搜索

[15440] 2020-05-31_“SauronLocker”家族病毒新变种

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-31_“SauronLocker”家族病毒新变种 “ S a u r o n   L o c k e r ” 家 族 病 毒 新 变 种 暗 影 安 全 实 验 室   F r e e B u f   2 0 2 0 - 0 5 - 3 1 《 地 母 经 》 里 说 ： 《 地 母 经 》 里 说 ： “ 鼠 耗 出 头 年 ， 高 低 多 偏 颇 。 鼠 耗 出 头 年 ， 高 低 多 偏 颇 。 ” 庚 子 年 ， 似 乎 都 伴 随 着 重 大 灾 难 或 历 史 转 折 ， 新 冠 肺 炎 的 出 庚 子 年 ， 似 乎 都 伴 随 着 重 大 灾 难 或 历 史 转 折 ， 新 冠 肺 炎 的 出 现 ， 使 人 们 在 这 一 年 的 开 头 感 到 了 一 丝 沉 重 ， 一 些 人 总 会 挺 身 而 出 ， 悬 壶 济 世 ， 成 为 最 美 逆 行 者 ； 一 些 人 总 会 现 ， 使 人 们 在 这 一 年 的 开 头 感 到 了 一 丝 沉 重 ， 一 些 人 总 会 挺 身 而 出 ， 悬 壶 济 世 ， 成 为 最 美 逆 行 者 ； 一 些 人 总 会 趁 着 乱 世 ， 利 用 人 性 的 弱 点 ， 扰 乱 社 会 秩 序 ， 从 而 达 到 不 法 的 目 的 。 趁 着 乱 世 ， 利 用 人 性 的 弱 点 ， 扰 乱 社 会 秩 序 ， 从 而 达 到 不 法 的 目 的 。 自 2 0 2 0 年 初 以 来 ， 恒 安 嘉 新 暗 影 安 全 实 验 室 持 续 针 对 “ 新 冠 肺 炎 ” 相 关 的 病 毒 样 本 进 行 监 测 ， 近 期 ， 我 们 发 现 了 一 款 名 为 “ C o v i d 1 9 ” 的 病 毒 软 件 ， 其 代 码 结 构 与 “ S a u r o n L o c k e r ” 家 族 病 毒 及 其 相 似 ， 我 们 怀 疑 是 该 病 毒 家 族 的 新 变 种 ， 用 户 设 备 中 毒 后 ， 导 致 用 户 手 机 的 通 讯 录 和 外 存 储 文 件 被 加 密 ， 要 求 用 户 支 付 比 特 币 解 密 ， 另 外 ， 该 版 本 采 用 A E S 的 加 密 算 法 ， 而 加 解 密 的 密 钥 是 从 远 程 服 务 器 动 态 获 取 ， 增 加 了 破 解 勒 索 软 件 加 密 算 法 的 难 度 。 一 、 基 本 信 息 一 、 基 本 信 息 样 本 名 称 ： C o v i d 1 9 样 本 M D 5 ： 3 6 2 D A C 3 F 2 8 3 8 D 2 B F 6 0 C 5 C 5 4 C C 6 D 3 4 C 8 0 样 本 包 名 ： c o m . i n s . f o r t n i t e 签 名 信 息 ： C N = K h u m a r A j i t ,   O U = A p p   D e v ,   O = A p p   D e v ,   L = B a n g l a d e s h ,   S T = B a l g a d e s h ,   C = I D 图 1 “ C o v i d 1 9 ” 安 装 图 标 二 、 运 行 原 理 二 、 运 行 原 理 该 程 序 是 一 款 名 为 “ C o v i d 1 9 ” 的 勒 索 软 件 ， 程 序 运 行 后 将 自 身 界 面 置 顶 ， 妨 碍 用 户 正 常 退 出 。 首 先 ， 获 取 设 备 的 基 本 信 息 （ U I D ） 作 为 参 数 上 传 到 远 程 服 务 器 ， 用 于 识 别 设 备 并 下 发 加 密 密 钥 ， 然 后 ， 加 密 用 户 手 机 的 外 部 存 储 文 件 ， 加 密 文 件 后 缀 为 “ . e n c r y p t e d ” ， 同 时 将 用 户 通 讯 录 文 件 利 用 A E S 算 法 加 密 后 ， 再 通 过 B A S E 6 4 编 码 进 行 存 储 ， 并 删 除 原 通 讯 录 信 息 ， 最 后 ， 弹 出 勒 索 界 面 信 息 ， 要 求 用 户 需 要 支 付 0 . 0 2 8 比 特 币 。 用 户 点 击 “ C H E C K P A Y M E N T   A N D U N B L O C K ” 按 钮 时 ， 程 序 访 问 服 务 器 判 断 是 否 付 款 和 获 取 解 密 密 钥 ， 当 返 回 信 息 为 “ t r u e ” ， 密 钥 正 确 时 会 自 动 进 行 解 密 并 提 示 用 户 重 启 手 机 解 除 锁 定 。 病 毒 运 行 流 程 示 意 图 ：
图 2   病 毒 运 行 流 程 示 意 图 三 、 代 码 分 析 三 、 代 码 分 析 该 软 件 的 代 码 框 架 相 对 简 洁 ， 主 要 由 开 机 启 动 广 播 、 恶 意 服 务 、 勒 索 界 面 、 加 密 解 密 四 部 分 组 成 ， 其 中 加 密 解 密 密 钥 是 从 远 程 服 务 器 远 程 获 取 ， 相 对 比 较 复 杂 。 图 3   代 码 框 架
3 . 1 实 施 勒 索 实 施 勒 索 程 序 运 行 后 将 自 身 界 面 置 顶 ， 注 册 开 机 广 播 ， 实 现 开 机 自 启 ， 妨 碍 用 户 正 常 退 出 ， 获 取 设 备 的 基 本 信 息 ( 如 ： U I D ) 作 为 参 数 上 传 到 远 程 服 务 器 ， 用 于 设 备 识 别 并 下 发 加 密 密 钥 ， 之 后 程 序 会 对 用 户 外 部 存 储 的 文 件 以 及 通 讯 录 文 件 利 用 A E S 算 法 进 行 加 密 。 自 身 界 面 置 顶 : 图 4   窗 口 置 顶 开 机 自 启 : 图 5   开 机 自 启 生 成 设 备 唯 一 识 别 码 : 图 6   生 成 设 备 U I D 加 密 通 讯 录 和 外 部 存 储 文 件 ： u r l ： h t t p : / / e x * * * p o o o . x y z / w p - c o n t e n t / g a t e w a y / a t t a c h . p h p
图 7   加 密 通 讯 录 和 文 件 获 取 勒 索 信 息 进 行 展 示 ： u r l ： h t t p : / / e x * * * p o o o . x y z / w p - c o n t e n t / g a t e w a y / s e t t i n g s . p h p
图 8   获 取 勒 索 信 息 图 9   展 示 勒 索 信 息
3 . 2 加 解 密 算 法 加 解 密 算 法 通 过 代 码 分 析 可 知 ， 加 解 密 的 密 钥 通 过 服 务 器 下 发 ， 经 过 A E S 算 法 对 通 讯 录 和 文 件 进 行 加 密 操 作 ， 由 于 A E S 算 法 属 于 对 称 加 密 算 法 ， 所 以 加 解 密 的 密 钥 相 同 ， 只 要 知 道 加 密 时 的 密 钥 就 能 进 行 解 密 ， 而 加 密 的 密 钥 可 以 在 首 次 启 动 该 软 件 时 进 行 抓 包 获 取 到 。 获 取 加 密 密 钥 : 图 1 0   获 取 加 密 密 钥 将 密 钥 转 换 成 比 特 数 组 : 图 1 1   密 钥 转 换 将 转 换 后 的 比 特 数 组 作 为 K E Y 值 ， 利 用 A E S / C B C / P K C S 5 P a d d i n g 算 法 类 型 进 行 加 密 : 图 1 2   A E S 算 法
加 密 通 讯 录 ： 将 通 讯 录 利 用 A E S 算 法 加 密 后 ， 再 通 过 B A S E 6 4 编 码 进 行 存 储 ， 并 删 除 原 信 息 : 图 1 3   加 密 通 讯 录 图 1 4   通 讯 录 加 密 前 后 对 比 加 密 文 件 将 文 件 经 过 A E S 加 密 后 ， 并 在 文 件 名 后 面 添 加 “ . e n c r y p t e d ” 字 符 串 ， 最 后 删 除 原 文 件
图 1 5   文 件 加 密 前 后 对 比 3 . 3 解 除 勒 索 解 除 勒 索 当 点 击 “ C H E C K P A Y M E N T   A N D U N B L O C K ” 按 钮 时 ， 程 序 访 问 服 务 器 判 断 是 否 付 款 和 获 取 解 密 密 钥 ， 当 返 回 信 息 为 “ t r u e ” ， 密 钥 正 确 时 会 自 动 进 行 解 密 并 提 示 用 户 重 启 手 机 解 除 锁 定 。 与 后 台 确 认 是 否 付 款 和 解 除 锁 定 : u r l ： h t t p : / / e x * * * p o o o . x y z / w p - c o n t e n t / g a t e w a y / c h e c k . p h p 图 1 6   与 后 台 确 认 是 否 付 款 和 解 除 锁 定
图 1 7   解 析 返 回 的 信 息
图 1 8   解 除 锁 定 的 界 面 溯 源 分 析 （ 1 ） 域 名 溯 源 通 过 域 名 信 息 进 行 溯 源 ， 发 现 该 域 名 注 册 日 期 为 2 0 2 0 年 3 月 ， 存 有 后 台 管 理 地 址 ， 服 务 器 开 启 了 列 目 录 功 能 ， 可 以 看 到 部 分 文 件 ， 通 过 文 件 的 编 辑 日 期 可 以 看 出 该 作 者 早 在 2 0 1 8 年 就 开 始 进 行 该 软 件 的 制 作 ， 最 后 修 改 日 期 为 2 0 2 0 年 4 月 2 2 日 ， 可 以 看 出 是 针 对 目 前 的 热 点 新 闻 进 行 了 针 对 性 修 改 ， 更 容 易 欺 骗 用 户 。 W h o i s 信 息 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理