搜索

[14305] 2019-07-03_揭密黑产“暴力勒索、毁尸灭迹”运作一条龙

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-07-03_揭密黑产“暴力勒索、毁尸灭迹”运作一条龙 揭 密 黑 产 “ 暴 力 勒 索 、 毁 尸 灭 迹 ” 运 作 一 条 龙 原 创   熊 猫 正 正   F r e e B u f   2 0 1 9 - 0 7 - 0 3 处 理 勒 索 病 毒 应 急 响 应 事 件 的 时 候 ， 会 发 现 了 一 些 有 趣 的 事 情 ， 分 享 给 大 家 ， 看 看 现 在 的 勒 索 病 毒 运 营 团 伙 是 处 理 勒 索 病 毒 应 急 响 应 事 件 的 时 候 ， 会 发 现 了 一 些 有 趣 的 事 情 ， 分 享 给 大 家 ， 看 看 现 在 的 勒 索 病 毒 运 营 团 伙 是 如 何 如 何 “ 暴 力 勒 索 、 毁 尸 灭 迹 暴 力 勒 索 、 毁 尸 灭 迹 ” 运 作 一 条 龙 。 运 作 一 条 龙 。 现 在 大 部 分 的 勒 索 病 毒 都 没 有 自 主 传 播 的 能 力 ， 不 像 之 前 W a n n a C r y 可 以 通 过 永 恒 之 蓝 进 行 自 主 传 播 ， 主 动 感 染 其 它 存 在 漏 洞 的 主 机 ， 现 在 流 行 的 一 些 勒 索 病 毒 ， 像 G a n d C r a b 、 G l o b e l m p s o t e r 、 C r y S i S 等 勒 索 病 毒 都 是 单 一 的 加 密 主 机 ， 不 具 备 自 主 传 播 能 力 ， 需 要 人 工 植 入 ， 但 不 同 的 勒 索 病 毒 会 使 用 不 同 的 渠 道 进 行 传 播 感 染 。 应 急 响 应 发 现 现 在 勒 索 病 毒 大 多 数 使 用 R D P 爆 破 的 方 式 进 入 企 业 ， 然 后 再 通 过 各 种 安 全 工 具 ， 进 行 内 网 传 播 ， 黑 产 的 运 作 流 程 又 是 如 何 的 ？ 一 般 会 使 用 哪 些 安 全 工 具 呢 ？ 某 个 勒 索 病 毒 团 伙 使 用 的 工 具 包 ( 其 中 L O C K E R . e x e 为 勒 索 病 毒 母 体 压 缩 包 ) ， 如 下 所 示 ： 其 它 都 是 些 什 么 工 具 呢 ？ 具 体 有 什 么 用 呢 ？ 下 面 一 一 来 给 大 家 进 行 讲 解 。 黑 客 通 过 R D P 爆 破 进 入 企 业 之 后 ， 一 般 的 企 业 都 会 安 装 相 应 的 终 端 安 全 软 件 ， 首 先 要 结 束 安 全 软 件 ， 使 用 的 工 具 如 下 所 示 ： D e f e n d e r C o n t r o l . e x e 结 束 W i n d o w   D e f e n d e r 软 件 ， 如 下 所 示 ：
P r o c e s s H a c k e r . e x e 结 束 进 程 ， 如 下 所 示 ： 有 些 安 全 软 件 可 能 还 有 自 保 护 ， 一 般 的 进 程 工 具 无 法 结 束 进 程 ， 需 要 使 用 P C H u n t e r . e x e 和 P o w e r T o o l . e x e 这 样 的 驱 动 级 的 工 具 ， 强 制 结 束 安 全 软 件 ， 如 下 所 示 ：
结 束 进 程 之 后 ， 还 可 以 使 用 G e e k   U n i n s t a l l e r 等 软 件 ， 卸 载 相 关 的 安 全 软 件 ， 如 下 所 示 ： 结 束 安 全 软 件 之 后 ， 需 要 进 行 主 机 密 码 口 令 获 取 、 内 网 扫 描 ， 爆 破 ， 横 向 传 播 等 手 段 ， 使 用 的 工 具 ， 如 下 所 示 ：
使 用 m i m i k a t z 工 具 ， 获 取 主 机 口 令 密 码 ， 如 下 所 示 ： 使 用 K P o r t S c a n 3 . 0 工 具 ， 扫 描 内 网 中 的 3 3 8 9 的 机 器 ， 如 下 所 示 ： 可 以 看 到 扫 描 到 很 多 机 器 开 放 了 3 3 8 9 ， 还 会 使 用 其 它 相 关 的 扫 描 工 具 ， N S S c a n ， 如 下 所 示 ：
S o f t P e r f e c t N e t w o r k   S c a n n e r ， 如 下 所 示 ： 对 扫 描 到 的 开 放 3 3 8 9 端 口 的 机 器 ， 再 使 用 N L B r u t e 等 工 具 ， 爆 力 破 解 内 网 3 3 8 9 的 机 器 ， 如 下 所 示 ：
破 解 内 网 机 器 之 后 ， 再 通 过 C M D 命 令 启 动 远 程 桌 面 连 接 ， 如 下 所 示 ： 然 后 再 次 使 用 相 同 的 方 法 进 行 内 网 感 染 ， 植 入 勒 索 病 毒 ， 加 密 主 机 文 件 ， 最 后 使 用 清 除 工 具 L o g g y   c l e a n e r . e x e 进 行 “ 毁 尸 灭 迹 ” 操 作 ， 由 于 我 对 L o g g y   c l e a n e r . e x e 工 具 的 作 用 并 不 熟 悉 ， 对 L o g g y   c l e a n e r . e x e 进 行 逆 向 分 析 ， 如 下 所 示 ： 1 . 获 取 主 机 操 作 系 统 语 言 版 本 ， 如 下 所 示 ： 2 . 比 较 操 作 系 统 版 本 语 是 否 为 德 语 ， 如 下 所 示 ：
3 . 如 果 为 德 语 版 本 操 作 系 统 ， 则 显 示 德 语 提 示 ， 如 果 不 是 德 语 操 作 系 统 ， 则 显 示 英 文 提 示 ， 如 下 所 示 ： 4 . 判 断 操 作 系 统 版 本 号 ， 如 下 所 示 ： 5 . 如 果 操 作 系 统 版 本 过 低 ， 则 弹 出 M e s s a g e B o x ， 然 后 退 出 程 序 ， 否 则 执 行 下 面 的 清 除 操 作 ， 如 下 所 示 ：
6 . 读 取 解 密 出 程 序 的 资 源 数 据 ， 如 下 所 示 ： 7 . 在 T e m p 目 录 下 创 建 F 8 8 8 . t m p 目 录 ， 然 后 创 建 相 应 的 清 除 脚 本 L o g g y   c l e a n e r . c m d ， 如 下 所 示 ：
生 成 的 清 除 脚 本 目 录 ， 如 下 所 示 ： 脚 本 内 容 ， 如 下 所 示 ： 8 . 通 过 C r e a t e P r o c e s s A 启 动 清 除 脚 本 ， 如 下 所 示 ：
9 . 通 过 脚 本 清 除 w i n d o w s 最 近 使 用 项 目 ， 如 下 所 示 ： 1 0 . 可 以 看 到 W i n d o w s 最 近 使 用 的 一 些 项 目 的 目 录 文 件 全 部 被 清 理 的 干 干 净 净 ， 如 下 所 示 ： 1 1 . 最 后 删 除 清 除 脚 本 ， 如 下 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理