搜索

[10485] 2016-09-09_一个“良心未泯”的国产敲诈者病毒分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-09-09_一个“良心未泯”的国产敲诈者病毒分析 一 个 “ 良 心 未 泯 ” 的 国 产 敲 诈 者 病 毒 分 析 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 6 - 0 9 - 0 9 一 、 一 、   前 言 前 言 近 两 年 ， 以 敲 诈 勒 索 为 目 的 的 文 件 加 密 恶 意 软 件 逐 渐 成 为 恶 意 软 件 中 的 主 力 军 。 以 L o c k y 家 族 ， c e b e r 家 族 为 典 型 代 表 的 敲 诈 勒 索 软 件 席 卷 国 外 ， 对 政 府 机 构 ， 公 司 乃 至 个 人 用 户 造 成 了 极 大 的 危 害 。 早 期 的 敲 诈 勒 索 软 件 一 般 以 网 页 挂 马 形 式 出 现 ， “ 落 户 ” 到 本 地 运 行 后 会 经 过 一 系 列 的 代 码 重 组 及 解 密 操 作 得 到 用 于 执 行 主 要 功 能 的 s h e l l c o d e ， 然 后 运 行 s h e l l c o d e 对 指 定 文 件 进 行 加 密 。 由 于 程 序 代 码 段 在 解 密 和 解 混 淆 之 后 与 之 前 已 经 完 全 不 同 ， 主 要 功 能 又 移 至 s h e l l c o d e 中 执 行 ， 因 此 此 类 加 密 勒 索 软 件 较 容 易 躲 过 杀 软 的 静 态 检 测 。 但 为 了 对 抗 杀 软 不 断 更 新 的 特 征 库 ， 软 件 作 者 也 必 须 不 断 更 改 加 密 方 法 ， 这 也 造 成 了 研 发 成 本 的 增 加 。 在 最 近 这 段 时 间 ， 加 密 勒 索 类 软 件 有 简 化 的 趋 势 ， 软 件 开 发 者 将 目 光 转 向 了 拥 有 较 为 完 善 的 加 密 函 数 类 库 的 在 最 近 这 段 时 间 ， 加 密 勒 索 类 软 件 有 简 化 的 趋 势 ， 软 件 开 发 者 将 目 光 转 向 了 拥 有 较 为 完 善 的 加 密 函 数 类 库 的 . N E T 平 台 ， 同 平 台 ， 同 时 也 去 除 一 些 混 淆 操 作 ， 直 接 使 用 时 也 去 除 一 些 混 淆 操 作 ， 直 接 使 用 . N E T 平 台 下 一 些 公 开 的 混 淆 方 法 。 平 台 下 一 些 公 开 的 混 淆 方 法 。 当 然 ， 软 件 开 发 的 简 化 也 当 然 ， 软 件 开 发 的 简 化 也 “ 造 福 造 福 ” 了 国 内 一 大 帮 急 于 发 财 但 技 术 又 不 是 那 么 过 关 的 了 国 内 一 大 帮 急 于 发 财 但 技 术 又 不 是 那 么 过 关 的 “ 伪 黑 客 伪 黑 客 ” 。 从 最 近 的 样 本 捕 获 可 以 发 现 ， 。 从 最 近 的 样 本 捕 获 可 以 发 现 ， 已 有 一 些 国 内 黑 客 试 水 已 有 一 些 国 内 黑 客 试 水 . N E T 平 台 下 的 加 密 勒 索 软 件 。 平 台 下 的 加 密 勒 索 软 件 。                 二 、 二 、   样 本 具 体 分 析 样 本 具 体 分 析 捕 获 到 的 样 本 由 c # 语 言 编 写 ， 使 用 了 . N E T     R e a c t o r 4 . 2 混 淆 ， 在 去 混 淆 之 后 程 序 只 有 2 0 几 k 的 大 小 。 可 以 看 出 ， . N E T 平 台 下 的 加 密 勒 索 软 件 相 比 较 之 前 国 外 的 其 他 加 密 勒 索 软 件 体 积 上 缩 小 特 别 多 ， 但 加 密 的 速 度 还 是 不 尽 如 人 意 ， 一 般 需 要 半 分 钟 至 一 分 钟 的 时 间 才 能 完 成 一 整 套 加 密 操 作 。 图 1   去 混 淆 后 的 程 序 非 常 小 样 本 集 加 密 与 解 密 于 一 身 ， 当 文 件 被 加 密 后 ， 受 害 者 只 需 要 到 相 应 比 特 币 网 站 上 付 款 然 后 再 双 击 运 行 一 次 原 程 序 即 可 进 行 解 密 。 第
二 次 运 行 该 程 序 ， 程 序 便 通 过 判 断 赎 金 是 否 到 账 来 决 定 是 否 进 行 解 密 。 相 比 较 国 外 一 些 非 常 繁 琐 的 交 付 赎 金 解 密 的 步 骤 ， 这 款 国 产 敲 诈 勒 索 相 对 比 较 “ 良 心 ” ， 但 也 侧 面 说 明 一 点 ， 作 者 的 目 标 可 能 不 是 一 些 企 业 用 户 或 者 机 构 用 户 ， 而 是 普 通 的 用 户 ， 包 括 不 了 解 电 脑 知 识 的 用 户 ， 该 软 件 一 旦 传 播 开 来 破 坏 性 不 小 。 和 其 他 加 密 勒 索 软 件 的 套 路 相 同 ， 该 软 件 也 是 使 用 A E S 加 密 算 法 去 加 密 系 统 中 的 文 件 ， 然 后 使 用 R S A 加 密 算 法 去 加 密 A E S 密 钥 。 虽 然 A E S 是 对 称 加 密 算 法 ， 但 R S A 为 非 对 称 加 密 算 法 ， 只 有 拥 有 R S A 私 钥 才 能 解 密 得 到 A E S 的 密 钥 进 而 对 被 加 密 的 文 件 进 行 解 密 。 除 外 ， 软 件 加 密 时 使 用 的 A E S 密 钥 是 随 机 生 成 的 ， 因 此 在 加 密 过 后 无 法 复 现 密 钥 。 图 2   密 钥 间 加 密 过 程                           图 3   用 A E S 密 钥 对 文 件 进 行 加 密       程 序 通 过 判 断 文 件 名 来 选 择 执 行 加 密 的 文 件 ， 除 了 一 些 系 统 文 件 夹 诸 如 “ P r o g r a m   F i l e s ” 之 外 ， 还 专 门 针 对 国 内 用 户 加 密 文 件 名 中 含 有 “ 优 酷 ” ， “ 风 行 ” ， “ Q Q p e t ” 字 样 的 文 件 。 图 4   一 些 被 加 密 的 文 件 名 在 进 行 加 密 之 后 ， 程 序 会 将 交 付 赎 金 的 步 骤 等 需 要 受 害 者 知 晓 的 信 息 写 入 到 文 件 中 ， 并 将 文 件 放 在 系 统 的 关 键 文 件 夹 以 及 桌 面 上 。 除 外 ， 为 了 更 加 显 眼 作 者 干 脆 来 了 个 超 大 的 对 话 框 告 诉 受 害 者 交 付 赎 金 的 方 法 。 图 5   初 始 化 文 件 中 的 内 容                 图 6   将 恢 复 步 骤 写 入 文 件 并 复 制 到 桌 面 上                   图 7   循 环 弹 对 话 框
下 图 所 示 就 是 弹 出 的 写 有 恢 复 步 骤 的 对 话 框 。 从 中 可 以 看 出 ， 恢 复 步 骤 其 实 不 复 杂 ， 交 付 赎 金 之 后 双 击 再 次 运 行 程 序 即 可 。                

  图 8   写 有 恢 复 步 骤 的 对 话 框 那 么 程 序 是 如 何 判 断 用 户 已 经 交 付 赎 金 了 呢 ？ 从 下 面 的 代 码 可 以 看 出 ， 程 序 访 问 相 关 比 特 币 帐 户 ， 并 根 据 返 回 值 来 进 行 判 断 。 可 以 看 出 ， 作 者 使 用 的 比 特 币 网 站 和 国 内 一 些 打 码 平 台 的 运 作 方 式 相 似 ， 即 用 户 通 过 相 关 网 址 提 交 数 据 ， 而 程 序 可 以 访 问 相 关 接 口 来 获 取 实 时 的 结 果 ， 这 种 借 助 第 三 方 来 进 行 交 易 的 方 式 不 仅 不 容 易 暴 露 作 者 身 份 ， 也 方 便 作 者 实 时 获 得 账 户 信 息 ， 可 以 说 是 一 种 自 动 化 的 “ 提 款 机 ” 。 图 9   访 问 比 特 币 帐 户 相 关 网 址 图 1 0   判 断 付 款 金 额 是 否 足 够                 从 上 图 可 以 看 出 ， 受 害 者 应 付 的 数 值 为 n u m 3 ， 受 害 者 所 付 的 数 值 为 n u m 4 / 1 E 0 8 ， 通 过 判 断 两 值 的 大 小 来 确 定 付 款 金 额 是 否 足 够 。 从 返 回 信 息 和 代 码 信 息 可 以 看 出 ， n u m 3 是 应 付 赎 金 对 应 的 比 特 币 数 目 ， 通 过 访 问 h x x p : / / b l o c k m e t a . c o m / a p i / v 1 / c h a i n / t i c k e r 可 以 获 得 当 前 比 特 币 对 人 民 币 的 汇 率 ， 并 通 过 n u m （ 应 付 金 额 ） / n u m 2 （ 比 特 币 汇 率 ） 来 计 算 作 者 应 得 的 比 特 币 ， 然 后 作 者 访 问 自 己 账 户 获 得 已 收 到 的 比 特 币 数 并 进 行 比 较 。 图 1 1   返 回 信 息 显 示 比 特 币 汇 率 在 获 得 赎 金 后 ， 程 序 就 该 执 行 解 密 操 作 了 ， 按 照 常 见 的 加 密 勒 索 软 件 的 套 路 应 该 是 访 问 一 个 暗 网 地 址 获 取 密 钥 解 密 。 不 过 。 。 。 作 者 好 像 用 了 另 一 种 套 路 ， 他 把 密 钥 全 部 存 放 在 了 本 地 。 。 。 放 在 了 本 地 。 。 。 本 地 。 。 。
如 下 图 所 示 ， 作 者 把 加 密 文 件 用 的 A E S 密 钥 和 加 密 A E S 密 钥 的 R S A 公 钥 私 钥 全 存 放 在 了 桌 面 的 c k t 文 件 中 。 图 1 2   生 成 c k t 后 缀 的 文 件 存 放 密 钥 当 交 付 赎 金 成 功 后 ， 即 通 过 本 地 的 c k t 文 件 进 行 解 密 。                 图 1 3   调 取 存 放 在 本 地 的 密 钥 进 行 既 然 密 钥 都 存 放 在 本 地 ， 就 可 以 通 过 密 钥 来 进 行 相 应 的 解 密 操 作 。 可 以 说 ， 这 个 加 密 勒 索 做 得 相 当 相 当 相 当 失 败 。 不 过 换 句 话 说 ， 一 般 用 户 可 能 不 知 道 桌 面 上 的 c k t 文 件 就 是 解 密 的 密 钥 ， 所 以 说 ， 中 了 加 密 勒 索 软 件 之 后 先 别 慌 张 ， 先 检 查 程 序 是 否 遗 留 下 样 本 或 者 一 些 相 关 的 信 息 ， 如 果 有 的 话 可 以 提 交 到 杀 毒 软 件 相 关 反 馈 窗 口 ， 由 病 毒 分 析 人 员 分 析 并 确 定 解 密 的 可 行 性 。 除 了 利 用 本 地 的 密 钥 进 行 解 密 ， 我 们 还 发 现 了 另 一 个 可 以 利 用 的 点 。 程 序 通 过 判 断 作 者 比 特 币 账 户 上 的 比 特 币 数 量 是 否 大 于 应 付 赎 金 可 兑 换 的 比 特 币 数 量 来 决 定 是 否 进 行 解 密 。 判 断 的 代 码 如 下 所 示 。 图 1 4   判 断 条 件 该 条 件 如 果 成 立 ， 则 说 明 支 付 的 赎 金 不 够 。 因 此 满 足 支 付 的 条 件 为 n u m 4 / 1 E 0 8 > n u m 3 。 n u m 4 和 n u m 3 都 是 从 作 者 账 户 或 者 相 应 比 特 币 汇 率 信 息 中 得 到 的 数 据 ， 修 改 较 不 方 便 ， 但 1 E 0 8 是 硬 编 码 在 代 码 里 的 ， 当 然 可 以 通 过 修 改 这 个 数 值 来 使 条 件 满 足 。 既 然 作 者 用 n u m 4 / 1 E 0 8 和 n u m 3 比 较 ， 说 明 n u m 4 应 该 比 n u m 3 大 好 几 个 数 量 级 ， 我 们 不 妨 把 1 E 0 8 改 为 1 ， 只 要 n u m 4 最 初 不 等 于 0 ， n u m 4 / 1 E 0 8 > n u m 3 就 有 极 大 可 能 会 成 立 。                 图 1 5   修 改 前 相 应 位 置 的 I L 指 令                
图 1 6   修 改 后 相 应 位 置 的 I L 指 令                 果 不 其 然 ， 即 使 没 有 交 付 赎 金 ， 程 序 也 能 跳 转 到 解 密 部 分 执 行 解 密 功 能 。 加 密 勒 索 软 件 转 眼 间 就 成 了 解 密 程 序 。 当 然 ， 如 果 n u m 4 等 于 0 ， 就 不 能 通 过 修 改 1 E 0 8 这 个 值 来 改 变 跳 转 条 件 ， 这 时 候 可 以 通 过 修 改 相 应 的 I L 指 令 将 跳 转 条 件 中 的 < = 改 为 > 即 可 实 现 相 同 效 果 。 如 下 图 所 示 。       图 1 7   修 改 前 相 应 位 置 的 I L 指 令 图 1 8   修 改 后 相 应 位 置 的 I L 指 令 图 1 9   解 密 前 的 文 件   图 2 0   解 密 后 的 文 件
只 能 说 ， 这 种 把 密 钥 存 放 在 本 地 的 方 式 实 在 太 失 败 了 ， 但 侧 面 也 反 映 出 了 作 者 的 一 些 顾 虑 。 如 果 通 过 服 务 器 上 传 密 钥 或 下 载 密 钥 进 行 解 密 就 会 很 容 易 被 分 析 人 员 通 过 服 务 器 地 址 溯 源 出 病 毒 作 者 的 个 人 信 息 。 由 此 看 来 作 者 的 “ 反 侦 察 意 识 ” 还 是 蛮 强 的 ， 只 是 使 用 的 方 法 ， 实 在 不 忍 直 视 。 。 。 可 能 作 者 也 发 现 了 该 软 件 存 在 严 重 的 漏 洞 ， 不 久 过 后 ， 3 6 0 互 联 网 安 全 中 心 又 捕 获 到 一 枚 加 密 勒 索 软 件 。 通 过 对 该 加 密 勒 索 软 件 的 分 析 不 难 看 出 ， 两 个 加 密 勒 索 软 件 出 自 同 一 人 之 手 。 图 2 1   升 级 后 的 加 密 勒 索 软 件 图 2 2   新 样 本 中 对 c k t 的 命 名 方 式 和 上 一 个 样 本 相 同 新 样 本 中 的 加 密 手 法 和 老 样 本 相 同 ， 只 是 对 于 密 钥 的 处 理 方 式 发 生 了 改 变 ， 不 再 是 以 前 的 直 接 将 密 钥 存 放 在 本 地 ， 而 是 将 用 户 计 算 机 名 称 以 及 加 密 所 需 的 密 钥 上 传 到 h x x p : / / w w w . d i a o c h a p a i . c o m / s u r v e y / b 6 c e b 9 c f - 3 9 0 2 - 4 4 9 6 - a 6 3 0 - 8 9 0 5 5 e f d e 0 1 c 。 这 是 一 个 用 户 发 布 调 查 表 的 网 站 ， 从 用 户 计 算 机 获 取 的 数 据 可 能 作 为 调 查 表 的 内 容 上 传 到 该 地 址 ， 而 软 件 作 者 作 为 调 查 表 的 发 布 者 可 以 很 容 易 的 看 到 这 些 数 据 ， 也 就 可 以 得 到 每 一 台 计 算 机 感 染 该 加 密 勒 索 软 件 时 所 使 用 的 密 钥 。 由 于 上 传 密 钥 时 顺 道 上 传 了 计 算 机 名 ， 也 就 达 到 了 “ 一 机 一 码 ” 的 效 果 ， 作 者 在 接 收 赎 金 进 行 解 密 时 也 更 加 方 便 。                                                                                                     图 2 3   上 传 密 钥 和 计 算 机 名                 同 样 ， 加 密 成 功 后 程 序 会 弹 出 相 应 的 文 本 内 容 以 及 警 告 框 要 求 用 户 联 系 邮 箱 i m u g f @ o u t l o o k . c o m 来 申 请 解 密 。
图 2 4   弹 出 写 有 恢 复 方 法 的 文 本 内 容   图 2 5   弹 出 警 告 框 被 加 密 后 的 文 件 如 下 图 所 示 。 图 2 6   被 加 密 的 文 件 那 么 ， 是 不 是 作 者 上 传 了 密 钥 就 没 办 法 进 行 解 密 ， 只 能 乖 乖 交 付 赎 金 了 ？ 理 论 上 是 这 样 的 ， 但 不 知 是 作 者 良 心 发 现 还 是 良 心 发 现 ， 竟 然 留 下 了 一 段 可 能 可 以 用 来 解 密 的 代 码 。 如 下 图 所 示 ， 作 者 在 进 行 上 传 操 作 时 使 用 的 是 t r y   c a t c h 语 句 ， 一 旦 上 传 出 现 异 常 则 转 向 异 常 处 理 代 码 ， 而 异 常 处 理 代 码 竟 然 是 。 。 。 把 密 钥 保 存 在 本 地 。 图 2 7   一 旦 上 传 失 败 就 将 密 钥 存 在 本 地 可 能 作 者 考 虑 到 有 些 用 户 的 文 件 遭 到 加 密 时 上 传 地 址 已 经 失 效 ， 如 果 这 时 不 存 留 一 份 密 钥 的 话 ， 用 户 的 文 件 将 永 远 无 法 解 密 。 看 来 作 者 还 是 有 点 良 心 的 。 。 。 而 作 者 又 是 一 个 善 于 “ 隐 藏 身 份 ” 的 人 ， 肯 定 会 经 常 修 改 上 传 地 址 ， 这 会 导 致 该 版 本 的 上 传 地 址 很 快 就 失 效 ， 因 此 许 多 用 户 的 文 件 遭 到 加 密 时 ， 是 可 以 在 本 地 找 到 解 密 密 钥 的 。
不 过 如 果 用 户 不 知 道 本 地 存 放 的 这 些 以 c k t 为 后 缀 的 文 件 就 是 解 密 密 钥 ， 可 能 同 样 会 去 联 系 作 者 ， 也 同 样 会 被 坑 一 笔 钱 。 图 2 8   分 析 过 程 中 该 上 传 地 址 已 经 失 效 所 以 用 户 在 发 现 自 己 计 算 机 中 的 文 件 遭 到 加 密 后 千 万 不 要 马 上 联 系 对 方 ， 可 能 加 密 密 钥 就 在 本 地 ， 而 你 却 因 此 被 坑 了 一 大 笔 钱 。 这 时 候 将 情 况 反 馈 给 杀 毒 软 件 厂 商 才 是 最 正 确 的 选 择 。 三 、 总 结 三 、 总 结 由 于 加 密 勒 索 软 件 开 发 技 术 的 简 化 以 及 该 产 业 所 带 来 的 暴 利 对 国 内 黑 产 从 业 者 的 诱 惑 ， 国 内 的 加 密 勒 索 软 件 数 量 将 呈 现 不 断 上 升 的 趋 势 。 用 户 在 发 现 计 算 机 中 的 文 件 被 加 密 后 ， 不 要 急 于 支 付 赎 金 ， 而 应 该 检 查 计 算 机 中 是 否 有 相 应 病 毒 样 本 或 者 相 关 信 息 的 残 留 ， 如 果 有 的 话 可 以 反 馈 到 杀 毒 软 件 ， 由 专 业 分 析 人 员 进 行 分 析 并 确 定 解 决 方 案 。 值 得 一 提 的 是 ， 3 6 0 安 全 卫 士 已 经 开 通 了 “ 反 勒 索 服 务 ” ， 并 向 用 户 公 开 承 诺 ： 使 用 3 6 0 安 全 卫 士 1 1 . 0 版 本 并 开 启 该 服 务 后 ， 一 旦 感 染 敲 诈 者 病 毒 ， 3 6 0 将 提 供 最 高 3 个 比 特 币 （ 约 1 3 0 0 0 元 人 民 币 ） 的 赎 金 并 帮 助 用 户 回 复 数 据 ， 让 用 户 远 离 财 物 及 文 档 的 损 失 。 * 本 文 作 者 ： 3 6 0 安 全 卫 士 ， 原 文 出 自 3 6 0 . c n ， 未 经 许 可 禁 止 转 载
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理