搜索

[13563] 2018-12-22_警惕！你下载的软件可能携带STOP勒索病毒变种

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-12-22_警惕！你下载的软件可能携带STOP勒索病毒变种 警 惕 ！ 你 下 载 的 软 件 可 能 携 带 S T O P 勒 索 病 毒 变 种 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 8 - 1 2 - 2 2 前 言 前 言 近 日 ， 深 信 服 近 日 ， 深 信 服 E D R 安 全 团 队 捕 获 到 一 起 通 过 捆 绑 软 件 运 行 勒 索 病 毒 的 事 件 。 勒 索 病 毒 与 正 常 的 应 用 软 件 捆 绑 在 安 全 团 队 捕 获 到 一 起 通 过 捆 绑 软 件 运 行 勒 索 病 毒 的 事 件 。 勒 索 病 毒 与 正 常 的 应 用 软 件 捆 绑 在 一 起 运 行 ， 捆 绑 的 勒 索 病 毒 为 一 起 运 行 ， 捆 绑 的 勒 索 病 毒 为 S T O P 勒 索 病 毒 的 变 种 ， 加 密 后 缀 为 勒 索 病 毒 的 变 种 ， 加 密 后 缀 为 . d j v u 。 。 一 、 勒 索 病 毒 母 体 携 带 者 一 、 勒 索 病 毒 母 体 携 带 者 c e x p l o r e r . e x e 是 被 捆 绑 了 恶 意 软 件 的 安 装 包 ， 使 用 R e s o u r c e   H a c k e r 查 看 其 资 源 ， 可 以 发 现 其 中 夹 藏 着 两 个 P E 文 件 。 c e x p l o r e r . e x e 运 行 会 将 两 个 P E 文 件 释 放 ， 如 下 图 所 示 ：
随 后 运 行 两 个 P E 文 件 ， 如 下 图 所 示 ： C : U s e r s w e i z h o u A p p D a t a R o a m i n g c e x p l o r e r . e x e 运 行 ， 原 来 是 个 C h a m e l e o n   E x p l o r e r 的 安 装 包 。
安 装 成 功 后 ， 就 能 使 用 了 ， 该 软 件 是 个 文 件 系 统 管 理 软 件 。 C : U s e r s w e i z h o u A p p D a t a R o a m i n g u p d a t e . e x e ， 就 是 勒 索 病 毒 体 ， 运 行 后 完 成 勒 索 。 如 下 图 ：
二 、 勒 索 病 毒 母 体 二 、 勒 索 病 毒 母 体 1 .   勒 索 病 毒 母 体 是 一 个 L o a d e r 加 载 器 ， 如 下 所 示 ： 2 .   通 过 调 试 ， 在 内 存 中 解 密 出 P E ， 如 下 所 示 ：
3 .   然 后 加 载 到 0 0 4 0 0 0 0 0 内 存 的 位 置 ， 然 后 执 行 相 应 的 P E 代 码 ， 如 下 图 所 示 ： 4 .   从 内 存 中 D U M P 出 完 整 的 P E 文 件 ， 是 勒 索 病 毒 的 主 体 模 块 ， 获 取 主 机 的 地 理 位 置 ， 如 下 所 示 ： 通 过 访 问 相 应 的 网 站 ， 如 果 返 回 包 含 R U 、 B Y 、 U A 、 A Z 、 A M 、 T J 、 K Z 、 K G 、 U Z 等 国 家 代 码 的 ， 则 进 行 自 删 除 操 作 ， 如 下 所 示 ：
5 .   拷 贝 相 应 的 程 序 到 a p p d a t a l o c a l 目 录 下 的 随 机 目 录 ， 如 下 所 示 ： 然 后 创 建 定 时 触 发 任 务 计 划 ， 如 下 所 示 ： 相 应 的 触 发 时 间 ， 如 下 所 示 ：
相 应 的 计 划 任 务 ， 如 下 所 示 ： 6 .   查 询 自 启 动 注 册 表 项 ， 如 下 所 示 ： 然 后 设 置 相 应 的 自 启 动 项 注 册 表 项 ， 如 下 所 示 ：
7 .   获 取 进 程 运 行 的 参 数 ， 如 下 所 示 ： 然 后 设 置 相 应 的 启 动 参 数 ， 启 动 进 程 ， 如 下 所 示 ： 相 应 的 代 码 ， 如 下 所 示 ：
执 行 之 后 ， 再 次 判 断 程 序 运 行 的 参 数 ， 通 过 相 应 的 判 断 ， 调 用 参 数 ， 启 动 程 序 ， 进 行 勒 索 加 密 的 过 程 ， 如 下 所 示 ： 8 .   如 果 进 程 是 按 上 面 相 应 的 参 数 运 行 的 ， 父 进 程 参 数 ， 如 下 所 示 ： 则 从 内 存 中 解 密 出 相 应 的 下 载 服 务 器 地 址 列 表 ， 如 下 所 示 ：
相 应 的 恶 意 下 载 链 接 如 下 所 示 ： h t t p : / / b a n a 9 1 1 . r u / 1 . e x e $ r u n h t t p : / / b a n a 9 1 1 . r u / 2 . e x e $ r u n h t t p : / / b a n a 9 1 1 . r u / u p d a t e w i n . e x e $ r u n h t t p : / / b a n a 9 1 1 . r u / 3 . e x e $ r u n 分 隔 $ r u n 符 号 ， 得 到 相 应 的 恶 意 程 序 下 载 地 址 ， 如 下 所 示 ： 然 后 下 载 执 行 恶 意 程 序 ， 如 下 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理