搜索

[14475] 2019-08-15_警惕新型Android勒索软件

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-08-15_警惕新型Android勒索软件 警 惕 新 型 A n d r o i d 勒 索 软 件 K r i s t o n   F r e e B u f   2 0 1 9 - 0 8 - 1 5 在 在 A n d r o i d 勒 索 软 件 两 年 的 衰 败 后 ， 一 个 新 的 勒 索 软 件 家 庭 出 现 了 。 勒 索 软 件 两 年 的 衰 败 后 ， 一 个 新 的 勒 索 软 件 家 庭 出 现 了 。 E S E T   M o b i l e   S e c u r i t y 检 测 到 检 测 到 A n d r o i d   / F i l e c o d e r . C 勒 索 软 件 正 通 过 各 种 在 线 论 坛 传 播 。 勒 索 软 件 正 通 过 各 种 在 线 论 坛 传 播 。 勒 索 软 件 成 功 植 入 后 会 利 用 受 害 者 的 联 系 人 列 表 进 一 步 扩 散 。 由 于 勒 索 软 件 设 计 存 在 缺 陷 ， 造 成 的 影 响 有 限 。 但 如 果 开 发 人 员 修 复 了 这 些 问 题 并 瞄 准 更 广 泛 的 用 户 群 ， A n d r o i d   /   F i l e c o d e r . C 勒 索 软 件 可 能 会 成 为 一 个 新 的 严 重 威 胁 。 A n d r o i d   /   F i l e c o d e r . C 自 2 0 1 9 年 7 月 1 2 日 起 一 直 处 于 活 跃 状 态 。 在 我 们 发 现 的 活 动 中 ， A n d r o i d   /   F i l e c o d e r . C 已 经 通 过 R e d d i t 上 的 恶 意 帖 子 和 “ X D A   D e v e l o p e r s ” 论 坛 （ A n d r o i d 开 发 者 论 坛 ） 进 行 了 传 播 。 我 们 向 X D A   D e v e l o p e r s 和 R e d d i t 报 告 了 恶 意 活 动 ， X D A 开 发 者 论 坛 上 的 帖 子 被 迅 速 删 除 ; R e d d i t 中 的 恶 意 文 件 在 发 布 时 仍 处 于 活 跃 状 态 。 A n d r o i d   /   F i l e c o d e r . C 可 以 通 过 带 有 恶 意 链 接 的 短 信 进 一 步 传 播 ， 这 些 链 接 被 发 送 到 受 害 者 联 系 人 列 表 中 的 所 有 联 系 人 。 在 勒 索 软 件 发 出 恶 意 短 信 之 后 ， 会 加 密 设 备 上 的 大 多 数 用 户 文 件 并 对 用 户 进 行 勒 索 。 由 于 加 密 有 缺 陷 ， 用 户 可 以 在 没 有 攻 击 者 任 何 帮 助 的 情 况 下 解 密 受 影 响 的 文 件 。 发 现 发 现 我 们 发 现 的 勒 索 软 件 是 基 于 两 个 域 进 行 传 播 （ 请 参 阅 下 面 的 I o C 部 分 ） ， 由 攻 击 者 控 制 ， 用 于 下 载 的 恶 意 A n d r o i d 文 件 。 攻 击 者 通 过 发 布 或 评 论 R e d d i t （ 图 1 ） 或 X D A 开 发 者 （ 图 2 ） 来 吸 引 潜 在 受 害 者 进 入 这 些 域 。 大 多 数 情 况 下 ， 帖 子 的 主 题 与 色 情 有 关 ;   同 时 我 们 也 发 现 了 用 作 诱 饵 的 技 术 主 题 。 在 所 有 评 论 或 帖 子 中 ， 都 包 含 了 指 向 恶 意 软 件 的 链 接 或 Q R 代 码 。

在 R e d d i t 共 享 的 链 接 中 ， 攻 击 者 使 用 U R L 短 链 接 b i t . l y 。 该 U R L 是 在 2 0 1 9 年 6 月 1 1 日 创 建 的 ， 如 图 3 所 示 ， 其 统 计 数 据 表 明 ， 在 撰 写 本 文 时 ， 已 有 来 自 不 同 来 源 和 国 家 的 5 9 次 点 击 。 传 播 方 式 传 播 方 式 如 上 文 所 说 ， A n d r o i d   /   F i l e c o d e r . C 勒 索 软 件 通 过 S M S 消 息 将 链 接 发 送 到 受 害 者 联 系 人 列 表 中 的 所 有 人 。 这 些 消 息 中 包 括 勒 索 软 件 的 链 接 ;   此 外 为 了 增 加 潜 在 受 害 者 的 兴 趣 ， 短 信 中 会 加 入 诱 导 性 话 语 来 引 诱 受 害 者 点 击 ， 如 图 4 所 示 。
为 了 最 大 化 扩 散 范 围 ， 勒 索 软 件 具 有 图 5 中 所 示 的 消 息 模 板 的 4 2 种 语 言 版 本 。 在 发 送 消 息 之 前 ， 它 选 择 适 合 受 害 者 设 备 的 语 言 设 置 的 版 本 。 为 了 使 这 些 消 息 更 具 有 针 对 性 ， 恶 意 软 件 会 将 联 系 人 的 姓 名 添 加 到 消 息 前 。 功 能 设 置 功 能 设 置 一 旦 潜 在 受 害 者 收 到 带 有 恶 意 应 用 程 序 链 接 的 消 息 ， 他 们 需 要 手 动 安 装 。 应 用 程 序 启 动 后 ， 通 常 是 一 个 模 拟 器 在 线 游 戏 。 但 其 主 要 目 的 是 进 行 C ＆ C 通 信 ， 传 播 恶 意 消 息 和 实 施 文 件 加 密 。 对 于 C ＆ C 通 信 ， 恶 意 软 件 的 源 代 码 中 包 含 C ＆ C 和 比 特 币 地 址 的 硬 编 码 。 但 它 也 可 以 动 态 搜 索 它 们 ， 攻 击 者 利 用 免 费 的 P a s t e b i n 服 务 可 以 随 时 更 改 它 们 。
因 为 勒 索 软 件 可 以 访 问 受 害 者 的 联 系 人 列 表 ， 勒 索 软 件 具 有 发 送 短 信 的 能 力 。 在 对 手 机 文 件 加 密 之 前 ， 它 会 向 受 害 者 所 有 联 系 人 发 送 一 条 带 有 恶 意 链 接 消 息 。 接 下 来 勒 索 软 件 遍 历 可 访 问 存 储 中 的 文 件 ， 除 了 系 统 文 件 外 所 有 设 备 的 存 储 ，   并 加 密 其 中 的 大 部 分 （ 参 见 “ 文 件 加 密 机 制 ” 部 分 ） 。 文 件 加 密 后 ， 勒 索 软 件 会 显 示 其 勒 索 信 息 （ 英 文 ） ， 如 图 7 所 示 。 如 果 受 害 者 删 除 应 用 程 序 ， 勒 索 软 件 将 无 法 解 密 文 件 。 但 由 于 加 密 有 缺 陷 ， 文 件 仍 然 可 以 恢 复 。 此 外 根 据 分 析 ， 勒 索 软 件 的 代 码 中 没 有 任 何 内 容 显 示 受 影 响 的 数 据 将 在 7 2 小 时 后 丢 失 。
如 图 8 所 示 ， 赎 金 金 额 是 动 态 生 成 的 。 比 特 币 数 量 的 第 一 部 分 是 硬 编 码 ， 其 值 为 0 . 0 1 ，   剩 余 的 六 位 数 是 恶 意 软 件 生 成 的 用 户 I D 。 这 种 独 特 的 做 法 有 助 于 识 别 收 到 的 付 款 。 （ 在 A n d r o i d 勒 索 软 件 中 ， 通 常 是 为 每 个 加 密 设 备 生 成 一 个 单 独 的 比 特 币 钱 包 ） 根 据 最 近 每 比 特 币 约 的 汇 率 ， 派 生 的 赎 金 金 额 在 9 4 - 1 8 8 美 元 之 间 （ 假 设 用 户 唯 一 I D 随 机 生 成 ） 。 与 典 型 的 A n d r o i d 勒 索 软 件 不 同 ， A n d r o i d   /   F i l e c o d e r . C 不 会 通 过 锁 定 屏 幕 来 阻 止 使 用 设 备 。 如 图 9 所 示 ， 在 撰 写 本 文 时 ， 比 特 币 地 址 但 还 没 有 发 现 任 何 交 易 记 录 。 文 件 加 密 机 制 文 件 加 密 机 制 勒 索 软 件 使 用 非 对 称 和 对 称 加 密 。 首 先 ， 它 生 成 公 钥 和 私 钥 对 ，   私 钥 使 用 R S A 算 法 加 密 ， 并 以 硬 编 码 值 存 储 在 代 码 中 并 发 送 到 攻 击 者 的 服 务 器 。 攻 击 者 可 以 解 密 该 私 钥 ， 并 在 受 害 者 支 付 赎 金 后 ， 将 该 私 钥 发 送 给 受 害 者 以 解 密 他 们 的 文 件 。 加 密 文 件 时 ， 勒 索 软 件 会 为 每 个 要 加 密 的 文 件 生 成 一 个 新 的 A E S 密 钥 。 然 后 使 用 公 钥 对 此 A E S 密 钥 进 行 加 密 ， 并 将 其 添 加 到 每 个 加 密 文 件 中 ： （ （ A E S ） p u b l i c _ k e y   + （ F i l e ） A E S ） . s e v e n 文 件 结 构 如 图 1 0 所 示 。 勒 索 软 件 通 过 访 问 存 储 目 录 加 密 以 下 文 件 类 型 ：
“ . d o c ” ,   “ . d o c x ” ,   “ . x l s ” ,   “ . x l s x ” ,   “ . p p t ” ,   “ . p p t x ” ,   “ . p s t ” ,   “ . o s t ” ,   “ . m s g ” ,   “ . e m l ” ,   “ . v s d ” ,   “ . v s d x ” ,   “ . t x t ” ,   “ . c s v ” , “ . r t f ” ,   “ . 1 2 3 ” ,   “ . w k s ” ,   “ . w k 1 ” ,   “ . p d f ” ,   “ . d w g ” ,   “ . o n e t o c 2 ” ,   “ . s n t ” ,   “ . j p e g ” ,   “ . j p g ” ,   “ . d o c b ” ,   “ . d o c m ” ,   “ . d o t ” , “ . d o t m ” ,   “ . d o t x ” ,   “ . x l s m ” ,   “ . x l s b ” ,   “ . x l w ” ,   “ . x l t ” ,   “ . x l m ” ,   “ . x l c ” ,   “ . x l t x ” ,   “ . x l t m ” ,   “ . p p t m ” ,   “ . p o t ” ,   “ . p p s ” , “ . p p s m ” ,   “ . p p s x ” ,   “ . p p a m ” ,   “ . p o t x ” ,   “ . p o t m ” ,   “ . e d b ” ,   “ . h w p ” ,   “ . 6 0 2 ” ,   “ . s x i ” ,   “ . s t i ” ,   “ . s l d x ” ,   “ . s l d m ” ,   “ . s l d m ” , “ . v d i ” ,   “ . v m d k ” ,   “ . v m x ” ,   “ . g p g ” ,   “ . a e s ” ,   “ . A R C ” ,   “ . P A Q ” ,   “ . b z 2 ” ,   “ . t b k ” ,   “ . b a k ” ,   “ . t a r ” ,   “ . t g z ” ,   “ . g z ” ,   “ . 7 z ” , “ . r a r ” ,   “ . z i p ” ,   “ . b a c k u p ” ,   “ . i s o ” ,   “ . v c d ” ,   “ . b m p ” ,   “ . p n g ” ,   “ . g i f ” ,   “ . r a w ” ,   “ . c g m ” ,   “ . t i f ” ,   “ . t i f f ” ,   “ . n e f ” ,   “ . p s d ” , “ . a i ” ,   “ . s v g ” ,   “ . d j v u ” ,   “ . m 4 u ” ,   “ . m 3 u ” ,   “ . m i d ” ,   “ . w m a ” ,   “ . f l v ” ,   “ . 3 g 2 ” ,   “ . m k v ” ,   “ . 3 g p ” ,   “ . m p 4 ” ,   “ . m o v ” ,   “ . a v i ” , “ . a s f ” ,   “ . m p e g ” ,   “ . v o b ” ,   “ . m p g ” ,   “ . w m v ” ,   “ . f l a ” ,   “ . s w f ” ,   “ . w a v ” ,   “ . m p 3 ” ,   “ . s h ” ,   “ . c l a s s ” ,   “ . j a r ” ,   “ . j a v a ” ,   “ . r b ” , “ . a s p ” ,   “ . p h p ” ,   “ . j s p ” ,   “ . b r d ” ,   “ . s c h ” ,   “ . d c h ” ,   “ . d i p ” ,   “ . p l ” ,   “ . v b ” ,   “ . v b s ” ,   “ . p s 1 ” ,   “ . b a t ” ,   “ . c m d ” ,   “ . j s ” ,   “ . a s m ” , “ . h ” ,   “ . p a s ” ,   “ . c p p ” ,   “ . c ” ,   “ . c s ” ,   “ . s u o ” ,   “ . s l n ” ,   “ . l d f ” ,   “ . m d f ” ,   “ . i b d ” ,   “ . m y i ” ,   “ . m y d ” ,   “ . f r m ” ,   “ . o d b ” ,   “ . d b f ” , “ . d b ” ,   “ . m d b ” ,   “ . a c c d b ” ,   “ . s q l ” ,   “ . s q l i t e d b ” ,   “ . s q l i t e 3 ” ,   “ . a s c ” ,   “ . l a y 6 ” ,   “ . l a y ” ,   “ . m m l ” ,   “ . s x m ” ,   “ . o t g ” ,   “ . o d g ” , “ . u o p ” ,   “ . s t d ” ,   “ . s x d ” ,   “ . o t p ” ,   “ . o d p ” ,   “ . w b 2 ” ,   “ . s l k ” ,   “ . d i f ” ,   “ . s t c ” ,   “ . s x c ” ,   “ . o t s ” ,   “ . o d s ” ,   “ . 3 d m ” ,   “ . m a x ” , “ . 3 d s ” ,   “ . u o t ” ,   “ . s t w ” ,   “ . s x w ” ,   “ . o t t ” ,   “ . o d t ” ,   “ . p e m ” ,   “ . p 1 2 ” ,   “ . c s r ” ,   “ . c r t ” ,   “ . k e y ” ,   “ . p f x ” ,   “ . d e r ” 它 不 会 加 密 包 含 字 符 串 “ . c a c h e ” ， “ t m p ” 或 “ t e m p ” 的 目 录 中 的 文 件 。 如 果 文 件 扩 展 名 为 “ . z i p ” 或 “ . r a r ” 且 文 件 大 小 超 过 5 1 , 2 0 0   K B   /   5 0   M B ， 或 “ . j p e g ” ， “ . j p g ” 和 “ . p n g ” 文 件 大 小 小 于 1 5 0   K B 也 不 会 被 加 密 。 文 件 类 型 列 表 包 含 一 些 与 A n d r o i d 无 关 的 文 件 类 型 ， 同 时 缺 少 一 些 典 型 的 A n d r o i d 扩 展 ， 如 . a p k ， . d e x ， . s o 。 显 然 ， 该 列 表 是 从 W a n n a C r y p t o r   a k a   W a n n a C r y 勒 索 软 件 中 复 制 而 来 。 文 件 加 密 后 ， 文 件 扩 展 名 “ . s e v e n ” 将 附 加 到 原 始 文 件 名 后 ， 如 图 1 1 所 示 。
解 密 机 制 解 密 机 制 用 于 解 密 加 密 文 件 的 代 码 存 在 于 勒 索 软 件 中 。 如 果 受 害 者 支 付 赎 金 ， 可 以 通 过 图 1 2 中 所 示 的 网 站 验 证 并 获 取 私 钥 来 解 密 文 件 。 但 是 ， 由 于 用 于 加 密 私 钥 使 用 的 硬 编 码 密 钥 值 ， 可 以 通 过 将 加 密 算 法 更 改 为 解 密 算 法 来 解 密 文 件 而 无 需 支 付 赎 金 。 所 需 要 的 只 是 勒 索 软 件 提 供 的 U s e r I D （ 参 见 图 1 3 ） ， 以 及 勒 索 软 件 的 A P K 文 件 。 到 目 前 为 止 ， 我 们 已 经 在 A n d r o i d   /
F i l e c o d e r . C 勒 索 软 件 的 所 有 样 本 中 发 现 了 相 同 的 值 。 解 决 方 案 解 决 方 案 1 、 让 设 备 保 持 更 新 状 态 ， 最 好 将 其 设 置 为 自 动 更 新 。 2 、 坚 持 使 用 G o o g l e   P l a y 或 其 他 信 誉 良 好 的 应 用 商 店 。 3 、 在 安 装 任 何 应 用 程 序 之 前 ， 请 检 查 其 评 级 和 评 论 。 关 注 评 论 中 的 差 评 信 息 ， 因 为 它 们 通 常 来 自 合 法 用 户 ， 而 积 极 的 反 馈 往 往 是 由 攻 击 者 特 制 的 。 4 、 关 注 应 用 程 序 请 求 的 权 限 。 如 果 它 们 需 要 获 取 非 必 要 权 限 ， 请 避 免 下 载 该 应 用 程 序 。 5 、 使 用 信 誉 良 好 的 移 动 安 全 解 决 方 案 来 保 护 您 的 设 备 。 I o C s
* 本 文 作 者 ： 本 文 作 者 ： K r i s t o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理