搜索

[8598] 2015-01-17_使用I2P匿名网络通信，又一款勒索软件CryptoWall3.0来了

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2015-01-17_使用I2P匿名网络通信，又一款勒索软件CryptoWall3.0来了 使 用 I 2 P 匿 名 网 络 通 信 ， 又 一 款 勒 索 软 件 C r y p t o W a l l   3 . 0 来 了 F r e e B u f   2 0 1 5 - 0 1 - 1 7 F r e e B u f 已 经 报 道 过 不 计 其 数 的 已 经 报 道 过 不 计 其 数 的 勒 索 软 件 勒 索 软 件 ， 而 最 近 研 究 人 员 又 发 现 了 一 款 特 别 的 ， 而 最 近 研 究 人 员 又 发 现 了 一 款 特 别 的 — — 它 使 用 它 使 用 I 2 P 匿 名 网 络 进 行 通 信 ， 名 为 匿 名 网 络 进 行 通 信 ， 名 为 C r y p t o w a l l   3 . 0 。 。 一 天 感 染 一 天 感 染 2 8 8 个 用 户 个 用 户 来 自 法 国 的 安 全 研 究 员 来 自 法 国 的 安 全 研 究 员 K a f e i n e 在 其 在 其 博 客 博 客 中 确 认 了 这 款 软 件 使 用 中 确 认 了 这 款 软 件 使 用 I 2 P 匿 名 网 络 进 行 匿 名 网 络 进 行 C & C 通 讯 ， 在 通 讯 ， 在 @ H o r g h _ R C E 的 反 编 译 下 为 我 们 揭 开 了 的 反 编 译 下 为 我 们 揭 开 了 C r y p t o w a l l 3 . 0 的 面 纱 。 的 面 纱 。 微 软 提 供 的 数 据 显 示 从 1 月 1 1 日 至 1 月 1 2 日 一 天 时 间 里 ， C r y p t o w a l l 感 染 了 2 8 8 个 用 户 。 相 较 之 前 的 变 种 ， 软 件 在 用 于 勒 索 的 提 示 文 件 的 文 件 名 上 有 少 许 变 化 ：         H E L P _ D E C R Y P T . H T M L         H E L P _ D E C R Y P T . P N G         H E L P _ D E C R Y P T . T X T         H E L P _ D E C R Y P T . U R L 贴 心 的 用 户 体 验 贴 心 的 用 户 体 验 以 下 则 是 H E L P _ D E C R Y P T . P N G 的 内 容 ： 该 款 勒 索 软 件 十 分 贴 心 ， H E L P _ D E C R Y P T . P N G 语 言 版 本 是 根 据 用 户 的 I P 决 定 的 ， 如 法 国 安 全 研 究 员 K a f e i n e 的 H E L P _ D E C R Y P T . P N G ：
针 对 不 同 的 用 户 ， 文 中 的 链 接 也 各 不 相 同 。 以 下 是 K a f e i n e 提 供 的 一 组 链 接 ： h t t p : / / p a y t o c 4 g t p n 5 c z l 2 . t o r f o r a l l . c o m / 1 c 3 L 5 9 z h t t p : / / p a y t o c 4 g t p n 5 c z l 2 . t o r m a n 2 . c o m / 1 c 3 L 5 9 z h t t p : / / p a y t o c 4 g t p n 5 c z l 2 . t o r w o m a n . c o m / 1 c 3 L 5 9 z h t t p : / / p a y t o c 4 g t p n 5 c z l 2 . t o r r o a d s t e r s . c o m / 1 c 3 L 5 9 z 软 件 完 成 对 用 户 文 件 的 加 密 后 会 提 示 用 户 使 用 比 特 币 支 付 赎 金 。 自 C o i n V a u l t 之 后 ， 免 费 解 密 一 个 文 件 似 乎 要 变 成 行 业 标 准 了 ， C r y p t o W a l l   3 . 0 也 附 带 了 这 一 功 能 ：
软 件 使 用 以 下 服 务 获 取 I P ： " h t t p : / / i p - a d d r . e s " " h t t p : / / m y e x t e r n a l i p . c o m / r a w " " h t t p : / / c u r l m y i p . c o m " I 2 P 协 议 传 输 协 议 传 输 与 C & C 服 务 器 的 通 讯 似 乎 是 通 过 R c 4 加 密 了 ， 并 且 数 据 通 过 i 2 p 协 议 传 输 ： - - - - - - - - - - - - - - 数 据 稍 经 修 改 - - - - - - - P O S T   h t t p : / / p r o x y 2 - 2 - 2 . i 2 p / p 1 2 5 6 n l 9 s u 8 4 v   H T T P / 1 . 1 A c c e p t :   * / * C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d P r a g m a :   n o - c a c h e C o n t e n t - L e n g t h :   1 3 4 U s e r - A g e n t :   M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   7 . 0 ;   W i n d o w s   N T   5 . 1 ;   T r i d e n t / 4 . 0 ;   . N E T 4 . 0 C ;   . N E T 4 . 0 E ;   . N E T   C L R   2 . 0 . 5 0 7 2 7 ) H o s t :   p r o x y 2 - 2 - 2 . i 2 p v = e c 3 e a f b 5 d c 5 d c 4 4 d 9 7 d 2 4 3 1 f e 0 a 6 5 0 3 6 8 3 3 6 0 c 2 c 4 e 5 b 5 0 8 a 1 c 4 5 e 5 1 b 6 4 d e 6 d 1 3 d 0 3 1 0 6 3 e d 7 c e 7 e 6 f 9 7 4 0 e 9 5 e 6 1 4 e 6 3 5 4 1 e e c 2 3 a c 5 0 3 1 2 8 4 7 4 7 9 a 8 e b a 8 d d 4 6 2 9 5 a 2 7 c - - - - - - - - - - - - - - - 数 据 稍 经 修 改 - - - - - - - P O S T   h t t p : / / p r o x y 1 - 1 - 1 . i 2 p / h z 1 3 a c k t 0 y   H T T P / 1 . 1 A c c e p t :   * / * C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d P r a g m a :   n o - c a c h e C o n t e n t - L e n g t h :   1 3 4 U s e r - A g e n t :   M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   7 . 0 ;   W i n d o w s   N T   5 . 1 ;   T r i d e n t / 4 . 0 ;   . N E T 4 . 0 C ;   . N E T 4 . 0 E ;   . N E T   C L R   2 . 0 . 5 0 7 2 7 ) H o s t :   p r o x y 1 - 1 - 1 . i 2 p z = 1 e e a c 1 0 0 e 2 4 3 e d 1 8 d 3 f e e f 4 4 6 e 7 8 0 0 f 3 8 c 4 9 d c 6 3 d 7 1 4 2 c e 2 c 0 2 4 d 6 a 6 5 0 2 e 1 0 9 f c d c e e 5 2 f a 6 e 5 9 d 4 5 6 4 8 f 1 9 5 d 8 5 7 9 2 6 5 6 5 2 c 3 3 4 a f 8 3 3 e b c 7 f 8 e 4 0 e d c c 5 5 a c 1 c 6 d b 6 2 6 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 经 过 解 密 后 的 数 据 ： ( 不 要 尝 试 解 密 前 面 的 数 据 ， 我 们 故 意 修 改 了 有 些 十 六 进 制 数 ) z = { 1 | c r y p t 1 | 2 7 C E 3 C 5 E 6 3 6 2 9 1 E 5 3 1 C 7 7 F A 5 6 6 5 5 9 D D F | 2 | 1 | 2 | | x x x . x x x . x x x . x x x } 样 本 下 载 样 本 下 载
C r y p t o w a l l _ 3 . 0 . z i p , 密 码 : i n f e c t e d 文 件 应 包 含 6 c 3 e 6 1 4 3 a b 6 9 9 d 6 b 7 8 5 5 1 d 4 1 7 c 0 a 1 a 4 5 和 4 7 3 6 3 b 9 4 c e e 9 0 7 e 2 b 8 9 2 6 c 1 b e 6 1 1 5 0 c 7 [ 参 考 来 源 参 考 来 源 M a l w a r e   d o n ' t   n e e d   C o f f e e   &   T e c h N e t ， 译 ， 译 / S p h i n x ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理