搜索

[11523] 2017-07-03_Petya勒索蠕虫完全分析报告

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-07-03_Petya勒索蠕虫完全分析报告 P e t y a 勒 索 蠕 虫 完 全 分 析 报 告 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 0 7 - 0 3 目 录 目 录 第 一 章   前 言 第 二 章   P e t y a 老 样 本 简 介 第 三 章   P e t y a 新 样 本 详 细 介 绍 第 四 章   P e t y a 勒 索 蠕 虫 感 染 传 播 趋 势 分 析 第 五 章   P e t y a 横 向 移 动 及 传 播 技 术 分 析 1 .   提 升 权 限 ， 设 置 执 行 标 记 2 .   M B R 修 改 3 .   设 置 重 启 计 划 任 务 4 .   遍 历 I P 5 .   释 放 并 运 行 资 源 6 .   枚 举 网 络 资 源 7 .   使 用 永 恒 之 蓝 漏 洞 攻 击 8 .   文 件 加 密 9 .   清 除 日 志 并 重 启 第 六 章   P e t y a 勒 索 加 密 技 术 分 析 1 .   篡 改 M B R 2 .   加 密 文 件 第 七 章   P e t y a 勒 索 杀 毒 软 件 攻 防 分 析 第 八 章   总 结 第 一 章 第 一 章   前 言 前 言 2 0 1 7 年 年 6 月 月 2 7 日 晚 ， 乌 克 兰 、 俄 罗 斯 、 印 度 、 西 班 牙 、 法 国 、 英 国 以 及 欧 洲 多 国 遭 受 大 规 模 日 晚 ， 乌 克 兰 、 俄 罗 斯 、 印 度 、 西 班 牙 、 法 国 、 英 国 以 及 欧 洲 多 国 遭 受 大 规 模 P e t y a 勒 索 病 毒 袭 勒 索 病 毒 袭 击 ， 该 病 毒 远 程 锁 定 设 备 ， 然 后 索 要 赎 金 。 其 中 ， 乌 克 兰 地 区 受 灾 最 为 严 重 ， 政 府 、 银 行 、 电 力 系 统 、 通 讯 系 击 ， 该 病 毒 远 程 锁 定 设 备 ， 然 后 索 要 赎 金 。 其 中 ， 乌 克 兰 地 区 受 灾 最 为 严 重 ， 政 府 、 银 行 、 电 力 系 统 、 通 讯 系 统 、 企 业 以 及 机 场 都 不 同 程 度 的 受 到 了 影 响 ， 包 括 首 都 基 辅 的 鲍 里 斯 波 尔 国 际 机 场 （ 统 、 企 业 以 及 机 场 都 不 同 程 度 的 受 到 了 影 响 ， 包 括 首 都 基 辅 的 鲍 里 斯 波 尔 国 际 机 场 （ B o r y s p i l   I n t e r n a t i o n a l A i r p o r t ） 、 乌 克 兰 国 家 储 蓄 银 行 （ ） 、 乌 克 兰 国 家 储 蓄 银 行 （ O s c h a d b a n k ） 、 船 舶 公 司 （ ） 、 船 舶 公 司 （ A P   M o l l e r - M a e r s k ） 、 俄 罗 斯 石 油 公 司 ） 、 俄 罗 斯 石 油 公 司 （ （ R o s n e f t ） 和 乌 克 兰 一 些 商 业 银 行 以 及 部 分 私 人 公 司 、 零 售 企 业 和 政 府 系 统 都 遭 到 了 攻 击 。 ） 和 乌 克 兰 一 些 商 业 银 行 以 及 部 分 私 人 公 司 、 零 售 企 业 和 政 府 系 统 都 遭 到 了 攻 击 。 此 次 黑 客 使 用 的 是 P e t y a 勒 索 病 毒 的 变 种 ， 使 用 的 传 播 攻 击 形 式 和 W a n n a C r y 类 似 ， 但 该 病 毒 除 了 使 用 了 永 恒 之 蓝 （ M S 1 7 - 0 1 0 ） 漏 洞 ， 还 罕 见 的 使 用 了 黑 客 的 横 向 渗 透 攻 击 技 术 。 在 勒 索 技 术 方 面 与 W a n n a C r y 等 勒 索 软 件 不 同 之 处 在 于 ， P e t y a 木 马 主 要 通 过 加 密 硬 盘 驱 动 器 主 文 件 表 （ M F T ） ， 使 主 引 导 记 录 （ M B R ） 不 可 操 作 ， 通 过 占 用 物 理 磁 盘 上
的 文 件 名 、 大 小 和 位 置 的 信 息 来 限 制 对 完 整 系 统 的 访 问 ， 从 而 让 电 脑 无 法 启 动 ， 故 而 其 影 响 更 加 严 重 。 如 果 想 要 恢 复 ， 需 要 支 付 价 值 相 当 于 3 0 0 美 元 的 比 特 币 。 由 于 这 次 攻 击 有 很 强 的 定 向 性 ， 所 以 目 前 欧 洲 被 感 染 的 受 害 者 较 多 。 目 前 国 内 感 染 量 较 少 ， 但 是 考 虑 到 其 横 向 攻 击 传 播 能 力 ， 未 来 存 在 较 高 风 险 在 国 内 传 播 。 第 二 章 第 二 章   P e t y a 老 样 本 简 介 老 样 本 简 介 2 0 1 6 年 4 月 ， 敲 诈 勒 索 类 木 马 P e t y a 被 安 全 厂 商 曝 光 ， 被 称 作 是 第 一 个 将 敲 诈 和 修 改 M B R 合 二 为 一 的 恶 意 木 马 。 木 马 P e t y a 的 主 要 特 点 是 会 先 修 改 系 统 M B R 引 导 扇 区 ， 强 制 重 启 后 执 行 M B R 引 导 扇 区 中 的 恶 意 代 码 ， 加 密 受 害 者 硬 盘 数 据 后 显 示 敲 诈 信 息 ， 并 通 过 T o r 匿 名 网 络 索 取 比 特 币 。 P e t y a 与 其 他 流 行 的 勒 索 软 件 的 不 同 点 在 于 ， P e t y a 不 是 逐 个 加 密 文 件 ， 而 是 通 过 攻 击 磁 盘 上 的 低 级 结 构 来 拒 绝 用 户 访 问 完 整 的 系 统 。 这 个 敲 诈 勒 索 木 马 的 作 者 不 仅 创 建 了 自 己 的 引 导 加 载 程 序 ， 还 创 建 了 一 个 3 2 个 扇 区 长 的 小 内 核 。 P e t y a 的 木 马 释 放 器 会 将 恶 意 代 码 写 入 磁 盘 的 开 头 。 被 感 染 的 系 统 的 主 引 导 记 录 （ M B R ） 将 被 加 载 一 个 小 型 恶 意 内 核 的 自 定 义 引 导 加 载 程 序 覆 盖 ， 然 后 该 内 核 会 进 一 步 加 密 。   P e t y a 的 敲 诈 信 息 显 示 其 加 密 了 整 个 磁 盘 ， 但 这 只 是 木 马 作 者 放 出 的 烟 雾 弹 ， 事 实 上 ， P e t y a 只 是 加 密 了 主 文 件 表 （ M F T ） ， 使 文 件 系 统 不 可 读 ， 来 拒 绝 用 户 访 问 完 整 的 系 统 。 图   1   P e t y a 的 敲 诈 信 息 第 三 章 第 三 章   P e t y a 新 样 本 详 细 介 绍 新 样 本 详 细 介 绍 病 毒 样 本 类 型 为 D L L ， 有 一 个 导 出 序 号 为 1 的 函 数 。 当 这 个 函 数 被 调 用 时 ， 首 先 尝 试 提 升 当 前 进 程 的 权 限 并 设 置 标 记 ， 查 找 是 否 有 指 定 的 安 全 软 件 ， 后 面 会 根 据 是 否 存 在 指 定 的 安 全 软 件 跳 过 相 应 的 流 程 。 绕 过 安 全 软 件 的 行 为 监 控 。 接 下 来 修 改 磁 盘 的 M B R ， 并 将 生 成 的 K e y ， I V ， 比 特 币 支 付 地 址 以 及 用 户 序 列 号 写 入 磁 盘 的 固 定 扇 区 。 然 后 创 建 计 划 任 务 于 1 小 时 后 重 启 。 遍 历 局 域 网 可 以 连 通 的 i p 列 表 ， 用 于 后 续 的 局 域 网 攻 击 。 释 放 并 执 行 抓 取 密 码 的 进 程 ， 释 放 p s e x e c 进 程 用 于 后 续 执 行 远 程 命 令 。 对 系 统 的 网 络 资 源 列 表 进 行 过 滤 ， 筛 选 本 地 保 存 的 凭 据 ， 使 用 保 存 的 凭 据 连 接 ， 成 功 后 执 行 远 程 命 令 ， 进 行 局 域 网 感 染 。 下 一 步 生 成 随 机 i p ， 连 接 4 4 5 端 口 进 行 永 恒 之 蓝 漏 洞 攻 击 。 然 后 遍 历 磁 盘 ， 对 指 定 扩 展 名 的 文 件 进 行 加 密 。 执 行 完 所 有 流 程 后 ， 清 除 日 志 并 强 行 重 启 。
图   2 总 体 流 程 图 第 四 章 第 四 章   P e t y a 勒 索 蠕 虫 感 染 传 播 趋 势 分 析 勒 索 蠕 虫 感 染 传 播 趋 势 分 析 自 6 月 2 7 日 在 欧 洲 爆 发 的 起 ， P e t y a 勒 索 病 毒 在 短 时 间 内 袭 击 了 多 国 。 根 据 3 6 0 互 联 网 安 全 中 心 的 监 测 ， 对 每 一 个 小 时 的 远 程 攻 击 进 程 的 主 防 拦 截 进 行 了 统 计 。 从 6 月 2 8 号 0 点 至 6 月 2 8 日 晚 上 7 点 整 ， 平 均 每 小 时 攻 击 峰 值 在 5 0 0 0 次 以 内 。 上 午 1 0 点 攻 击 拦 截 达 到 最 高 峰 ， 后 缓 慢 波 动 ， 在 1 4 点 达 到 一 个 小 高 峰 ， 然 后 攻 击 频 率 开 始 缓 慢 下 降 。 由 此 可 见 ， P e t y a 的 攻 击 趋 势 在 国 内 并 不 呈 现 几 何 级 增 长 的 趋 势 ， 而 是 缓 慢 下 降 的 ， 并 不 具 备 进 一 步 泛 滥 的 趋 势 。
图   3   攻 击 频 率 除 乌 克 兰 、 俄 罗 斯 、 印 度 、 西 班 牙 、 法 国 、 英 国 以 及 欧 洲 多 国 遭 受 大 规 模 的 P e t y a 攻 击 外 ， 我 国 也 遭 受 了 同 样 的 攻 击 。 针 对 我 国 的 攻 击 ， 主 要 集 中 在 北 京 、 上 海 、 广 州 、 深 圳 、 香 港 等 大 城 市 ， 根 据 3 6 0 互 联 网 安 全 中 心 的 监 测 ， 在 全 中 国 八 十 多 个 城 市 拦 截 到 了 攻 击 。 第 五 章 第 五 章   P e t y a 横 向 移 动 及 传 播 技 术 分 析 横 向 移 动 及 传 播 技 术 分 析 1 .   提 升 权 限 ， 设 置 执 行 标 记 提 升 权 限 ， 设 置 执 行 标 记 首 先 ， P e t y a 病 毒 会 尝 试 提 升 当 前 进 程 的 3 种 权 限 ： S e S h u t d o w n P r i v i l e g e 、 S e D e b u g P r i v i l e g e 和 S e T c b P r i v i l e g e ， 根 据 是 否 成 功 设 置 标 记 ， 后 面 执 行 相 应 的 流 程 时 会 判 断 此 标 记 ， 以 防 没 有 权 限 时 系 统 报 错 。 然 后 ， 通 过 C r e a t e T o o l h e l p 3 2 S n a p s h o t 枚 举 系 统 进 程 ， 判 断 是 否 有 指 定 的 安 全 软 件 ， 并 设 置 标 记 。
枚 举 过 程 中 ， 通 过 将 进 程 名 称 进 行 异 或 计 算 得 出 一 个 值 ， 将 该 值 与 预 设 的 值 进 行 比 较 ， 此 处 病 毒 是 在 寻 找 特 定 名 称 的 进 程 ， 通 过 对 算 法 进 行 逆 向 还 原 ， 我 们 找 出 预 设 值 对 应 的 进 程 名 称 和 杀 毒 软 件 ： |   进 程 名 称 |   杀 毒 软 件 | |   — -   |   — -   | |   0 x 2 E 2 1 4 B 4 4 : * *   a v p . * * e x e   |   卡 巴 斯 基   | |   0 x 6 5 1 B 3 0 0 5 : * *   N S . * * e x e   |   诺 顿   | |   0 * * x 6 4 0 3 5 2 7 e :   c c S v c H s t . e x e * *   |   诺 顿   | 当 存 在 N S . e x e ( 诺 顿 ) 或 c c S v c H s t . e x e ( 诺 顿 ) 进 程 时 ， 不 执 行 漏 洞 感 染 流 程 。 当 存 在 a v p . e x e ( 卡 巴 斯 基 ) 进 程 时 ， 不 执 行 M B R 感 染 流 程 。 2 .   M B R 修 改 修 改 获 取 分 区 类 型 ， 当 为 M B R 格 式 时 执 行 修 改 M B R 流 程 。 随 后 ， P e t y a 将 修 改 机 器 的 M B R ， 具 体 流 程 如 下 ：
l   通 过 微 软 的 C r y p t o A P I 生 成 长 度 为   6 0   字 节 的 随 机 数 l   对 生 成 的 随 机 数 对 5 8 进 行 取 模 ， 取 模 后 的 值 作 为 下 述 数 组 的 索 引 1 2 3 4 5 6 7 8 9 A B C D E F G H J K L M N P Q R S T U V W X Y Z a b c d e f g h i j k m n o p q r s t u v w x y z ， 生 成 勒 索 界 面 显 示 的 序 列 号 l   将 病 毒 内 置 的 M B R 写 入 ， 长 度 为 0 x 1 3 个 扇 区 l   将 随 机 生 成 的 k e y ， I V ， 硬 编 码 的 比 特 币 支 付 地 址 以 及 用 户 序 列 号 写 入 磁 盘 第 0 x 2 0 个 扇 区
3 .   设 置 重 启 计 划 任 务 设 置 重 启 计 划 任 务 创 建 计 划 任 务 ， 设 定 当 前 时 间 1 小 时 后 重 启 计 算 机 。
重 启 之 后 将 执 行 病 毒 的 M B R ， 加 密 扇 区 。 4 .   遍 历 遍 历 I P 首 先 ， P e t y a 检 查 被 感 染 的 机 器 是 否 为 S e r v e r 或 者 域 控 服 务 器 当 检 测 到 主 机 为 服 务 器 或 者 域 控 时 ， 会 枚 举 该 主 机 D H C P 已 分 配 的 I P 信 息 ， 保 存 在 列 表 中 用 于 网 络 攻 击 。 5 .   释 放 并 运 行 资 源 释 放 并 运 行 资 源
进 程 首 先 从 资 源 中 解 压 缩 I D 为 1 的 资 源 ， 在 系 统 的 % T E M P % 目 录 下 生 成 一 个 临 时 文 件 。 随 后 程 序 启 动 线 程 尝 试 连 接 特 定 的 命 名 管 道 并 读 取 数 据 ， 随 后 将 该 临 时 文 件 作 为 进 程 启 动 ， 并 且 等 待 1 分 钟 。 对 启 动 的 临 时 文 件 进 行 分 析 ， 其 代 码 功 能 与 m i m i k a t z ， 一 款 W i n d o w s 下 抓 取 密 码 的 工 具 类 似 ， P e t y a 通 过 命 名 管 道 从 该 工 具 进 程 中 获 取 本 机 账 户 密 码 。 之 后 程 序 加 载 资 源 序 号 3 并 且 解 压 缩 ， 首 先 获 取 系 统 文 件 夹 目 录 ， 若 失 败 则 获 取 % A P P D A T A % 目 录 ， 并 将 解 压 后 的 资 源 命 名 为 d l l h o s t . d a t 写 入 到 该 目 录 下 。
d l l h o s t . d a t 的 本 质 为 P s E x e c . e x e ， 是 一 款 属 于 s y s i n t e r n a l s 套 件 的 远 程 命 令 执 行 工 具 ， 带 有 合 法 的 签 名 。 6 .   枚 举 网 络 资 源 枚 举 网 络 资 源 接 下 来 ， 病 毒 遍 历 所 有 连 接 过 的 网 络 资 源 ， 从 中 筛 选 类 型 为 T E R M S R V 的 凭 据 保 存 。 接 下 来 尝 试 使 用 保 存 的 凭 据 连 接 网 络 资 源
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理