加 载 器 使 用 基 于   X O R   的 方 法 解 密 文 件 （ 在 我 们 的 分 析 中 称 为 c o n f i g . d a t ） 。 X O R 操 作 后 ， 它 分 配 内 存 ， 将 c o n f i g . d a t 解 密 后 的 代 码 注 入 到 自 己 的 内 存 中 ， 然 后 执 行 p a y l o a d ：
                只 要 根 据   c o n f i g . d a t   的 文 件 路 径 遵 循 正 确 的   X O R   操 作 ， V a t e t   加 载 器 就 会 加 载 任 何 有 效 负 载 。 我 们 确 定 了 一 个 不 同 的 c o n f i g . d a t   文 件 用 于 不 同 的 目 的 ， 例 如 通 过   P y x i e 、 L a z a g n e   和   M i m i k a t z   以 及   R a n s o m E x x   本 身 在 最 后 一 个 攻 击 阶 段 收 集 信 息 。 一 个 关 键 的 观 察 结 果 是 ， 用 于 信 息 收 集 的   c o n f i g . d a t   在 其 有 效 负 载 的 配 置 中 包 含 一 个 内 部   I P ， 特 别 是 在 与 用 于 发 送 收 集 的 信 息 的 服 务 器 地 址 有 关 的 部 分 中 。 我 们 有 证 据 表 明 ， 这 个 内 部   I P   被 用 作 渗 漏 点 ， 并 与 前 面 提 到 的   C & C   服 务 器 通 信 。 这 种 行 为 使 我 们 认 为 整 个 攻 击 确 实 非 常 快 ， 其 中 一 些 组 件 是 在 事 件 发 生 时 创 建 的 。 L i n u x   变 体 的 使 用 变 体 的 使 用                 将 所 描 述 的 事 件 与 最 近 涉 及   R a n s o m E x x   的 攻 击 相 关 联 ， 我 们 观 察 到 使 用   R a n s o m E x x   的 新   L i n u x   变 体 来 危 害   L i n u x   服 务 器 。 我 们 没 有 关 于 恶 意 软 件 如 何 发 送 到   L i n u x   服 务 器 的 信 息 ， 但 我 们 观 察 到 它 通 常 针 对   V M w a r e   环 境 ， 尤 其 是 用 作   V M w a r e 文 件 存 储 的 机 器 。 我 们 使 用   T r e n d   M i c r o   T e l f h a s h 发 现 了 三 种   R a n s o m E x x   f o r   L i n u x   变 体 ， 并 且 所 有 三 个 样 本 都 具 有 相 同 的 行 为 。 我 们 从 这 三 个 中 分 析 的 样 本 是 一 个   6 4   位   E L F   可 执 行 文 件 ， 其 中 包 含 来 自 名 为   m b e d t l s   的 开 源 库 的 所 有 加 密 方 案 。 该 示 例 是 多 线 程 的 ， 直 接 进 行 加 密 。 它 没 有 网 络 活 动 ， 没 有 反 分 析 技 术 ， 或 在 其 主 要 议 程 之 外 的 其 他 活 动 。 该 示 例 还 有 一 些 可 用 的 调 试 信 息 ， 允 许 我 们 检 查 函 数 名 称 和 源 代 码 文 件 名 等 特 征 ：
                执 行 后 ， 示 例 开 始 调 用 称 为   G e n e r a t e P r e D a t a   的 函 数 ， 该 函 数 负 责 使 用 来 自 本 机   L i n u x   函 数 的 伪 随 机 值 和   m b e d t l s   操 作 创 建   2 5 6   位   A E S   密 钥 。 A E S   密 钥 使 用 硬 编 码 的   R S A - 4 0 9 6   公 钥 加 密 ， 结 果 写 入 全 局 变 量 。 该 全 局 变 量 的 内 容 将 附 加 到 每 个 文 件 中 ， 以 便 将 来 在   E C B   模 式 下 使 用   A E S   进 行 加 密 ：
                G e n e r a t e P r e D a t a   函 数 在 恶 意 软 件 创 建 的 线 程 中 无 限 循 环 运 行 ， 尝 试 每   0 . 1 8   秒 生 成 一 次 加 密 密 钥 。 该 线 程 将 继 续 运 行 ， 直 到 恶 意 软 件 执 行 结 束 。
                只 有 当 用 户 将 目 录 指 定 为 命 令 行 参 数 时 ， 恶 意 软 件 才 会 运 行 。 加 密 准 备 从 称 为   l i s t _ d i r   的 函 数 开 始 。 l i s t _ d i r   函 数 执 行 的 第 一 个 操 作 确 保 通 过 命 令 行 传 递 的 参 数 是 一 个 目 录 。 如 果 检 查 成 功 ， 则 调 用 负 责 创 建 赎 金 票 据 的 函 数 。                 如 果 同 一 目 录 中 的 其 他 文 件 也 是 目 录 ， 则 再 次 调 用   l i s t _ d i r   函 数 。 对 于 常 规 文 件 ， 恶 意 软 件 会 尝 试 检 查 文 件 是 否 出 现 勒 索 软 件 扩 展 字 符 串 ， 以 确 定 是 否 需 要 对 其 进 行 加 密 。 对 于 在 目 录 中 找 到 的 每 个 文 件 ， 恶 意 软 件 都 会 添 加 一 个 任 务 来 加 密 文 件 ：

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理