搜索

[10479] 2016-09-08_Python勒索软件来袭，国产杀软集体失身

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-09-08_Python勒索软件来袭，国产杀软集体失身 P y t h o n 勒 索 软 件 来 袭 ， 国 产 杀 软 集 体 失 身 降 草   F r e e B u f   2 0 1 6 - 0 9 - 0 8 *   本 文 原 创 作 者 ： 降 草 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载         近 日 ， 近 日 ， f o r t i n e t 截 获 一 种 使 用 截 获 一 种 使 用 p y t h o n 语 言 编 写 的 勒 索 软 件 ， 并 将 其 命 名 为 语 言 编 写 的 勒 索 软 件 ， 并 将 其 命 名 为   “ F s o c i e t y   L o c k e r ” 。 之 所 以 命 名 为 。 之 所 以 命 名 为 “ F s o c i e t y   L o c k e r ” ， 是 因 为 勒 索 软 件 作 者 是 美 剧 ， 是 因 为 勒 索 软 件 作 者 是 美 剧 “ 黑 客 军 团 黑 客 军 团 ” 的 粉 丝 ， 勒 索 软 件 作 者 使 用 了 的 粉 丝 ， 勒 索 软 件 作 者 使 用 了 “ f s 0 c i e t y ” 作 为 文 件 加 密 后 的 后 缀 名 。 作 为 文 件 加 密 后 的 后 缀 名 。   今 天 我 们 就 对 这 款 勒 索 软 件 进 行 分 析 。         行 为 特 征 行 为 特 征 在 w i n 7 系 统 上 运 行 的 效 果 为 ：
运 行 后 对 文 件 的 加 密 处 理 ： 此 e x e 是 由 p y i n s t a l l 生 成 。 P y i n s t a l l 生 成 的 e x e 文 件 有 下 面 几 个 显 著 特 征 ： 特 征 一 ： 字 符 串 特 点 特 征 一 ： 字 符 串 特 点 ， 在 字 符 串 中 会 出 现 使 用 的 p y t h o n 的 模 块 文 本 使 用 s t r i n g s . e x e 查 看 e x e 的 字 符 串 信 息 ， 可 以 看 到 有 好 多 p y t h o n 的 模 块 的 文 本 内 容 ：     特 征 二 ： 算 法 特 点 。 特 征 二 ： 算 法 特 点 。 P y i n s t a l l 会 将 p y t h o n 的 解 释 程 序 使 用 z l i b 算 法 压 缩 打 包 使 用 p e i d 的 k a n a l 查 看 加 密 算 法 ， 可 以 看 到 程 序 所 使 用 的 算 法         特 征 三 ： 进 程 特 征 。 特 征 三 ： 进 程 特 征 。 P y i n s t a l l 生 成 的 e x e 会 启 动 自 身 做 为 子 进 程 ， 同 时 父 进 程 会 创 建 一 个 互 斥 体 等 待 子 进 程 的 结 束 ， 一 旦 子 进 程 结 束 后 ， 父 进 程 也 随 之 结 束 ：
源 代 码 分 析 源 代 码 分 析   使 用 p y i n s t x t r a c t o r . p y   脚 本 可 以 用 来 提 取 p y i n s t a l l 打 包 的 e x e 文 件 的 内 容 ， 脚 本 同 时 也 可 以 提 取 出 可 执 行 文 件 中 的 p y z 文 件 的 内 容 。   使 用 p y i n s t x t r a c t o r . p y 将 e x e 反 编 译 成 p y 文 件 进 入 解 压 出 来 的 文 件 夹 中 的 翻 找 一 番 ， 看 到 s c o l d i n g 文 件 ， 这 就 是 原 始 的 p y 文 件 查 看 s c o l d i n g 文 件 的 内 容 ， 可 以 知 道 s c o l d i n g 是 一 个 p y t h o n 写 的 勒 索 者 软 件 。 对 对 s c o l d i n g 文 件 的 分 析 文 件 的 分 析 在 m a i n 函 数 中 首 先 ， 调 用 r e g w r i t e 函 数 ， 将 自 身 写 入 启 动 项 2 .   调 用 s h a d o w _ w i p e 删 除 系 统 还 原 备 份 3 .   遍 历 C - Z 盘 符 ， 得 到 指 定 扩 展 名 的 文 件 列 表
        4 .     对 汇 总 得 到 文 件 ， 通 过 函 数 f i l e _ b u s t e r _ n e t w o r k 使 用 密 钥 “ 1 2 3 4 5 6 7 8 9 1 2 3 4 5 6 ” 进 行 加 密   通 过 对 源 代 码 的 分 析 ， 我 们 基 于 下 列 理 由 相 信 ， 此 勒 索 软 件 正 在 处 于 调 试 开 发 阶 段 ， 这 可 能 也 是 这 款 勒 索 软 件 现 在 还 没 有 大 范 围 流 行 起 来 的 原 因 。 1 . 代 码 中 通 过 注 释 的 方 式 取 消 了 通 过 共 享 传 播 的 函 数 ，         2 . 代 码 中 也 写 好 了 获 取 T o r 浏 览 器 及 运 行 t o r 代 理 的 代 码 ， 而 这 些 代 码 并 没 有 得 到 调 用 执 行
3 . 程 序 中 写 好 了 修 改 桌 面 壁 纸 显 示 勒 索 信 息 的 代 码 ， 这 些 代 码 也 没 有 被 调 用 执 行 。 总 结 总 结 P y t h o n   语 言 拥 有 开 发 快 ， 语 言 简 洁 ， 简 单 易 学 ， 类 库 众 多 等 优 点 ， 这 使 的 勒 索 软 件 作 者 可 以 使 用 p y t h o n 方 便 的 进 行 恶 意 软 件 开 发 ， 根 据 2 0 1 6 年 6 月 T I O B E 编 程 语 言 排 行 榜 ， p y t h o n 已 经 打 入 编 程 语 言 前 五 名 。 P y t h o n 的 快 速 普 及 也 使 p y t h o n 开 发 的 恶 意 程 序 也 普 遍 起 来 。 可 以 预 见 ， 在 不 久 的 未 来 ， 此 类 的 勒 索 软 件 也 极 可 能 会 出 现 l i n u x 和 m a c   o s 的 变 种 。 比 较 有 意 思 的 是 ， 国 内 杀 软 对 此 样 本 目 前 仍 全 部 失 身 。
参 考 资 料 ： 参 考 资 料 ： h t t p s : / / b l o g . f o r t i n e t . c o m / 2 0 1 6 / 0 9 / 0 1 / t a k e - i t - e a s y - a n d - s a y - h i - t o - t h i s - n e w - p y t h o n - r a n s o m w a r e h t t p : / / n e w s . s o f t p e d i a . c o m / n e w s / f s o c i e t y - r a n s o m w a r e - i s - h e r e - b u t - i t - s - p r e t t y - l a m e - 5 0 7 4 5 0 . s h t m l *   本 文 原 创 作 者 ： 降 草 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理