搜索

[21951] 2021-05-09_DearCry勒索软件技术分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-05-09_DearCry勒索软件技术分析 D e a r C r y 勒 索 软 件 技 术 分 析 S e c T r 安 全 团 队   L e m o n S e c   2 0 2 1 - 0 5 - 0 9 “ D e a r C r y 是 首 个 锁 定 P r o x y L o g o n 漏 洞 的 勒 索 软 件 。 本 文 中 ， 研 究 人 员 对 该 勒 索 软 件 进 行 了 详 细 分 析 ， 揭 示 了 其 运 行 方 式 等 其 他 信 息 。 ” 初 步 分 析 初 步 分 析 D e a r C r y 勒 索 软 件 使 用 C + + 语 言 编 写 ： 图 1 .   用 C + + 编 写 的 D e a r C r y 该 勒 索 软 件 执 行 后 ， 会 将 名 为 “ r e a d m e . t x t ” 的 勒 索 说 明 文 档 保 存 在 桌 面 中 。 勒 索 说 明 文 档 中 ， 提 供 了 2 个 电 子 邮 件 地 址 “ k o n e d i e y p @ a i r m a i l . c c ” 和 “   u e n w o n k e n @ m e m a i l . c o m ” ， 要 求 受 害 者 主 动 与 该 电 子 邮 件 地 址 联 系 ， 以 获 得 进 一 步 的 指 示 或 如 何 解 密 的 信 息 ， 同 时 还 要 求 受 害 者 发 送 文 档 中 所 提 供 的 哈 希 值 。 图 2 .   勒 索 说 明 文 档 研 究 人 员 观 察 到 该 D e a r C r y 将 创 建 加 密 文 件 副 本 ， 并 添 加 . C R Y P T 扩 展 名 。 然 后 ， 删 除 原 始 文 件 。 图 3 .   成 功 感 染 后 删 除 原 始 文 件
图 4 .   添 加 . C R Y P T 扩 展 名 如 下 图 所 示 ， D e a r C r y 二 进 制 文 件 中 的 某 些 字 符 串 是 明 文 显 示 的 未 被 加 密 ， 可 以 直 接 理 解 。 图 5 .   可 见 的 字 符 串 明 文 显 示 的 字 符 串 中 ， 包 含 D e a r C r y 勒 索 软 件 所 要 加 密 的 目 标 文 件 扩 展 名 ， 如 下 所 示 ： . T I F   . T I F F   . P D F   . X L S   . X L S X   . X L T M   . P S   . P P S   . P P T   . P P T X   . D O C   . D O C X   . L O G   . M S G   . R T F   . T E X   . T X T   . C A D   . W P S   . E M L   . I N I   . C S S . H T M   . H T M L     . X H T M L   . J S   . J S P   . P H P   . K E Y C H A I N   . P E M   . S Q L   . A P K   . A P P   . B A T   . C G I   . A S P X   . C E R   . C F M   . C   . C P P   . G O   . C O N F I G . P L   . P Y   . D W G   . X M L   . J P G   . B M P   . P N G   . E X E   . D L L   . C A D   . A V I   . H . C S V   . D A T   . I S O   . P S T   . P G D     . 7 Z   . R A R   . Z I P   . Z I P X   . T A R   . P D B . B I N   . D B   . M D B   . M D F   . B A K   . L O G   . E D B   . S T M   . D B F   . O R A   . G P G   . E D B   . M F S 此 外 ， 还 包 含 攻 击 者 的 R S A 公 钥 ， 以 及 勒 索 说 明 文 档 的 文 件 名 、 内 容 和 附 加 的 文 件 扩 展 名 等 信 息 。 深 入 分 析 深 入 分 析
深 入 分 析 D e a r C r y 勒 索 软 件 ， 研 究 人 员 发 现 其 调 用 了 “ S t a r t S e r v i c e C t r l D i s p a t c h e r ”   函 数 ， 该 函 数 用 于 运 行 服 务 控 制 调 度 器 ， 以 提 供 服 务 控 制 管 理 器 和 D e a r C r y 创 建 的 “ m s u p d a t e ” 服 务 之 间 的 连 接 。 之 后 ， D e a r C r y 将 调 用 开 始 加 密 文 件 的 函 数 。 图 6 .   S t a r t S e r v i c e C t r l D i s p a t c h e r 函 数 和 加 密 函 数 D e a r C r y 所 创 建 的 服 务 “ m s u p d a t e ” 是 非 法 的 且 未 与 M i c r o s o f t 关 联 ， 该 服 务 将 用 于 启 动 文 件 加 密 。 D e a r C r y 将 利 用 O p e n S S L 库 生 成 密 钥 并 加 密 文 件 。 创 建 “ m s u p d a t e ” 服 务 后 ， 该 勒 索 软 件 将 调 用 一 个 加 密 哈 希 函 数 ， 该 函 数 将 使 用 内 嵌 的 R S A 公 钥 执 行 加 密 操 作 ， 并 将 输 出 的 “ 2 1 3 3 c 3 6 9 f b 1 1 5 e a 6 1 e e b d 7 b 6 2 7 6 8 d e c f ” 哈 希 值 记 录 在 勒 索 说 明 文 档 中 。 攻 击 者 将 通 过 该 哈 希 值 ， 确 认 相 应 的 解 密 密 钥 。 图 7 .   用 于 哈 希 加 密 的 R S A 公 钥 图 8 .   哈 希 加 密 操 作 D e a r C r y 勒 索 软 件 加 密 步 骤 勒 索 软 件 加 密 步 骤 之 后 ， D e a r C r y 将 通 过 “ G e t L o g i c a l D r i v e s ” 、 “ G e t L o g i c a l D r i v e S t r i n g s A ” 和 “   G e t D r i v e T y p e ” 函 数 获 取 可 用 的 驱 动 器 ， 以 开 始 加 密 。
图 9 .   检 查 可 用 的 驱 动 器 接 下 来 ， 它 将 遍 历 每 个 文 件 夹 ， 以 通 过 “ F i n d F i r s t F i l e A ” 和 “   F i n d N e x t F i l e A ” 函 数 搜 索 要 加 密 的 文 件 ， 然 后 通 过 检 查 文 件 扩 展 名 ， 以 确 认 是 否 要 对 该 文 件 进 行 加 密 。 图 1 0 .   检 查 文 件 扩 展 名 当 找 到 的 文 件 扩 展 名 在 目 标 列 表 中 时 ， D e a r C r y 会 继 续 执 行 以 下 加 密 步 骤 ： 1 .   打 开 目 标 文 件 读 取 前 8 个 字 节 ， 并 比 较 其 是 否 等 于 勒 索 标 记 “ D E A R C R Y ! ” 。 该 步 骤 是 为 了 验 证 目 标 文 件 是 否 已 被 感 染 了 。 图 1 1 .   在 r b 模 式 下 打 开 目 标 文 件 图 1 2 .   检 查 勒 索 标 记 是 否 存 在 2 .   如 果 勒 索 标 记 存 在 ， 它 将 跳 过 该 文 件 以 防 止 再 次 感 染 。 否 则 ， 它 将 继 续 读 取 目 标 文 件 的 内 容 ， 并 使 用 A E S - 2 5 6 进 行 加 密 。
3 .   然 后 ， 它 将 使 用 “ l s t r c p y A ” 函 数 复 制 目 标 文 件 的 文 件 名 ， 并 添 加 . C R Y P T 扩 展 名 （ 如 “ b a i t f o r r a n s o m . t x t . C R Y P T ” ） ， 创 建 一 个 新 的 文 件 。 图 1 3 .   复 制 目 标 文 件 名 并 添 加 . C R Y P T 扩 展 名 图 1 4 .   左 侧 为 原 始 文 件 ， 右 侧 为 新 文 件 4 .   之 后 在 先 创 建 的 新 文 件 中 写 入 “ D E A R C R Y ! ” 标 记 ， 再 拷 入 原 始 文 件 的 内 容 。 图 1 5 .   原 始 文 件 的 内 容 和 新 文 件 的 内 容 5 .   接 下 来 ， 它 将 原 始 文 件 的 内 容 重 写 为 A A A A A A … 并 保 存 ， 使 该 被 加 密 的 文 件 几 乎 无 法 被 恢 复 。
图 1 6 .   重 新 原 始 文 件 6 .   最 后 ， 删 除 原 始 文 件 。 图 1 7 .   删 除 原 始 文 件 加 密 完 成 后 ， D e a r C r y 勒 索 软 件 将 删 除 创 建 的 “ m s u p d a t e ” 服 务 ， 结 束 执 行 。 图 1 8 .   删 除 创 建 的 服 务 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理