搜索

[10948] 2017-01-19_能DDoS的勒索木马FireCrypt进一步分析

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2017-01-19_能DDoS的勒索木马FireCrypt进一步分析 能 D D o S 的 勒 索 木 马 F i r e C r y p t 进 一 步 分 析 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 0 1 - 1 9 近 日 ， 近 日 ， F r e e B u f 上 对 于 一 类 上 对 于 一 类 F i r e C r y p t 木 马 做 了 相 关 的 报 道 ： 流 氓 会 武 功 ： 这 款 勒 索 软 件 不 仅 能 勒 索 ， 还 能 木 马 做 了 相 关 的 报 道 ： 流 氓 会 武 功 ： 这 款 勒 索 软 件 不 仅 能 勒 索 ， 还 能 D D o S 。 哈 勃 分 析 。 哈 勃 分 析 系 统 拿 到 了 相 关 样 本 ， 并 对 其 进 行 了 分 析 。 系 统 拿 到 了 相 关 样 本 ， 并 对 其 进 行 了 分 析 。 经 分 析 ， 该 类 样 本 通 过 木 马 生 成 器 自 定 义 生 成 ， 运 行 该 样 本 会 对 特 定 文 件 类 型 进 行 经 分 析 ， 该 类 样 本 通 过 木 马 生 成 器 自 定 义 生 成 ， 运 行 该 样 本 会 对 特 定 文 件 类 型 进 行 A E S 加 密 ， 同 时 伴 随 着 持 续 但 微 弱 的 加 密 ， 同 时 伴 随 着 持 续 但 微 弱 的 D D o S 行 为 行 为 ( 请 求 特 定 网 站 下 载 文 件 请 求 特 定 网 站 下 载 文 件 ) 。 以 下 是 详 细 的 样 本 分 析 结 果 。 。 以 下 是 详 细 的 样 本 分 析 结 果 。 一 ． 样 本 运 行 效 果 一 ． 样 本 运 行 效 果 该 样 本 运 行 后 会 加 密 系 统 所 有 盘 符 下 的 特 定 文 件 类 型 的 文 件 ， 加 密 后 会 在 文 件 名 后 加 上 f i r e c r y p t 后 缀 ， 如 下 图 所 示 :
图 1 . 加 密 后 的 文 件 在 加 密 结 束 后 ， 样 本 会 在 桌 面 生 成 两 个 文 件 分 别 为 x x x x - R E A D _ M E . h t m l 和 x x x x - f i l e s e n c r y p t e d . h t m l ， x x x x - R E A D _ M E . h t m l 是 加 密 后 提 示 给 受 害 用 户 的 解 密 提 示 ， x x x x - f i l e s e n c r y p t e d . h t m l 是 当 前 受 害 者 电 脑 所 有 被 加 密 文 件 的 路 径 位 置 信 息 ， 如 下 图 所 示 ：
图 2   x x x x - R E A D _ M E . h t m l 图 3   x x x x - f i l e s e n c r y p t e d . h t m l 该 解 密 提 示 界 面 警 告 受 害 者 A E S 密 钥 的 销 毁 时 间 ， 用 户 需 要 在 密 钥 销 毁 之 前 向 特 定 比 特 币 地 址 支 付 5 0 0 美 元 赎 金 以 获 得 A E S 密 钥 和 解 密 程 序 。 木 马 会 在 每 台 被 加 密 的 机 器 上 生 成 一 个 唯 一 的 U S E R   I D 用 于 识 别 受 害 机 器 。 此 外 ， 在 文 件 加 密 完 成 后 ， 该 木 马 会 创 建 数 个 后 台 线 程 去 固 定 的 某 个 网 站 上 下 载 文 件 到 % T e m p % 目 录 下 ， 如 下 图 所 示 ： 图 4     木 马 文 件 下 载   二 ． 样 本 运 行 流 程 ： 二 ． 样 本 运 行 流 程 ： 此 木 马 是 基 于 . N E T 环 境 开 发 ， 依 赖 . N E T   F r a m e w o r k   4 . 0 及 以 上 。 通 过 r e f l e c t o r 工 具 可 以 对 木 马 进 行 反 编 译 ， 从 而 分 析 出 该 木 马 大 致 运 行 流 程 如 下 :
图 5     f i r e c r y p t 木 马 运 行 流 程 三 ． 文 件 加 密 分 析 ： 三 ． 文 件 加 密 分 析 ： 1 . 样 本 首 先 查 找 受 害 电 脑 的 所 有 盘 符 : 图 6     查 找 盘 符 然 后 递 归 遍 历 所 有 系 统 盘 符 下 的 所 有 文 件 ， 查 找 符 合 如 下 后 缀 名 的 文 件 ， 将 这 些 文 件 的 路 径 信 息 加 入 % A p p D a t a % S y s W i n 3 2 f i l e s . t x t ， 加 密 文 件 类 型 如 下 :                               图 7     加 密 文 件 类 型 2 . 样 本 会 产 生 一 个 3 2 个 字 符 的 随 机 字 符 串 ， 该 随 机 字 符 串 用 于 后 续 A E S 2 5 6 密 钥 的 生 成 :
其 中 随 机 数 产 生 的 算 法 如 下 : 3 .   A E S 2 5 6 加 密 流 程 如 下 , E n c r y p t _ F u n 方 法 中 调 用 的 A E S 2 5 6 _ E n c r y p t 为 加 密 的 主 要 函 数 : A E S 2 5 6 _ E n c r y p t 方 法 传 入 带 加 密 的 数 据 和 用 于 加 密 的 密 码 ， 此 密 码 再 与 一 些 其 它 的 参 数 生 成 真 正 的 密 钥 ， 具 体 流 程 如 下 : 至 此 ， 文 件 完 整 的 加 密 流 程 已 经 完 结 了 。 该 样 本 在 加 密 每 个 文 件 的 时 候 都 会 产 生 一 个 3 2 个 字 符 的 随 机 字 符 串 ， 然 后 通 过 该 随 机 字 符 串 去 生 成 A E S 加 密 密 钥 。 这 样 每 次 加 密 的 密 钥 都 是 不 同 的 ， 但 是 在 整 个 加 密 流 程 前 后 并 未 发 现 木 马 通 过 网 络 将 密 钥 发 送 给 远 端 的 服 务 器 ， 一 旦 用 户 的 电 脑 被 此 类 木 马 感 染 后 ， 即 使 向 作 者 给 出 的 比 特 币 地 址 支 付 赎 金 ， 仍 然 无 法 获 取 需 要 解 密 的 A E S 密 钥 。 四 ． 木 马 的 四 ． 木 马 的 D D o S 行 为 ： 行 为 ： 当 加 密 行 为 完 成 后 ， 样 本 将 在 后 台 创 建 多 个 线 程 :
在 D o w n l o a d T h r e a d 函 数 中 会 持 续 对 w w w [ . ] p t a [ . ] g o v [ . ] p k / i n d e x [ . ] p h p 发 出 请 求 ， 并 将 该 页 面 下 载 到 % t e m p % 目 录 并 存 储 : 当 样 本 感 染 的 机 器 足 够 多 的 时 候 ， 这 种 正 常 的 U r l 请 求 就 会 变 成 D D o S 攻 击 。 五 ． 结 束 任 务 管 理 器 ： 五 ． 结 束 任 务 管 理 器 ： 除 了 以 上 的 文 件 加 密 和 D D o S 行 为 ， 样 本 还 会 创 建 一 个 T i m e r ， 每 隔 5 0 0 m s 将 “ t a s k m g r ” 进 程 杀 掉 : 以 此 防 止 用 户 通 过 任 务 管 理 器 发 现 木 马 进 程 ， 进 而 结 束 该 木 马 进 程 。 六 ． 木 马 生 成 器 与 变 种 ： 六 ． 木 马 生 成 器 与 变 种 ： 此 类 通 过 生 成 器 生 成 的 木 马 样 本 ， 每 次 生 成 的 样 本 的 哈 希 值 都 会 发 生 变 化 ， 可 以 通 过 不 停 变 种 绕 过 一 些 仅 凭 哈 希 值 进 行 判 定 的 防 护
措 施 。 不 过 ， 此 木 马 并 未 采 取 强 烈 的 混 淆 手 段 ， 大 多 数 情 况 下 仍 然 可 以 通 过 静 态 特 征 或 者 动 态 行 为 ， 识 别 该 类 生 成 器 产 生 的 木 马 。 * 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自 F r e e b u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理