搜索

[4496] 2017-11-02_Sage勒索软件新变种：新增反分析和提权功能

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-16
2017-11-02_Sage勒索软件新变种：新增反分析和提权功能 ​ S a g e 勒 索 软 件 新 变 种 ： 新 增 反 分 析 和 提 权 功 能 原 创   E 小 编   E 安 全   2 0 1 7 - 1 1 - 0 2 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 1 月 2 日 讯   飞 塔 公 司 （ F o r t i n e t ） 发 出 警 告 称 ， 今 年 年 初 浮 出 水 面 的 S a g e 勒 索 软 件 新 增 反 分 析 功 能 ， 以 达 到 提 权 和 逃 避 分 析 的 目 的 。 这 款 恶 意 软 件 2 0 1 7 年 初 高 度 活 跃 ， 但 过 去 六 个 月 并 未 施 展 大 动 作 。 然 而 ， 安 全 研 究 人 员 近 期 发 现 的 恶 意 样 本 与 今 年 3 月 发 现 的 S a g e 变 种 类 似 ， 但 是 ， 新 样 本 功 能 更 强 大 ， 新 增 反 分 析 功 能 和 提 权 功 能 。 S a g e 勒 索 软 件 传 播 途 径 勒 索 软 件 传 播 途 径 S a g e 通 过 带 有 恶 意 附 件 的 垃 圾 电 子 邮 件 传 播 ， 且 与 L o c k y 勒 索 软 件 共 享 相 同 的 传 播 基 础 设 施   。 此 外 ， S a g e 通 过 启 用 恶 意 宏 的 文 档 文 件 进 行 传 播 ， 还 利 用 . i n f o 和 . t o p 顶 级 域 名 （ T L D ） 名 称 传 递 恶 意 软 件 。 这 款 恶 意 软 件 使 用 C h a C h a 2 0 加 密 算 法 加 密 受 害 者 的 文 件 ， 并 附 加 . s a g e 扩 展 名 。 S a g e 有 哪 些 功 能 ？ 有 哪 些 功 能 ？ F o r t i n e t 还 发 现 ， S a g e 的 代 码 显 示 ， 更 多 字 符 串 经 过 加 密 处 理 试 图 隐 藏 恶 意 行 为 。 恶 意 软 件 开 发 人 员 使 用 C h a C h a 2 0 加 密 算 法 ， 并 且 每 个 加 密 的 字 符 串 均 拥 有 自 己 的 硬 编 解 密 密 钥 。
这 款 恶 意 软 件 还 执 行 各 种 检 查 ， 以 确 定 是 否 会 被 加 载 到 沙 盒 或 虚 拟 机 环 境 进 行 分 析 。 S a g e 会 枚 举 设 备 上 的 所 有 活 动 进 程 ， 计 算 每 个 进 程 的 哈 希 值 ， 然 后 对 比 黑 名 单 进 程 的 硬 编 列 表 检 查 哈 希 值 。 此 外 ， S a g e 还 会 检 查 完 整 的 执 行 路 径 ， 当 发 现 诸 如 s a m p l e 、 m a l w 、 s a m p e l 、 v i r u s 、 { s a m p l e ’ s   M D 5 } 和   { s a m p l e s ’ s   S H A 1 } 之 类 的 字 符 串 时 ， 便 会 终 止 运 行 。 S a g e 新 变 种 还 会 检 查 计 算 机 和 用 户 名 ， 以 此 确 定 是 否 与 沙 盒 环 境 中 通 常 使 用 的 名 字 一 致 。 新 变 种 还 使 用 x 8 6 指 令 C P U I D 获 取 处 理 器 信 息 ， 并 与 C P U 黑 名 单 I D 列 表 进 行 对 比 。 更 为 重 要 的 是 ， 这 款 恶 意 软 件 会 枚 举 服 务 控 制 管 理 器 下 运 行 的 服 务 ， 检 查 计 算 机 是 否 在 运 行 反 病 毒 软 件 。 同 时 还 会 对 比 一 组 M A C 黑 名 单 地 址 进 行 检 查 。 S a g e 能 利 用 已 修 复 的 W i n d o w s 内 核 漏 洞 （ C V E - 2 0 1 5 - 0 0 5 7 ） 或 滥 用 e v e n t v w r . e x e 并 执 行 注 册 表 劫 持 绕 过 用 户 帐 户 控 制 （ U A C ） ， 从 而 达 到 提 权 的 目 的 。 新 变 种 在 勒 索 信 中 新 增 六 种 语 言 ， 这 说 明 开 发 人 员 今 后 可 能 会 将 目 标 瞄 向 更 多 国 家 。 勒 索 信 息 引 导 受 害 者 使 用 T o r 浏 览 器 访 问 一 个 匿 名 “ 洋 葱 ” 网 站 ， 并 支 付 2 0 0 0 美 元 购 买 S a g e 解 密 软 件 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 5 4 5 7 0 8 5 7 0 . s h t m l 推 荐 阅 读 ： “ 坏 兔 子 ” 勒 索 软 件 是 如 何 攻 击 那 么 多 国 家 的 ？ 小 心 ！ R e b B o o t 可 能 是 披 着 勒 索 软 件 外 衣 的 删 除 工 具 L o c k y 勒 索 软 件 传 播 新 方 式 ： 关 闭 W o r d 文 档 会 感 染 电 脑 韩 国 L G 服 务 中 心 遭 遇 勒 索 软 件 攻 击 新 版 O W A S P   T O P   1 0 ： 这 三 类 新 型 安 全 漏 洞 上 榜 N o t P e t y a 勒 索 病 毒 席 卷 全 球   传 播 者 竟 是 名 5 1 岁 男 子 L o c k y 勒 索 软 件 传 播 新 方 式 ： 关 闭 W o r d 文 档 会 感 染 电 脑
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理