搜索

[11952] 2017-10-30_快讯部分BadRabbit受害者不用付赎金就可以恢复文件

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2017-10-30_快讯部分BadRabbit受害者不用付赎金就可以恢复文件 快 讯   |   部 分 B a d   R a b b i t 受 害 者 不 用 付 赎 金 就 可 以 恢 复 文 件 l i k i   F r e e B u f   2 0 1 7 - 1 0 - 3 0 今 天 ， 卡 巴 斯 基 发 布 了 新 的 研 究 报 告 今 天 ， 卡 巴 斯 基 发 布 了 新 的 研 究 报 告 * * ， 他 们 发 现   B a d   R a b b i t   中 有 两 个 明 显 的 漏 洞 。 一 些 “ 幸 运 ” 的   B a d   R a b b i t   受 害 者 或 许 可 以 利 用 这 些 漏 洞 来 绕 过 赎 金 。 * * B a d   R a b b i t   并 没 有 删 除 文 件 备 份 （ 并 没 有 删 除 文 件 备 份 （   s h a d o w   v o l u m e   c o p i e s ） ） 卷 影 拷 贝 服 务 是   W i n d o w s   系 统 在 使 用 过 程 中 ， 自 动 创 建 文 件 副 本 的 一 项 服 务 。 勒 索 软 件 的 工 作 原 理 是 ： 首 先 创 建 一 个 文 件 副 本 ， 并 加 密 这 个 副 本 ， 然 后 再 删 除 原 始 的 文 件 ， 而 这 些 创 建 出 来 的 副 本 文 件 都 会 被   W i n d o w s   认 为 是 “ i n   u s e ” ， 也 就 是 会 被 自 动 备 份 到 内 存 中 。 这 些 文 件 本 身 不 可 见 ， 会 根 据 系 统 内 存 自 动 分 配 到 内 存 空 间 上 ， 并 保 留 一 段 时 间 。 大 部 分 的 勒 索 软 件 都 会 删 除 卷 影 拷 贝 ， 这 样 可 以 防 止 硬 盘 恢 复 软 件 找 到 被 加 密 的 原 始 文 件 副 本 和 未 被 加 密 的 文 件 。 根 据 卡 巴 斯 基 的 报 告 ， B a d   R a b b i t   勒 索 软 件 中 并 没 有 专 门 的 进 程 来 删 除 卷 影 拷 贝 。 虽 然 用 户 不 能 靠 它 恢 复 全 部 的 文 件 ， 但 也 可 以 恢 复 一 部 分 了 。 解 密 密 码 中 也 存 在 漏 洞 ， 但 并 不 容 易 破 解 解 密 密 码 中 也 存 在 漏 洞 ， 但 并 不 容 易 破 解 卡 巴 斯 基 研 究 员 在 解 密 密 码 上 也 发 现 了 漏 洞 。 和 其 他 通 过 硬 盘 加 密 的 勒 索 软 件 相 同 ， B a d   R a b b i t   会 加 密 受 害 人 的 文 件 ， M F T   ( M a s t e r   F i l e   T a b l e ) ， 并 替 换 掉   M B R ( M a s t e r   B o o t   R e c o r d ) 来 显 示 勒 索 信 息 。 在 这 个 勒 索 信 息 中 ， 受 害 者 须 付 赎 金 ， 并 将 ” p e r s o n a l   i n s t a l l a t i o n   k e y # 1 ” 中 的 代 码 复 制 到   T o r   站 点 中 ， 然 后 获 得 解 密 密 码 。 而 研 究 人 员 通 过 调 试 模 式 也 可 以 获 得 解 密 密 码 ：
我 们 发 现   d i s p c i . e x e   中 有 一 段 代 码 错 误 ， 恶 意 软 件 生 成 的 密 码 不 会 被 从 内 存 中 删 除 ， 所 以 我 们 通 过 调 试 模 式 调 取 了 恶 意 软 件 生 成 的 密 码 ， 并 在 系 统 重 启 后 输 入 这 个 密 码 ， 我 们 发 现 密 码 是 有 效 的 ， 进 程 也 可 以 继 续 进 行 。 不 幸 的 是 ， 这 个 方 法 只 可 以 绕 过 引 导 程 序 ， 用 户 开 机 重 启 之 后 文 件 还 是 被 加 密 的 。 研 究 人 员 在   W a n n a C r y   中 也 发 现 了 类 似 的 错 误 ， 但 是 这 种 错 误 在 现 实 中 很 少 见 ， 通 常 只 在 进 行 研 究 的 特 定 环 境 下 才 会 出 现 。 * 参 考 来 源 ： 参 考 来 源 ： b l e e p i n g c o m p u t e r   ， ， s e c u r i t y a f f a i r s ， ， F B 小 编 小 编   L i k i   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理