搜索

[5931] 2019-05-29_勒索病毒分析通过钓鱼邮件传播的Sodinokibi勒索病毒，是怎么“玩”的？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2019-05-29_勒索病毒分析通过钓鱼邮件传播的Sodinokibi勒索病毒，是怎么“玩”的？ 勒 索 病 毒 分 析   |   通 过 钓 鱼 邮 件 传 播 的 S o d i n o k i b i 勒 索 病 毒 ， 是 怎 么 “ 玩 ” 的 ？ 安 恒 信 息   E 安 全   2 0 1 9 - 0 5 - 2 9 日 前 ， 安 恒 A P T 预 警 平 台 监 控 到 了 名 为 S o d i n o k i b i 的 新 型 勒 索 病 毒 。 经 安 恒 安 全 研 究 院 分 析 人 员 分 析 ， 发 现 该 病 毒 通 过 钓 鱼 邮 件 进 行 传 播 ， 利 用 伪 装 邮 件 主 题 、 文 件 名 称 、 文 件 图 标 等 带 有 迷 惑 性 的 内 容 诱 导 用 户 进 行 点 击 。 主 要 攻 击 方 向 包 括 商 贸 、 科 技 、 机 关 等 公 司 或 单 位 的 人 员 。 S o d i n o k i b i 勒 索 病 毒 如 何 传 播 的 ？ 让 明 御 A P T 攻 击 （ 网 络 战 ） 预 警 平 台 来 给 大 家 来 捋 一 捋 。 勒 索 病 毒 传 播 方 式 勒 索 病 毒 传 播 方 式 安 恒 A P T 预 警 平 台 检 测 到 一 个 邮 件 ， 邮 件 主 题 包 括 “ 您 侵 犯 了 该 公 司 的 版 权 ” 、 “ 包 裹 派 送 延 迟 ” 等 描 述 ； 邮 件 附 件 包 括 “ 原 始 图 像 . z i p ” 、 “ 包 裹 派 送 延 迟 . z i p ” 等 压 缩 文 件 。 一 般 情 况 下 ， 遇 到 这 些 与 我 们 生 活 息 息 相 关 的 邮 件 ， 大 家 都 会 不 假 思 索 的 去 下 载 压 缩 包 。 那 么 解 压 之 后 会 发 生 什 么 ？ 答 案 是 ， 当 你 将 压 缩 文 件 解 压 之 后 ， 可 以 得 到 l n k 文 件 、 以 及 伪 装 为 w o r d 文 档 的 e x e 文 件 。 L n k 文 件 也 指 向 e x e 文 件 ， 文 件 名 称 带 有 欺 骗 性 。 如 果 大 家 选 择 运 行 程 序 ， 那 么 电 脑 上 的 文 件 将 会 被 感 染 ， 包 括 非 系 统 运 行 环 境 路 径 外 的 所 有 非 P E 文 件 ， 并 将 文 件 后 缀 修 改 为 随 机 变 化 的 后 缀 名 。
明 御 明 御 A P T 攻 击 （ 网 络 战 ） 预 警 平 台 监 测 分 析 攻 击 （ 网 络 战 ） 预 警 平 台 监 测 分 析 来 看 明 御 A P T 攻 击 （ 网 络 战 ） 预 警 平 台 是 如 何 分 析 S o d i n o k i b i 的 新 型 勒 索 病 毒 。 上 文 介 绍 到 ， 压 缩 包 中 包 含 两 个 伪 装 的 e x e 文 件 ， 实 为 相 同 的 e x e 程 序 ， 故 任 选 一 个 进 行 分 析 即 可 。 （ 1 ） 例 如 ， 选 择 文 件 . d o c . e x e 程 序 进 行 分 析 。 该 勒 索 者 程 序 加 了 一 层 保 护 壳 ， 包 含 数 量 庞 大 的 混 淆 代 码 ， 以 及 两 层 代 码 解 密 ， 第 一 次 层 代 码 解 密 后 解 密 出 另 一 端 解 密 代 码 。 该 层 解 密 代 码 的 功 能 是 解 密 出 勒 索 者 本 体 e x e 程 序 。
正 在 解 密 出 勒 索 者 本 体 e x e 程 序 的 代 码 （ 2 ） 解 密 出 勒 索 者 本 体 e x e 程 序 后 ， 修 改 原 程 序 代 码 块 内 容 ， 将 原 程 序 代 码 修 改 为 勒 索 者 本 体 e x e 代 码 ， 并 跳 转 到 勒 索 者 主 体 e x e 代 码 入 口 点 进 行 执 行 ， 将 勒 索 者 主 体 运 行 起 来 。 该 勒 索 者 会 加 密 所 有 非 系 统 运 行 环 境 路 径 的 所 有 非 P E 文 件 ， 并 将 文 件 后 缀 修 改 为 随 即 变 化 的 后 缀 名 ， 如 本 次 后 缀 为 b i y 1 1 y 。
随 后 ， 删 除 全 盘 所 有 卷 影 副 本 。 进 一 步 修 改 桌 面 背 景 ， 并 会 有 随 即 后 缀 - r e a d m e . t x t 勒 索 者 提 示 。 （ 3 ） 根 据 r e a d m e . t x t 的 提 示 访 问 攻 击 者 给 出 的 解 密 方 案 网 站 ：
输 入 k e y 和 后 缀 ， 得 到 如 下 所 示 勒 索 界 面 ：
进 入 界 面 后 ， 可 以 看 到 该 勒 索 者 提 示 ： 如 不 在 规 定 时 间 内 支 付 则 价 格 翻 倍 ， 交 易 方 式 为 B T C ， 当 前 需 支 付 价 格 约 为 1 1 5 0 U S D ， 并 给 出 了 B T C 地 址 和 购 买 方 式 。 防 护 措 施 防 护 措 施 新 型 的 勒 索 病 毒 层 出 不 穷 ， 其 来 源 广 泛 、 伪 装 方 式 多 样 ， 给 企 业 和 个 人 带 来 的 损 失 不 可 计 数 ， 如 何 能 高 效 对 抗 勒 索 病 毒 成 为 迫 在 眉 睫 的 问 题 。 面 对 来 势 汹 汹 的 勒 索 病 毒 ， 如 果 仅 靠 企 业 或 个 人 的 力 量 ， 力 不 从 心 。 我 们 需 要 从 2 个 角 度 加 强 防 护 ： （ 1 ） 借 助 高 效 的 工 具 ： 使 用 安 恒 明 御 A P T 攻 击 （ 网 络 战 ） 预 警 平 台 ， 及 时 发 现 潜 在 威 胁 ； （ 2 ） 积 极 培 养 网 络 安 全 意 识 ： 不 轻 易 打 开 未 知 来 源 的 邮 件 及 附 件 ， 不 随 意 点 击 未 知 链 接 ， 不 随 意 打 开 未 经 验 证 可 靠 来 源 的 文
档 。 明 御 明 御 A P T 攻 击 （ 网 络 战 ） 预 警 平 台 攻 击 （ 网 络 战 ） 预 警 平 台 明 御 A P T 攻 击 （ 网 络 战 ） 预 警 平 台 （ 简 称 D A S - A P T ） 是 安 恒 信 息 自 主 研 发 的 针 对 网 络 流 量 进 行 深 度 分 析 的 一 款 产 品 。 该 平 台 基 于 丰 富 的 特 征 库 、 全 面 的 检 测 策 略 、 智 能 的 机 器 学 习 、 高 效 的 沙 箱 动 态 分 析 、 海 量 的 威 胁 情 报 ， 能 实 时 发 现 网 络 攻 击 行 为 ， 特 别 是 新 型 网 络 攻 击 行 为 ， 帮 助 用 户 发 现 网 络 中 发 生 的 各 种 已 知 威 胁 和 未 知 威 胁 ， 检 测 能 力 完 整 覆 盖 整 个 A P T 攻 击 链 ， 有 效 发 现 A P T 攻 击 、 未 知 威 胁 及 用 户 关 心 的 网 络 安 全 事 件 ！ 1 . 支 持 全 流 量 分 析 ， 网 络 威 胁 一 网 打 尽 ； 2 . 全 面 的 检 测 策 略 ， 应 对 各 种 场 景 的 攻 击 行 为 ， 集 静 态 检 测 技 术 和 动 态 分 析 技 术 于 一 身 ； 3 . 网 络 流 量 实 时 监 控 ， 建 立 紧 急 事 件 报 警 机 制 ， 迅 速 反 应 ， 及 时 发 现 攻 击 ； 4 . 云 端 大 数 据 分 析 ， 基 于 机 器 学 习 和 深 度 挖 掘 等 技 术 ， 实 时 共 享 最 新 安 全 威 胁 情 报 ， 快 速 预 警 新 型 恶 意 威 胁 。 A P T “ A P T （ A d v a n c e d   P e r s i s t e n t   T h r e a t ） — — 高 级 持 续 性 威 胁 , 利 用 先 进 的 攻 击 手 段 对 特 定 目 标 进 行 长 期 持 续 性 的 网 络 攻 击 的 攻 击 形 式 。 A P T 攻 击 通 常 由 具 备 国 家 背 景 或 组 织 背 景 的 黑 客 团 体 发 起 ， 他 们 组 织 严 密 、 目 标 明 确 、 手 段 高 超 、 危 害 巨 大 ， 每 一 次 A P T 攻 击 事 件 的 损 失 是 巨 大 的 ， 影 响 是 深 远 的 。 ” 本 文 转 载 自   安 恒 信 息 推 荐 阅 读 ： 美 国 参 议 员 提 出 5 G 国 家 安 全 战 略 ， 强 调 移 除 中 国 产 品 信 息 安 全 产 品 战 略 师 是 怎 样 炼 成 的 ？ 黑 客 使 用 N S A 黑 客 工 具 攻 击 美 国 政 府 网 络 这 些 网 络 安 全 工 作 岗 位 最 受 欢 迎 … … 美 国 金 融 公 司 网 站 泄 露 8 . 8 5 亿 份 敏 感 数 据 G i t H u b 添 加 新 工 具 ， 帮 助 开 发 人 员 保 护 代 码 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理