搜索

[15764] 2020-08-23_ProLock勒索软件分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-08-23_ProLock勒索软件分析 P r o L o c k   勒 索 软 件 分 析 原 创   A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 8 - 2 3 写 在 前 面 的 话 写 在 前 面 的 话 当 各 个 组 织 正 忙 于 应 对 全 球 疫 情 的 时 候 ， 新 一 波 的 勒 索 软 件 攻 击 又 悄 悄 开 始 了 。 这 款 名 为 P r o L o c k 的 勒 索 软 件 ， 是 2 0 1 9 年 底 出 现 的 P w n d L o c k e r 勒 索 软 件 的 变 种 版 本 。 P w n d L o c k e r 的 传 播 时 间 非 常 短 ， 主 要 是 因 为 很 多 用 户 发 现 解 密 文 件 所 需 的 密 钥 可 以 从 恶 意 软 件 本 身 来 获 取 ， 这 样 就 无 需 支 付 赎 金 了 。 但 是 ， 今 年 三 月 份 出 现 的 P r o L o c k 正 好 相 反 ， 因 为 目 标 用 户 在 支 付 了 赎 金 之 后 ， 接 收 到 的 却 是 一 个 存 在 问 题 的 解 密 工 具 ， 而 这 个 解 密 工 具 将 会 损 坏 目 标 用 户 设 备 中 已 被 勒 索 软 件 加 密 的 数 据 。 这 种 错 误 可 能 与 P r o L o c k 加 密 文 件 时 所 采 用 的 异 常 方 式 有 关 ， 因 为 P r o L o c k 在 加 密 文 件 时 ， 会 跳 过 小 于 8 1 9 2 字 节 的 文 件 ， 并 且 会 对 第 一 个 8 1 9 2 字 节 之 后 的 大 文 件 进 行 加 密 。 这 样 一 来 ， 将 导 致 文 件 部 分 可 读 ， 部 分 被 加 密 。 P r o L o c k 准 备 工 作 准 备 工 作 P r o L o c k 可 以 通 过 多 种 方 式 来 获 取 目 标 网 络 的 访 问 权 ， 其 中 还 涉 及 到 一 些 第 三 方 漏 洞 的 利 用 。 而 且 根 据 G r o u p - I B 的 研 究 人 员 透 露 的 信 息 ， 有 一 些 P r o L o c k 受 害 者 是 通 过 Q a k B o t 银 行 木 马 所 执 行 的 脚 本 感 染 的 。 F B I 还 指 出 ， Q a k B o t 是 P r o L o c k 的 初 始 感 染 手 段 之 一 ， 除 此 之 外 还 有 利 用 网 络 钓 鱼 邮 件 和 存 在 错 误 配 置 的 R D P 服 务 器 等 等 。 研 究 人 员 表 明 ， 最 早 的 P r o L o c k 入 侵 行 为 是 通 过 远 程 桌 面 协 议 （ R D P ） 连 接 来 实 现 的 。 P r o L o c k 攻 击 者 还 会 利 用 初 始 攻 击 所 获 得 的 访 问 权 限 来 进 行 一 些 网 络 侦 察 活 动 ， 并 在 开 始 勒 索 软 件 攻 击 之 前 窃 取 一 些 用 户 敏 感 数 据 。 在 研 究 的 过 程 中 ， 研 究 人 员 对 目 标 系 统 中 存 储 的 四 个 与 勒 索 软 件 相 关 的 文 件 进 行 了 分 析 ， 这 些 文 件 是 从 一 个 远 程 服 务 器 下 载 下 来 的 ， 相 关 的 I P 地 址 已 经 作 为 入 侵 威 胁 指 标 发 布 在 了 S o p h o s L a b s 的 G i t H u b 库 中 了 ： C : P r o g r a m D a t a W i n M g r . b m p C : P r o g r a m D a t a W i n M g r . x m l C : P r o g r a m D a t a c l e a n . b a t C : P r o g r a m D a t a r u n . b a t
P r o L o c k 攻 击 链 攻 击 链 P r o L o c k 恶 意 软 件 依 赖 于 W i n d o w s   B a t c h 脚 本 ， W i n d o w s 计 划 任 务 （ s c h t a s k s . e x e ） 和 P o w e r S h e l l 来 发 动 其 攻 击 。 勒 索 软 件 链 由 r u n . b a t 脚 本 文 件 作 为 起 始 ， 它 会 创 建 一 个 W i n d o w s 任 务 并 使 用 W i n M g r . x m l 来 配 置 任 务 ， 然 后 执 行 c l e a n . b a t 脚 本 。 当 该 脚 本 由 计 划 任 务 执 行 之 后 ， c l e a n . b a t 将 会 执 行 一 个 B a s e 6 4 编 码 的 P o w e r S h e l l 脚 本 ， 并 从 一 个 名 叫 W i n M g r . b m p 的 图 片 文 件 中 提 取 出 P r o L o c k 的 可 执 行 文 件 ， 然 后 将 其 加 载 进 内 存 中 并 执 行 。 下 图 显 示 的 是 下 图 显 示 的 是 c l e a n . b a t 中 嵌 入 的 部 分 中 嵌 入 的 部 分 B a s e 6 4 编 码 脚 本 代 码 ： 编 码 脚 本 代 码 ： 下 图 显 示 的 是 下 图 显 示 的 是 W i n M g r . b m p 中 的 部 分 脚 本 代 码 ： 中 的 部 分 脚 本 代 码 ： 下 图 显 示 的 是 下 图 显 示 的 是 W i n M g r . b m p 的 图 形 内 容 ， 其 中 隐 藏 了 的 图 形 内 容 ， 其 中 隐 藏 了 P r o L o c k 恶 意 软 件 恶 意 软 件 P a y l o a d ， 这 里 使 用 了 隐 写 术 ： ， 这 里 使 用 了 隐 写 术 ：
P r o L o c k 样 本 分 析 样 本 分 析 我 们 在 分 析 一 个 P r o L o c k 样 本 时 发 现 ， 它 使 用 了 一 段 自 修 改 的 代 码 来 隐 藏 了 其 中 的 部 分 内 容 ， 这 段 代 码 隐 藏 了 部 分 文 本 字 符 串 和 其 他 元 素 。 正 如 恶 意 软 件 开 发 中 常 见 的 那 样 ， P r o L o c k 程 序 被 故 意 设 置 为 不 允 许 调 试 ， 从 而 使 研 究 人 员 更 难 通 过 受 控 的 方 式 来 运 行 它 。 下 图 显 示 的 是 恶 意 软 件 样 本 执 行 过 程 中 的 部 分 混 淆 代 码 ： 下 图 显 示 的 是 恶 意 软 件 样 本 执 行 过 程 中 的 部 分 混 淆 代 码 ： 下 图 显 示 的 是 下 图 显 示 的 是 P r o L o c k 二 进 制 文 件 自 修 改 前 后 的 代 码 对 比 ： 二 进 制 文 件 自 修 改 前 后 的 代 码 对 比 ：
接 下 来 ， 代 码 会 对 其 自 修 改 的 部 分 进 行 解 码 ， 导 入 D L L ， 并 设 置 好 其 需 要 使 用 的 功 能 函 数 。 设 置 完 成 后 ， 便 会 开 启 一 个 新 的 线 程 ， 然 后 将 第 一 个 线 程 设 置 为 休 眠 （ 一 种 反 分 析 技 术 ） 。 随 后 ， 恶 意 软 件 将 遍 历 目 标 设 备 的 注 册 表 以 寻 找 潜 在 的 安 全 策 略 设 置 。 出 于 某 种 原 因 ， 恶 意 软 件 会 将 I E 浏 览 器 的 安 全 策 略 设 置 进 行 修 改 ， 关 掉 I E 的 通 用 命 名 约 定 路 径 ， 并 启 用 自 动 I n t r a n e t 映 射 ， 然 后 开 始 寻 找 可 能 会 阻 碍 数 据 加 密 / 销 毁 的 应 用 程 序 以 及 服 务 。 通 过 调 用 W i n d o w s 的 C r e a t e T o o l h e l p 3 2 s n a p s h o t . d l l ， 恶 意 软 件 还 会 存 储 所 有 正 在 运 行 进 程 的 快 照 ， 并 通 过 对 照 一 个 内 置 列 表 来 进 行 进 程 检 查 ， 然 后 试 用 t a s k k i l l . e x e 实 用 工 具 来 关 闭 所 有 与 该 列 表 匹 配 的 进 程 ， 比 如 说 一 些 M i c r o s o f t   O f f i c e 程 序 、 F i r e f o x 浏 览 器 、 T h u n d e r b i r d 邮 件 客 户 端 以 及 安 全 软 件 组 件 等 等 。 勒 索 软 件 会 终 止 这 类 进 程 ， 以 确 保 用 户 文 件 没 有 处 于 锁 定 或 打 开 状 态 ， 从 而 实 现 数 据 的 成 功 加 密 。 接 下 来 ， 恶 意 软 件 将 会 试 用 n e t . e x e 来 尝 试 关 闭 与 企 业 应 用 程 序 、 安 全 软 件 和 备 份 软 件 相 关 的 1 5 0 多 种 服 务 和 进 程 。 这 一 操 作 的 目 的 同 样 是 为 了 排 除 数 据 加 密 的 其 他 干 扰 因 素 。 然 后 ， 为 了 防 止 本 地 文 件 恢 复 ， P r o L o c k 将 会 通 过 执 行 下 列 命 令 来 删 除 本 地 文 件 的 “ 卷 影 副 本 ” v s s a d m i n . e x e 文 件 （ W i n d o w s 的 卷 影 复 制 服 务 ） ： 注 意 事 项 ： 勒 索 软 件 针 对 的 进 程 和 服 务 的 完 整 列 表 发 布 在 S o p h o s L a b s 的 G i t H u b 上 。 此 时 ， 当 目 标 主 机 上 所 有 的 安 全 防 护 措 施 都 已 经 失 效 之 后 ， 勒 索 软 件 将 会 开 始 检 测 目 标 主 机 上 所 有 已 加 载 的 存 储 介 质 ， 并 遍 历 本 地 或 网 络 驱 动 器 的 目 录 结 构 ， 这 一 部 分 操 作 都 是 通 过 p o w e r s h e l l . e x e 进 程 来 实 现 的 。 当 它 每 读 取 到 一 个 文 件 时 ， 首 先 会 检 查 文 件 大 小 ， 如 果 文 件 小 于 8 1 9 2 字 节 （ 十 六 进 制 为 0 x 2 0 0 0 ） ， 则 跳 过 该 文 件 。 否 则 ， 它 将 从 8 1 9 2 字 节 之 后 开 始 加 密 文 件 。 加 密 文 件 后 ， 扩 展 名 . p r o l o c k 会 附 加 到 其 文 件 后 缀 之 后 。 比 如 说 ， a _ v e r y _ l a r g e _ t e x t _ f i l e . t x t 就 会 变 成 a _ v e r y _ l a r g e _ t e x t _ f i l e . t x t . p r o l o c k 。 下 图 显 示 的 是 下 图 显 示 的 是 P r e L o c k 加 密 后 的 文 件 截 图 ： 加 密 后 的 文 件 截 图 ： d e l e t e   s h a d o w s   / a l l   / q u i e t r e s i z e   s h a d o w s t o r a g e   / f o r = c :   / o n = c :   / m a x s i z e = 4 0 1 M B r e s i z e   s h a d o w s t o r a g e   / f o r = c :   / o n = c :   / m a x s i z e = u n b o u n d e d
下 图 显 示 的 是 文 件 加 密 前 后 的 数 据 对 比 ： 下 图 显 示 的 是 文 件 加 密 前 后 的 数 据 对 比 ： 当 勒 索 软 件 完 成 每 个 目 录 内 的 文 件 加 密 之 后 ， 它 会 将 一 个 名 为 [ H O W   T O   R E C O V E R   F I L E S ] . T X T 的 文 件 写 入 到 目 录 内 ， 该 文 件 包 含 的 就 是 勒 索 信 息 。 具 体 如 下 图 所 示 ： 但 是 ， 即 使 目 标 用 户 支 付 了 赎 金 ， 目 前 也 无 法 成 功 恢 复 数 据 ， 反 而 会 使 恢 复 数 据 的 成 本 变 得 更 高 ， 因 此 我 们 建 议 广 大 用 户 不 要 轻 易 采 取 行 动 ， 请 赶 紧 联 系 专 业 的 勒 索 软 件 响 应 团 队 以 获 取 技 术 支 持 。 参 考 资 料 参 考 资 料 S o p h o s L a b s   G i t H u b ： h t t p s : / / g i t h u b . c o m / s o p h o s l a b s / I o C s / b l o b / m a s t e r / p r o l o c k _ p r o c e s s e s _ s t o p p e d . c s v
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理