搜索

[10576] 2016-10-08_【木马分析】“Cerber3”敲诈者木马分析

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2016-10-08_【木马分析】“Cerber3”敲诈者木马分析 【 木 马 分 析 】 “ C e r b e r 3 ” 敲 诈 者 木 马 分 析 F r e e B u f   2 0 1 6 - 1 0 - 0 8 以 下 文 章 来 源 于 安 全 客 资 讯 平 台   ， 作 者 3 6 0 安 全 卫 士 一 、 一 、     前 言 前 言 近 日 ， 近 日 ， 3 6 0 互 联 网 安 全 中 心 捕 获 到 一 款 名 为 互 联 网 安 全 中 心 捕 获 到 一 款 名 为 “ c e r b e r 3 ” 的 敲 诈 者 木 马 。 的 敲 诈 者 木 马 。 该 敲 诈 者 木 马 会 加 密 计 算 机 中 的 重 要 文 件 ， 加 密 的 文 件 类 型 包 括 但 不 限 于 . d o c , . p p t , . x l s . , . j p g , . z i p , . p d f 等 1 8 0 多 种 类 型 。 被 加 密 后 的 文 件 将 无 法 正 常 打 开 且 被 加 上 “ c e r b e r 3 ” 扩 展 名 ， 用 户 必 须 访 问 相 应 网 站 支 付 赎 金 才 可 恢 复 文 件 ， 对 数 据 安 全 有 巨 大 威 胁 。 图 1   感 染 “ c e r b e r 3 ” 后 的 桌 面 背 景 图 2   勒 索 信 内 容 安 全 客 资 讯 平 台 安 全 客 资 讯 平 台   . 打 破 黑 箱   客 说 安 全
图 3   被 加 密 的 文 件 而 此 次 木 马 的 传 播 除 了 以 往 的 邮 件 附 件 传 播 外 ， 也 大 量 使 用 网 站 挂 马 ， 除 了 以 往 的 邮 件 附 件 传 播 外 ， 也 大 量 使 用 网 站 挂 马 ， w o r d 宏 病 毒 等 手 段 传 播 宏 病 毒 等 手 段 传 播 ， 这 也 造 成 大 批 普 通 网 民 中 招 。 文 档 打 开 之 后 ， 如 果 宏 被 执 行 的 话 ， 宏 代 码 会 调 用 P o w e r s h e l l 做 为 下 载 器 下 载 木 马 执 行 ： 二 、 二 、     加 密 流 程 解 析 加 密 流 程 解 析 “ c e r b e r 3 ” 敲 诈 者 使 用 敲 诈 者 使 用 R S A 搭 配 随 机 数 进 行 加 密 操 作 。 搭 配 随 机 数 进 行 加 密 操 作 。 首 先 使 用 R S A 公 钥 加 密 随 机 数 作 为 本 机 专 有 加 密 密 钥 ， 在 对 每 个 文 件 进 行 加 密 时 再 产 生 一 组 随 机 数 并 使 用 该 随 机 数 加 密 文 件 ， 最 后 用 本 机 专 有 密 钥 加 密 该 随 机 数 后 存 放 到 文 件 中 ， 同 时 也 将 本 机 专 有 密 钥 也 通 过 R S A 加 密 后 存 到 文 件 中 。 此 种 加 密 方 法 保 证 每 个 文 件 加 密 密 钥 不 同 并 且 每 台 计 算 机 的 专 有 密 钥 不 同 ， 就 算 暴 力 破 解 出 其 中 一 组 随 机 数 也 只 能 解 密 一 个 文 件 ， 只 有 获 得 R S A 私 钥 才 能 恢 复 所 有 文 件 。 加 密 流 程 如 下 所 示 。
使 用 这 种 分 级 加 密 方 式 ， 每 一 个 文 件 中 都 存 储 有 加 密 文 件 使 用 的 密 钥 ， 攻 击 者 可 以 对 单 个 文 件 实 施 解 密 操 作 。 在 攻 击 者 提 供 的 付 款 页 面 中 也 提 供 了 “ 免 费 解 密 单 个 文 件 ” 的 功 能 。 市 面 上 可 以 看 到 有 不 少 用 户 中 招 之 后 ， 交 付 赎 金 解 密 的 案 例
三 、 三 、     代 码 分 析 代 码 分 析 和 其 他 来 自 国 外 的 “ 敲 诈 者 ” 木 马 相 同 ， “ c e r b e r 3 ” 敲 诈 者 木 马 对 反 静 态 分 析 下 了 很 大 的 功 夫 。 它 通 过 在 申 请 的 虚 拟 空 间 中 执 行 数 据 解 密 操 作 ， 并 通 过 内 存 卸 载 和 重 新 映 射 两 个 步 骤 将 解 密 得 到 的 数 据 写 回 内 存 它 通 过 在 申 请 的 虚 拟 空 间 中 执 行 数 据 解 密 操 作 ， 并 通 过 内 存 卸 载 和 重 新 映 射 两 个 步 骤 将 解 密 得 到 的 数 据 写 回 内 存 中 ， 从 而 完 成 一 个 中 ， 从 而 完 成 一 个 “ 狸 猫 换 太 子 狸 猫 换 太 子 ” 的 任 务 。 的 任 务 。 处 理 完 的 程 序 和 原 先 的 程 序 完 全 不 同 ， 因 此 可 以 躲 过 绝 大 多 数 的 静 态 扫 描 。 图 4   使 用 p u s h   r e t n 更 改 执 行 流 程 至 开 辟 的 虚 拟 内 存 中 图 5   解 除 文 件 映 射 程 序 将 数 据 段 读 取 的 内 容 解 密 之 后 映 射 到 内 存 中 ， 从 而 完 成 整 个 程 序 内 容 的 转 换 ， 至 此 真 正 的 加 密 工 作 才 开 始 进 行 。 加 密 工 作 的 第 一 步 就 是 用 存 储 在 文 件 中 的 R S A 公 钥 加 密 一 组 随 机 数 ， 作 为 本 机 唯 一 的 初 始 密 钥 。
图 6   R S A 公 钥 图 7   公 钥 加 密 随 机 数 函 数 图 8   加 密 得 到 的 本 机 统 一 密 钥 获 得 本 机 初 始 密 钥 之 后 ， 将 会 使 用 该 密 钥 去 加 密 每 个 文 件 对 应 的 唯 一 随 机 数 ， 然 后 再 对 文 件 进 行 加 密 ， 完 整 的 加 密 流 程 如 下 图 所 示 。 图 9   加 密 流 程           然 后 将 加 密 后 的 随 机 数 密 钥 和 加 密 后 的 本 机 专 有 密 钥 也 存 放 到 文 件 中 。 受 害 者 交 付 赎 金 后 ， 作 者 通 过 私 钥 解 密 得 到 本 机 专 有 密 钥 ， 再 使 用 本 机 专 有 密 钥 分 别 解 密 每 个 文 件 使 用 的 随 机 数 密 钥 ， 最 后 解 密 每 个 文 件 。 图 1 0   将 两 组 密 钥 存 放 到 文 件 中
四 、 四 、     总 结 总 结 “ c e r b e r 3 ” 敲 诈 者 会 破 坏 用 户 计 算 机 中 的 重 要 文 档 ， 必 须 向 其 支 付 一 定 数 额 比 特 币 才 能 对 文 档 进 行 恢 复 ， 又 由 于 对 方 所 提 供 的 地 址 都 来 自 于 暗 网 ， 因 此 国 内 用 户 计 算 机 一 旦 感 染 此 病 毒 将 难 以 解 决 文 件 恢 复 的 问 题 。 对 于 普 通 网 民 来 说 ， 可 以 从 下 面 几 个 方 面 预 防 这 类 病 毒 ： 1 .     对 重 要 数 据 及 时 做 备 份 ， 将 备 份 存 在 多 个 位 置 ， 预 防 数 据 损 坏 丢 失 。 对 重 要 数 据 及 时 做 备 份 ， 将 备 份 存 在 多 个 位 置 ， 预 防 数 据 损 坏 丢 失 。 2 .     打 好 系 统 和 软 件 补 丁 ， 预 防 各 类 挂 马 和 漏 洞 攻 击 。 打 好 系 统 和 软 件 补 丁 ， 预 防 各 类 挂 马 和 漏 洞 攻 击 。 3 .     养 成 良 好 的 上 网 习 惯 ， 不 轻 易 打 开 陌 生 人 发 来 的 邮 件 附 件 。 养 成 良 好 的 上 网 习 惯 ， 不 轻 易 打 开 陌 生 人 发 来 的 邮 件 附 件 。 4 .     最 重 要 的 ， 用 户 应 该 选 择 一 款 可 靠 的 安 全 软 件 ， 保 护 计 算 机 不 受 最 重 要 的 ， 用 户 应 该 选 择 一 款 可 靠 的 安 全 软 件 ， 保 护 计 算 机 不 受 各 类 木 马 病 毒 侵 害 。 并 且 对 此 并 且 对 此 3 6 0 安 全 卫 士 开 通 了 安 全 卫 士 开 通 了 “ 反 勒 索 服 务 反 勒 索 服 务 ” ， 并 向 用 户 公 开 承 诺 ： ， 并 向 用 户 公 开 承 诺 ： 使 用 使 用 3 6 0 安 全 卫 士 并 开 启 该 服 务 后 ， 仍 然 感 染 敲 诈 者 病 毒 的 话 ， 安 全 卫 士 并 开 启 该 服 务 后 ， 仍 然 感 染 敲 诈 者 病 毒 的 话 ， 3 6 0 将 提 供 最 高 将 提 供 最 高 3 个 比 特 币 （ 约 个 比 特 币 （ 约 1 3 0 0 0 元 人 民 币 ） 的 赎 元 人 民 币 ） 的 赎 金 帮 助 用 户 恢 复 数 据 ， 让 用 户 远 离 财 物 及 文 档 的 损 失 。 金 帮 助 用 户 恢 复 数 据 ， 让 用 户 远 离 财 物 及 文 档 的 损 失 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理