搜索

[10334] 2016-07-24_VirLock敲诈者新变种分析及解密方法

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-07-24_VirLock敲诈者新变种分析及解密方法 V i r L o c k 敲 诈 者 新 变 种 分 析 及 解 密 方 法 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 6 - 0 7 - 2 4 前 言 前 言 2 0 1 6 年 年 6 月 开 始 ， 月 开 始 ， 3 6 0 研 究 人 员 发 现 研 究 人 员 发 现 V i r L o c k 的 新 变 种 的 查 杀 量 呈 现 上 升 趋 势 ， 通 过 分 析 ， 发 现 其 新 变 种 采 用 了 多 种 手 段 来 对 的 新 变 种 的 查 杀 量 呈 现 上 升 趋 势 ， 通 过 分 析 ， 发 现 其 新 变 种 采 用 了 多 种 手 段 来 对 抗 杀 软 。 抗 杀 软 。 基 本 信 息 基 本 信 息 M D 5 ： D 8 3 2 5 0 8 B 5 3 B B 3 B 5 5 C 2 2 8 8 F 2 3 B 4 F B 6 C 2 C 大 小 ： 8 5 0 9 4 4 字 节 行 为 简 述 行 为 简 述 1 . 在 % U s e r P r o f i l e % 与 % A l l U s e r s P r o f i l e % 释 放 文 件 ， 文 件 名 为 随 机 生 成 ， 使 用 C r e a t e P r o c e s s W 创 建 进 程 。 2 . 第 一 个 被 启 动 的 进 程 会 再 次 生 成 一 个 随 机 文 件 名 的 文 件 ， 这 三 个 文 件 互 为 守 护 进 程 ， 当 其 中 任 何 一 个 被 杀 死 之 后 ， 都 会 被 其 他 “ 兄 弟 ” 创 建 ， 病 毒 以 此 手 段 避 免 进 程 被 杀 死 。
3 . 设 置 注 册 表 ， 使 隐 藏 文 件 ， 文 件 扩 展 名 不 可 见 。 4 . 加 密 文 件 ， 被 加 密 的 文 件 变 为 E X E ， 图 标 和 加 密 前 一 致 。 5 . 感 染 文 件 类 型 ， 包 括 但 不 限 于 ： 文 档 ： D O C 、 X L S 、 P D F 、 P P T 等 ； 图 片 ： P N G 、 G I F 、 B M P 、 J P G 等 ； 压 缩 文 件 ： R A R 、 Z I P 、 7 z 等 ； 可 执 行 文 件 ： E X E 、 S C R 等 。 6 . 弹 出 勒 索 提 示 ， 需 要 支 付 价 值 约 $ 2 5 0 的 比 特 币 作 为 赎 金 。 病 毒 发 作 之 后 截 图 病 毒 发 作 之 后 截 图
图 ： 告 警 信 息 ， 提 示 用 户 使 用 了 盗 版 软 件 ， 需 要 支 付 罚 金 。 恫 吓 用 户 ， 若 不 支 付 赎 金 ， 可 能 会 被 判 处 5 年 徒 刑 。 图 ： 向 用 户 介 绍 支 付 流 程 。
图 ： 附 近 A T M 的 位 置 相 对 上 一 版 本 的 亮 点 相 对 上 一 版 本 的 亮 点 亮 点 之 一 ： 代 码 执 行 亮 点 之 一 ： 代 码 执 行 新 变 种 相 对 老 变 种 相 比 ， 变 化 最 大 的 就 在 于 代 码 执 行 方 式 。 病 毒 体 在 解 密 之 后 ， 执 行 方 式 就 不 是 顺 序 执 行 ， 而 是 采 取 一 种 特 殊 的 方 式 来 执 行 ， 以 此 来 对 抗 杀 毒 虚 拟 机 ， 增 加 分 析 难 度 。 流 程 大 致 如 下 ： （ A ） 新 申 请 一 块 新 的 内 存 区 域 ， 作 为 S T U B ， 以 供 病 毒 体 执 行 ； （ B ） 将 公 共 代 码 放 入 S T U B 中 ， 公 共 代 码 中 间 以 N O P 填 充 ； （ C ） 解 密 另 一 区 域 的 数 据 ， 按 照 格 式 ， 将 代 码 复 制 到 公 共 代 码 的 N O P 位 置 ； （ D ） 执 行 S T U B ， 清 空 S T U B ； （ E ） 循 环 执 行 （ B ） 。 其 中 S T U B 的 代 码 如 下 ： 结 构 如 下 ， S T U B 主 要 由 三 部 分 组 成 ：
这 样 一 来 ， 每 执 行 一 条 “ 核 心 指 令 ” ， 就 要 多 执 行 上 百 条 负 责 解 密 ， 循 环 控 制 的 指 令 。 增 加 了 病 毒 体 积 ， 与 执 行 步 数 ， 也 给 调 试 带 来 一 些 不 便 。 填 充 的 指 令 由 指 令 表 与 跳 转 表 组 成 。 指 令 表 ： 指 令 表 ： 通 过 X O R 算 法 ， 可 解 密 出 指 令 表 。 解 密 之 后 的 数 据 如 下 （ 蓝 色 数 据 部 分 ） ：
整 理 之 后 可 以 看 出 ， 数 据 由 数 据 前 缀 与 指 令 组 成 ： 指 令 前 缀 由 两 部 分 组 成 ： 代 码 标 志 与 代 码 长 度 ， 代 码 标 志 为 0 0 表 示 普 通 指 令 。 顺 序 表 ： 顺 序 表 ： 代 码 的 执 行 按 照 此 顺 序 执 行 ， 包 括 条 件 跳 转 ； 解 密 方 式 也 是 X O R 。 部 分 数 据 如 下 ： 其 中 D 5 到 E 9 解 密 后 如 下 ， 标 志 位 为 （ 0 1 ， 表 示 跳 转 ） ， 跳 转 条 件 均 为 J N Z ， 后 面 的 数 值 表 示 跳 转 相 对 偏 移 ：
亮 点 之 二 ： 数 据 解 密 亮 点 之 二 ： 数 据 解 密 随 着 程 序 的 执 行 ， 病 毒 会 主 动 将 文 件 解 密 后 落 地 ， 因 此 被 V i r L o c k 加 密 的 数 据 ， 在 逆 向 其 基 本 算 法 后 ， 是 可 以 恢 复 数 据 的 。 数 据 解 密 主 要 分 为 三 个 部 分 。 第 一 部 分 解 密 ： 第 一 部 分 解 密 ： 第 一 部 分 的 解 密 方 式 为 X O R ， 位 置 为 E S I ， 密 钥 为 E D X ， 长 度 为 E C X ： 第 二 部 分 解 密 ： 第 二 部 分 解 密 ：
这 部 分 解 密 的 位 置 信 息 ， 位 于 代 码 表 中 ： 第 三 部 分 解 密 ： 第 三 部 分 解 密 ： 在 执 行 完 第 二 部 分 解 密 之 后 ， 开 始 第 三 部 分 解 密 ， 这 层 解 密 主 要 针 对 被 加 密 文 件 。 解 密 方 式 ： X O R ， R O R 恢 复 文 件
图 ： 解 密 之 后 的 数 据 ， 红 色 部 分 表 示 原 始 文 件 名 ， 蓝 色 部 分 表 示 原 始 数 据 。 针 对 V i r L o c k 系 列 敲 诈 者 病 毒 ， 3 6 0 杀 毒 独 家 提 供 文 件 恢 复 功 能 。 如 果 用 户 不 慎 中 招 ， 可 以 使 用 3 6 0 杀 毒 扫 描 恢 复 原 文 件 。 扫 描 病 毒 ： 修 复 文 件 ：
文 件 恢 复 效 果 示 例 ： 亮 点 之 三 ： 勒 索 金 额 的 变 化 亮 点 之 三 ： 勒 索 金 额 的 变 化 在 2 0 1 5 年 1 月 ， 3 6 0 安 全 中 心 发 布 的 第 一 版 V i r L o c k 的 分 析 报 告 （ h t t p : / / b o b a o . 3 6 0 . c n / l e a r n i n g / d e t a i l / 2 2 7 . h t m l ） 显 示 ， 当 时 勒 索 的 金 额 ， 为 价 值 1 5 0 美 元 的 比 特 币 ， 当 时 约 0 . 7 1 B T C ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理