搜索

[10969] 2017-01-25_Necurs要回来了，Locky还会远吗

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-01-25_Necurs要回来了，Locky还会远吗 N e c u r s 要 回 来 了 ， L o c k y 还 会 远 吗 华 为 未 然 实 验 室   F r e e B u f   2 0 1 7 - 0 1 - 2 5 C h e c k   P o i n t 公 司 最 近 发 表 了 有 关 公 司 最 近 发 表 了 有 关 2 0 1 6 年 年 1 2 月 最 活 跃 恶 意 软 件 的 报 告 ， 报 告 表 明 月 最 活 跃 恶 意 软 件 的 报 告 ， 报 告 表 明 L o c k y 垃 圾 邮 件 的 数 量 在 垃 圾 邮 件 的 数 量 在 1 2 月 下 降 了 月 下 降 了 8 1 % 。 。 而 就 在 而 就 在 1 0 月 份 ， 月 份 ， L o c k y 还 占 据 着 全 球 恶 意 软 件 排 行 榜 的 首 位 ， 到 了 还 占 据 着 全 球 恶 意 软 件 排 行 榜 的 首 位 ， 到 了 1 2 月 却 跌 出 了 前 十 。 如 果 你 以 为 月 却 跌 出 了 前 十 。 如 果 你 以 为 L o c k y 会 就 此 谢 幕 ， 那 你 会 就 此 谢 幕 ， 那 你 就 错 了 。 就 错 了 。 大 家 可 能 知 道 ， L o c k y 勒 索 软 件 的 主 要 传 播 途 径 是 N e c u r s 僵 尸 网 络 ， L o c k y 能 如 此 肆 虐 主 要 得 益 于 N e c u r s 。 而 圣 诞 节 前 到 一 月 中 旬 的 这 段 时 间 是 网 络 罪 犯 们 享 受 圣 诞 和 新 年 双 节 的 时 间 ， 在 此 期 间 ， N e c u r s 命 令 和 控 制 服 务 器 处 于 脱 机 状 态 ， 所 以 L o c k y 也 就 只 能 小 打 小 闹 了 。 不 过 思 科 T a l o s 团 队 在 几 天 前 再 次 观 察 到 一 些 垃 圾 邮 件 攻 击 开 始 传 播 L o c k y ， 只 是 规 模 较 小 。 采 用 的 仍 是 典 型 的 脚 本 文 件 手 段 ， 但 增 加 了 一 些 新 花 样 。 攻 击 攻 击 1 — — 双 重 压 缩 双 重 压 缩 L o c k y   L o c k y 攻 击 的 电 子 邮 件 样 本 这 是 T a l o s 团 队 几 天 前 观 察 到 的 第 一 个 攻 击 。 可 以 看 到 ， 邮 件 中 没 什 么 信 息 ， 主 题 和 正 文 没 有 内 容 ， 只 是 一 封 带 有 附 件 的 空 白 电 子 邮 件 。 提 取 附 件 后 其 中 有 第 二 个 z i p 文 件 — — 7 1 3 4 4 3 9 5 . d o c . z i p ， 该 z i p 文 件 使 用 双 扩 展 名 ， 目 的 是 让 用 户 误 以 为 是 d o c 文 件 。 该 z i p 文 件 之 中 是 另 一 个 双 扩 展 名 文 件 7 1 3 4 4 3 9 5 . d o c . j s e 。 这 是 对 应 于 L o c k y 负 载 的 恶 意 J a v a S c r i p t 。 该 攻 击 中 有 多 个 负 载 。   这 是 在 终 端 系 统 上 执 行 的 J S E 文 件 。 第 一 个 （ 红 框 内 ） 是 在 网 络 流 量 中 观 察 到 的 实 际 请 求 。 紧 接 该 G E T 请 求 的 是 看 起 来 几 乎 相 同 的 负 载 的 两 个 G E T 请 求 。
  恶 意 文 件 的 G E T 请 求 除 上 图 中 的 红 框 部 分 外 ， G E T 请 求 是 相 同 的 。 这 样 会 将 两 个 负 载 传 播 到 系 统 — — K o v t e r 木 马 和 L o c k y 勒 索 软 件 。 K o v t e r 主 要 用 于 点 击 欺 诈 攻 击 ， 会 在 用 户 为 解 密 其 文 件 而 支 付 后 继 续 在 系 统 中 运 行 （ 不 建 议 支 付 赎 金 的 其 中 一 个 原 因 ） 。 攻 击 攻 击 2 — — 基 于 基 于 R a r 的 的 L o c k y   L o c k y 攻 击 的 电 子 邮 件 样 本 这 是 T a l o s 团 队 第 二 天 开 始 观 察 到 的 第 二 个 攻 击 。 该 攻 击 的 内 容 稍 多 ， 主 题 行 和 正 文 中 有 内 容 。 邮 件 冒 充 交 易 失 败 ， 这 是 垃 圾 邮 件 攻 击 中 的 惯 用 伎 俩 。 该 攻 击 使 用 的 是 r a r 文 件 ， 而 非 更 常 用 的 z i p 格 式 。 用 户 提 取 文 件 后 会 发 现 一 个 j s 文 件 — — d o c _ d e t a i l s . j s 。   恶 意 J a v a s c r i p t 文 件 这 看 起 来 更 像 我 们 通 常 观 察 到 的 L o c k y 感 染 的 混 淆 J a v a S c r i p t 。 还 有 一 些 与 该 攻 击 有 关 的 有 意 思 的 细 节 。
  貌 似 D r i d e x 的 G E T 请 求 其 一 是 L o c k y 实 例 的 实 际 G E T 请 求 。 如 上 所 示 ， 该 U R L 结 构 并 不 是 检 索 L o c k y 负 载 通 常 会 看 到 的 结 构 ， 而 是 看 起 来 非 常 像 一 个 D r i d e x 样 本 的 请 求 。 另 一 个 独 特 方 面 与 所 使 用 的 用 户 代 理 ( U A ) 有 关 。 下 图 中 的 数 据 是 从 网 络 通 信 中 捕 获 的 ， 表 明 使 用 的 是 p y t h o n   U A ， 而 非 更 传 统 的 U A 。   新 用 户 代 理 示 例 这 两 次 攻 击 的 数 量 相 对 较 低 ， 但 可 能 预 示 着 海 量 攻 击 即 将 到 来 。 I O C 攻 击 攻 击 1 主 题 ： < 无 > 正 文 ： < 无 > 哈 希 值 ： 2 0 6 6 7 e e 4 7 5 7 6 7 6 5 5 5 0 f 9 9 6 1 b 8 7 7 2 8 1 2 8 c 8 d 9 c f 8 8 8 6 1 0 9 6 c 9 7 1 5 c 6 f c e 9 9 4 e 3 4 7 e （ J S E 文 件 ） 3 c 4 7 6 d f b e 5 3 2 5 9 8 3 0 c 4 5 8 c f 8 b 3 2 3 c c 9 a e e b 3 d 6 3 d 5 f 8 8 c c 2 9 7 6 7 1 6 b e a f 2 4 b d 0 7 c （ Z i p 文 件 ） 2 d 5 1 e 7 6 4 b f 3 7 e 2 e 8 c 8 4 5 d 9 8 0 a 4 d 3 2 4 e 8 a 1 4 0 6 d 0 4 a 7 9 1 a 5 7 e 6 0 8 2 6 8 2 c e 0 4 5 1 7 d b （ Z i p 文 件 ） 7 9 f f a a 5 4 5 3 5 0 0 f 7 5 a b e 4 a d 1 9 6 1 0 0 a 5 3 d f b 5 e c 5 2 9 7 f c 7 1 4 d d 1 0 f e b 2 6 c 4 f b 0 8 6 d b ( L o c k y ) 域 名 ： b o l a y d e [ . ] c o m t a n g o p o s t a l e [ . ] c o m 攻 击 攻 击 2
主 题 ： 交 易 被 阻 止 。 交 易 编 号 ： < 随 机 数 > 哈 希 值 ： 0 8 2 2 a 6 3 7 2 5 3 4 5 e 6 b 8 9 2 1 8 7 7 3 6 7 e 4 3 e e 2 3 6 9 6 d 7 5 f 7 1 2 a 9 c 5 4 d 5 4 4 2 d b c 0 d 5 f 2 0 5 6 （ J S 文 件 ） 5 5 d 0 9 2 a f 7 3 e 5 6 3 1 9 8 2 d a 6 c 1 6 5 d f a 7 0 4 8 5 4 b 9 2 f 7 4 e e f 0 8 4 6 e 4 b 1 a a d 5 7 d 0 2 1 5 2 5 1 （ R a r 文 件 ） e c 9 c 0 6 a 7 c f 8 1 0 b 0 7 c 3 4 2 0 3 3 5 8 8 d 2 e 7 f 5 7 4 1 e 7 a c b e a 5 f 0 c 8 e 7 0 0 9 f 6 c c 7 0 8 7 e 1 f 7 ( L o c k y ) 域 名 ： u n w e l c o m e a z [ . ] t o p 结 语 结 语 2 0 1 6 年 ， L o c k y 攻 击 发 送 了 数 百 万 封 恶 意 邮 件 ， 稳 坐 垃 圾 邮 件 头 把 交 椅 ， 它 能 否 在 2 0 1 7 年 继 续 横 行 呢 ？ 我 们 就 希 望 赚 的 盆 满 钵 满 的 N e c u r s 和 L o c k y 幕 后 黑 客 大 佬 们 能 继 续 在 海 滩 多 享 受 几 个 星 期 吧 ！ 参 考 来 源 （ 点 击 阅 读 原 文 查 看 链 接 ） ： h t t p : / / b l o g . t a l o s i n t e l . c o m / 2 0 1 7 / 0 1 / l o c k y - s t r u g g l e s . h t m l h t t p s : / / w w w . b l e e p i n g c o m p u t e r . c o m / n e w s / s e c u r i t y / l o c k y - r a n s o m w a r e - a c t i v i t y - g o e s - d o w n - b y - 8 1 - p e r c e n t / h t t p : / / w w w . i n f o r m a t i o n s e c u r i t y b u z z . c o m / s t u d y - r e s e a r c h / l o c k y - r a n s o m w a r e - a t t a c k e r s - t a k e - c h r i s t m a s - v a c a t i o n - s h o w s - c h e c k - p o i n t - r e s e a r c h / * 本 文 作 者 ： 华 为 未 然 实 验 室 ， 转 载 请 注 明 来 自 F r e e b u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理