搜索

[12329] 2018-02-06_勒索之殇从一个.NET病毒看透勒索三步曲

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-02-06_勒索之殇从一个.NET病毒看透勒索三步曲 勒 索 之 殇   |   从 一 个 . N E T 病 毒 看 透 勒 索 三 步 曲 0 z a p t 4 t o M   F r e e B u f   2 0 1 8 - 0 2 - 0 6 近 三 年 的 病 毒 走 势 大 致 可 以 总 结 为 ， 近 三 年 的 病 毒 走 势 大 致 可 以 总 结 为 ， 2 0 1 6 年 年 ” 流 氓 流 氓 ” ， ， 2 0 1 7 ” 勒 索 勒 索 ” ， ， 2 0 1 8 年 年 ” 挖 矿 挖 矿 ” ， 这 篇 文 章 我 们 就 通 过 分 析 一 ， 这 篇 文 章 我 们 就 通 过 分 析 一 个 个 . N e t 的 勒 索 软 件 ， 看 看 一 个 勒 索 软 件 到 底 是 如 何 工 作 的 。 的 勒 索 软 件 ， 看 看 一 个 勒 索 软 件 到 底 是 如 何 工 作 的 。 本 文 涉 及 到 的 这 个 样 本 是 本 文 涉 及 到 的 这 个 样 本 是 B T C w a r e 的 一 个 变 种 ， 被 勒 索 之 后 会 一 如 既 往 的 加 密 计 算 机 中 的 文 件 ， 并 且 弹 出 如 下 的 一 个 变 种 ， 被 勒 索 之 后 会 一 如 既 往 的 加 密 计 算 机 中 的 文 件 ， 并 且 弹 出 如 下 图 所 示 的 很 炫 酷 的 勒 索 提 示 ， 而 且 在 计 算 机 很 多 公 共 目 录 都 会 留 下 图 所 示 的 很 炫 酷 的 勒 索 提 示 ， 而 且 在 计 算 机 很 多 公 共 目 录 都 会 留 下 U n l o c k Y o u F i l e s . t x t 的 勒 索 提 示 文 件 。 的 勒 索 提 示 文 件 。 详 细 分 析 ： 详 细 分 析 ： 跟 很 多 勒 索 病 毒 逻 辑 一 样 ， 此 病 毒 基 本 流 程 为   生 成 加 密 密 钥 — 遍 历 并 加 密 文 件 — 删 除 卷 影 信 息 — 弹 出 勒 索 提 示 。 通 过 d n s p y 可 以 看 到 此 程 序 定 义 的 几 个 关 键 模 块 ， 如 下 图 ：
( a ) 密 钥 生 成 密 钥 生 成 ( b ) 遍 历 文 件 遍 历 文 件 此 类 病 毒 会 遍 历 系 统 中 后 缀 为 下 图 中 格 式 的 文 件 并 执 行 加 密 逻 辑 。
遍 历 文 件 逻 辑 如 下 ： ( c ) 当 遍 历 到 指 定 格 式 的 文 件 时 就 调 用 当 遍 历 到 指 定 格 式 的 文 件 时 就 调 用 e n c r y p t F i l e s 进 行 加 密 ， 加 密 逻 辑 如 下 ： 进 行 加 密 ， 加 密 逻 辑 如 下 ： 可 以 看 出 ， 加 密 时 使 用 A E S 加 密 算 法 ( 加 s a l t , 未 截 图 ) ， 密 钥 是 密 钥 生 成 模 块 p a s s w o r d C r e a t o r 当 中 生 成 ， 然 后 取 其 S H A 2 5 6 的 值 作 为 A E S 的 加 密 密 钥 对 文 件 进 行 加 密 操 作 。 ( d ) 删 除 卷 影 还 原 点 ( d ) 勒 索 提 示 勒 索 提 示 此 病 毒 的 勒 索 提 示 有 两 种 ， 第 一 类 是 在 执 行 完 加 密 逻 辑 之 后 ， 弹 出 一 个 F o r m 窗 体 ( 上 面 有 ) ， 提 示 受 害 者 通 过 比 特 币 交 纳 赎 金 ， 第 二 种 是 在 用 户 目 录 留 下 U n l o c k Y o u F i l e s . t x t ， 其 内 容 如 下 ： 同 源 性 分 析 同 源 性 分 析 在 分 析 这 个 病 毒 的 时 候 ， 我 们 发 现 此 病 毒 与 开 源 勒 索 软 件 H i d d e n T e a r ( h t t p s : / / g i t h u b . c o m / S n e a k S e n s e d / H i d d e n T e a r ) 具 有
很 高 的 相 似 性 ， 这 个 病 毒 应 该 是 由 此 开 源 程 序 改 编 ， 并 在 此 基 础 上 ， 自 定 义 比 特 币 交 易 的 勒 索 提 示 信 息 。 当 然 ， 这 个 病 毒 本 身 不 具 有 像 w a n n a c r y 那 样 很 强 的 传 播 性 ， 其 传 播 途 径 主 要 还 是 依 赖 于 各 大 下 载 站 ， 激 活 工 具 ， 绿 色 软 件 等 等 ， 只 要 保 持 良 好 的 上 网 习 惯 ， 不 轻 易 安 装 不 可 信 来 源 的 软 件 ， 安 装 杀 毒 软 件 ， 是 很 容 易 防 止 此 类 勒 索 病 毒 的 。 * 本 文 作 者 ： 0 z a p t 4 t o M ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理