搜索

[17078] 2021-07-27_迷你世界勒索病毒，你的文件被删了吗？

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-07-27_迷你世界勒索病毒，你的文件被删了吗？ 迷 你 世 界 勒 索 病 毒 ， 你 的 文 件 被 删 了 吗 ？ p a n d a z h e n g z h e n g   F r e e B u f   2 0 2 1 - 0 7 - 2 7 前 言 前 言 近 日 ， 笔 者 在 某 恶 意 软 件 沙 箱 平 台 分 析 样 本 的 时 候 ， 发 现 了 一 款 比 较 有 意 思 的 勒 索 病 毒 — — M i n i W o r l d 迷 你 世 界 勒 索 病 毒 ， 它 的 解 密 界 面 与 此 前 的 W a n n a C r y 勒 索 病 毒 的 界 面 相 似 ， 应 该 是 作 者 仿 冒 的 W a n n a C r y 的 U I ， 如 下 所 示 ： 这 款 勒 索 病 毒 既 然 要 求 受 害 者 从 指 定 的 网 站 上 购 买 M i n e c r a f t   J a v a   E d i t o n ， 购 买 网 站 的 链 接 ： h t t p s : / / w w w . m i n e c r a f t . n e t / z h - h a n s / s t o r e / m i n e c r a f t - j a v a - e d i t i o n ， 如 下 所 示 ： 勒 索 病 毒 要 求 受 害 者 购 买 指 定 的 游 戏 ， 这 也 算 是 一 种 新 的 勒 索 方 式 了 ， 此 前 笔 者 跟 踪 过 一 款 绝 地 求 生 勒 索 软 件 ， 受 害 者 需 要 通 过 玩 游 戏 解 锁 文 件 ， 现 在 这 款 新 型 的 迷 你 世 界 勒 索 病 毒 ， 竟 然 直 接 要 求 受 害 者 购 买 m i n e c r a f t 游 戏 ， 通 过 样 本 关 联 ， 追 踪 到 这 款 勒 索 病 毒 的 母 体 程 序 ， 程 序 名 为 迷 你 世 界 ， 如 下 所 示 ：
通 过 分 析 样 本 的 上 传 信 息 ， 显 示 为 C N ， 猜 测 在 7 月 1 6 号 左 右 应 该 已 经 有 国 内 用 户 中 招 了 ， 如 下 所 示 ： 从 恶 意 软 件 平 台 下 载 这 款 勒 索 病 毒 的 母 体 程 序 ， 发 现 这 个 母 体 程 序 ， 还 带 有 相 关 的 数 字 签 名 ， 如 下 所 示 ： 这 个 证 书 的 有 效 期 从 2 0 2 1 / 7 / 1 4 到 2 0 4 0 / 1 / 1 ， 如 下 所 示 ：
同 时 这 个 母 体 会 释 放 相 应 的 更 新 程 序 ， 从 网 站 上 下 载 游 戏 的 更 新 包 程 序 ， 更 新 包 程 序 信 息 ， 如 下 所 示 ： 通 过 上 面 的 初 步 分 析 ， 发 现 这 款 勒 索 病 毒 有 点 意 思 ， 笔 者 决 定 详 细 跟 踪 分 析 一 下 ， 看 看 这 款 新 型 勒 索 病 毒 究 竟 做 了 什 么 ？ 它 又 为 什 么 要 推 广 这 款 游 戏 呢 ？ 详 细 分 析 详 细 分 析 对 母 体 样 本 和 勒 索 病 毒 样 本 进 行 详 细 分 析 ， 相 关 的 行 为 特 征 ， 如 下 所 示 ：
母 体 程 序 ， 会 在 T E M P 目 录 下 生 成 相 关 的 病 毒 程 序 和 游 戏 更 新 程 序 ， 如 下 所 示 ： 通 过 分 析 显 示 这 几 个 程 序 都 是 使 用 P u r e B a s i c 编 写 的 ， 这 款 勒 索 病 毒 主 要 功 能 主 要 通 过 执 行 核 心 的 三 个 B A T 脚 本 来 完 成 ， 详 细 分 析 过 程 笔 者 就 省 略 了 ， 读 者 可 以 自 己 去 摸 索 ， 恶 意 软 件 逆 向 分 析 是 一 项 很 有 趣 ， 但 又 需 要 花 费 很 多 时 间 和 精 力 去 做 的 事 情 ， 通 过 分 析 母 体 程 序 B A T 脚 本 ， 内 容 如 下 所 示 ： 这 个 脚 本 主 要 功 能 就 是 生 成 勒 索 病 毒 程 序 和 启 动 程 序 ， 然 后 将 启 动 程 序 设 置 为 自 启 动 ， 如 下 所 示 ： 启 动 程 序 B A T 脚 本 ， 内 容 如 下 所 示 ： 这 个 脚 本 的 主 要 功 能 就 是 启 动 游 戏 更 新 程 序 ， 然 后 再 执 行 勒 索 病 毒 ， 游 戏 更 新 程 序 ， 如 下 所 示 ：
下 载 上 面 的 游 戏 更 新 包 ， 如 下 所 示 ： 勒 索 病 毒 B A T 脚 本 ， 删 除 磁 盘 数 据 ， 如 下 所 示 ： 修 改 指 定 目 录 下 的 文 件 ， 修 改 后 的 文 件 后 缀 名 为 ： M C N B ， 并 修 改 权 限 ， 如 下 所 示 ：
在 各 个 磁 盘 下 面 生 成 勒 索 病 毒 解 密 程 序 @ R e c o v e r y Y o u r F i l e s @ . e x e 的 备 份 以 及 勒 索 病 毒 提 示 文 件 @ r e a d m e @ . t x t 的 备 份 ， 如 下 所 示 ： 将 启 动 程 序 设 置 为 新 的 自 启 动 项 程 序 ， 如 下 所 示 ： 设 置 的 自 启 动 项 ， 如 下 所 示 ： 最 后 执 行 勒 索 解 密 提 示 程 序 ， 弹 出 勒 索 解 密 界 面 ， 该 勒 索 病 毒 基 本 上 就 分 析 完 成 了 。
威 胁 情 报 威 胁 情 报 H A S H 0 8 6 8 4 A 9 8 3 2 6 E 5 E 8 7 1 E E 7 8 3 2 8 5 9 F F 1 6 D A 1 5 F 7 1 F 7 6 E 5 3 9 7 5 F 8 2 7 6 B 6 7 3 6 7 4 1 3 4 2 F 3 0 A D 0 8 3 F 1 A B 7 F 6 0 A 0 0 8 B 3 2 B 0 6 1 5 8 5 C D 3 0 A 8 B 1 F 3 A 1 F F 1 6 F A C A B 8 9 4 3 9 4 0 4 4 4 6 0 A 6 7 D E 7 5 6 B 9 3 8 8 2 3 8 6 B 7 E F 0 5 9 4 8 9 D 1 E 5 6 C A 0 7 3 B D 5 4 2 3 7 3 E 5 6 7 A B E E E 1 E 7 1 E B 6 2 6 7 0 B 1 7 8 6 6 A 5 A 1 5 8 2 F 2 0 6 5 4 6 B F 8 C 8 C 8 9 F 7 4 6 7 1 E 9 B 7 F 5 E 8 8 1 A 2 A C E D A E D 2 A B 8 A 3 8 3 A E 8 6 8 B 5 6 8 8 F 1 9 3 F 0 C 5 E F 1 3 0 C 4 2 3 E B 4 2 2 B 0 1 2 F 总 结 总 结 通 过 详 细 分 析 这 款 新 型 的 勒 索 病 毒 ， 主 要 功 能 就 是 删 除 了 磁 盘 的 文 件 ， 然 后 修 改 了 一 些 指 定 目 录 下 的 文 件 和 文 件 夹 权 限 等 ， 并 没 有 什 么 机 制 来 还 原 这 些 文 件 ， 仅 仅 是 为 了 骗 取 受 害 者 购 买 安 装 游 戏 ， 这 也 算 是 一 种 新 型 的 勒 索 方 式 ， 算 不 算 诈 骗 呢 ？ 至 于 这 款 勒 索 病 毒 为 什 么 要 受 害 者 去 购 买 m i n e c r a f t 游 戏 ， 并 通 过 这 款 新 型 的 勒 索 病 毒 来 推 广 m i n e c r a f t 游 戏 ， 可 能 开 发 者 是 这 款 m i n e c r a f t 的 忠 实 粉 丝 吧 ， 嘿 嘿 。 同 时 笔 者 发 现 这 款 新 型 的 迷 你 世 界 勒 索 病 毒 的 黑 客 邮 件 地 址 为 ： h e l p m a n a g e r @ a i r m a i l . c c ， 如 下 所 示 ： 这 个 邮 箱 地 址 与 旧 版 的 S T O P 勒 索 病 毒 的 黑 客 邮 件 地 址 一 样 ， 这 难 倒 是 一 种 巧 合 ， 还 是 这 款 勒 索 病 毒 的 作 者 有 意 而 为 之 ， 从 笔 者 目 前 分 析 的 结 果 来 看 ， 这 款 勒 索 病 毒 除 了 留 的 黑 客 邮 箱 地 址 与 S T O P 勒 索 病 毒 的 旧 邮 箱 地 址 相 同 以 外 ， 没 有 任 何 证 据 显 示 这 款 勒 索 病 毒 背 后 的 黑 客 团 伙 与 S T O P 勒 索 病 毒 背 后 的 黑 客 团 伙 有 任 何 关 系 ， 也 许 仅 仅 是 为 了 迷 惑 安
全 分 析 人 员 ， 也 许 是 为 了 栽 脏 S T O P 勒 索 病 毒 ， 想 让 S T O P 勒 索 病 毒 背 后 的 黑 客 团 伙 来 背 锅 ， 哈 哈 哈 哈 ， S T O P 勒 索 病 毒 是 一 款 非 常 流 行 的 勒 索 病 毒 ， 主 要 通 过 捆 绑 其 他 破 解 软 件 、 游 戏 辅 助 程 序 、 一 些 常 用 软 件 等 渠 道 进 行 传 播 ， 最 近 一 两 年 S T O P 勒 索 病 毒 通 过 捆 绑 K M S 激 活 工 具 进 行 传 播 ， 以 及 其 他 一 些 防 病 毒 软 件 等 ， 到 目 前 为 止 ， 此 勒 索 病 毒 一 共 有 一 百 多 个 不 同 的 加 密 变 种 ， 此 前 E m s i s o f t 公 司 发 布 过 一 款 解 密 工 具 ， 可 以 解 密 大 多 数 变 种 ， 不 过 S T O P 一 直 在 更 新 ， 最 新 的 版 本 暂 时 无 法 解 密 ， 笔 者 跟 踪 到 的 最 新 的 S T O P 勒 索 病 毒 ， 加 密 后 的 文 件 后 缀 名 为 ： g u j d ， 黑 客 的 邮 箱 地 址 已 经 更 新 为 ： m a n a g e r @ m a i l t e m p . c h 、 m a n a g e r h e l p e r @ a i r m a i l . c c 。 勒 索 病 毒 现 在 越 来 越 多 了 ， 而 且 不 断 有 新 的 组 织 加 入 到 勒 索 病 毒 攻 击 活 动 当 中 ， 不 管 是 新 型 的 勒 索 病 毒 黑 客 组 织 ， 还 是 已 知 的 勒 索 病 毒 黑 客 组 织 都 一 直 在 寻 找 新 的 目 标 ， 从 来 没 有 停 止 过 发 起 新 的 攻 击 ， 未 来 几 年 勒 索 攻 击 仍 然 是 全 球 最 大 的 安 全 威 胁 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理