搜索

[9198] 2015-08-04_挑战勒索软件：如何夺回“被勒索”的文件？

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-08-04_挑战勒索软件：如何夺回“被勒索”的文件？ 挑 战 勒 索 软 件 ： 如 何 夺 回 “ 被 勒 索 ” 的 文 件 ？ F r e e B u f   2 0 1 5 - 0 8 - 0 4 微 信 号 ： 微 信 号 ： f r e e b u f 被 勒 索 软 件 被 勒 索 软 件 “ 绑 架 绑 架 ” 了 咋 办 ？ 了 咋 办 ？ C y l a n c e 高 级 威 胁 研 究 员 高 级 威 胁 研 究 员 D e r e k   S o e d e r 在 本 文 中 与 大 家 分 享 了 如 何 对 勒 索 软 件 进 行 逆 向 工 在 本 文 中 与 大 家 分 享 了 如 何 对 勒 索 软 件 进 行 逆 向 工 程 以 恢 复 加 密 用 户 文 件 的 密 码 。 程 以 恢 复 加 密 用 户 文 件 的 密 码 。 下 面 我 们 来 看 看 S o e d e r 都 做 了 哪 些 操 作 ， 来 恢 复 被 勒 索 软 件 “ 绑 架 ” 的 用 户 数 据 （ 由 于 篇 幅 有 限 ， 一 些 技 术 步 骤 在 记 叙 中 被 跳 过 了 . . . . . . ） 。 挑 战 勒 索 软 件 挑 战 勒 索 软 件 2 0 1 3 年 初 ， 有 一 家 机 构 向 我 们 寻 求 帮 助 ， 请 求 恢 复 他 们 被 勒 索 软 件 A C C D F I S A 感 染 的 服 务 器 中 的 数 据 。 这 个 恶 意 软 件 已 经 仔 细 扫 描 了 每 个 驱 动 器 上 的 每 一 个 文 件 ， 并 且 对 所 有 重 要 文 件 进 行 了 恶 意 加 密 。 想 要 从 备 份 恢 复 完 全 是 不 可 能 的 ， 因 为 服 务 器 上 的 备 份 驱 动 同 样 已 经 安 装 了 恶 意 软 件 。 这 真 的 是 一 场 完 败 ！ 这 个 恶 意 软 件 让 每 个 文 件 变 成 了 一 个 包 含 加 密 R A R 的 自 解 包 程 序 ， 同 时 文 件 名 带 有 指 令 ： （ ！ ！ 解 密 电 子 邮 件 i d . . . 到 . . . @ . . . ！ ！ ） . e x e 。 这 个 变 体 声 称 使 用 了 2 5 6 字 符 随 机 生 成 这 一 高 级 加 密 标 准 . 2 5 6 对 每 个 “ 受 害 者 ” 进 行 单 独 加 密 ， 同 时 攻 击 者 可 以 远 程 存 储 这 些 密 码 。 据 称 这 种 加 密 方 式 可 以 安 全 地 删 除 所 有 未 加 密 原 文 件 以 及 密 码 文 件 ， 来 对 恢 复 硬 盘 的 努 力 进 行 阻 碍 。 试 图 找 到 解 压 软 件 加 密 中 的 一 个 漏 洞 似 乎 并 不 是 最 有 效 的 解 决 思 路 ； 相 反 ， 我 们 要 把 注 意 力 转 向 破 解 密 码 上 。 为 此 ， 我 们 需 要 找 到 创 建 密 码 的 代 码 。 找 到 密 码 生 成 器 找 到 密 码 生 成 器 在 对 受 感 染 服 务 器 的 驱 动 副 本 进 行 反 复 查 看 之 后 ， 我 们 发 现 恶 意 程 序 和 一 些 奇 怪 的 文 件 可 能 有 关 系 。 我 们 发 现 微 软 S y s i n t e r n a l s 的 删 除 工 具 （ 可 以 永 久 删 除 文 件 ） 、 一 个 “ N o S a f e M o d e ” 库 以 及 一 个 用 于 自 解 包 程 序 的 R A R 实 用 程 序 。 而 R A R 实 用 程 序 则 成 为 我 们 进 行 逆 向 工 程 的 起 点 。 这 个 实 用 程 序 接 受 加 密 秘 钥 作 为 一 个 命 令 行 参 数 ， 所 以 我 们 猜 测 能 够 通 过 回 溯 用 于 启 动 的 恶 意 软 件 代 码 ， 从 而 找 到 密 码 生 成 器 。
首 先 ， 我 们 在 一 次 性 系 统 中 运 行 此 勒 索 软 件 。 我 们 用 调 试 器 来 拦 截 生 成 过 程 的 调 用 ， 启 动 R A R 实 用 程 序 ， 伪 装 成 s v c h o s t . e x e 。 这 样 我 们 就 能 看 到 勒 索 软 件 执 行 的 每 个 命 令 ， 以 及 最 终 用 于 加 密 文 件 的 密 码 。 截 获 的 密 码 为 a s e T 3 2 2 B 2 X g M （ m C 0 . . . 有 5 7 个 字 符 长 ， 大 小 写 、 数 字 、 标 点 符 号 混 合 通 过 一 个 点 击 动 作 就 随 机 生 成 ） 。 而 以 a e s 开 始 的 密 码 可 能 是 巧 合 ， 或 是 有 意 而 为 的 点 缀 。 如 果 是 故 意 的 ， 那 么 我 们 期 望 可 以 找 到 勒 索 软 件 代 码 中 的 字 符 串 。 当 我 们 打 开 勒 索 软 件 反 汇 编 程 序 时 ， 我 们 发 现 不 只 是 a e s ， 而 是 a e s T 3 2 2 。 我 们 因 此 知 道 密 码 实 际 上 是 a e s T 3 2 2 以 及 后 面 大 约 5 0 位 随 意 生 成 字 符 。 我 们 知 道 截 获 的 密 码 不 一 定 与 加 密 客 户 文 件 的 密 码 相 同 。 但 是 我 们 已 经 知 道 一 些 线 索 来 指 导 我 们 下 一 步 逆 向 工 程 ： 我 们 可 以 寻 找 密 码 本 身 或 者 碎 片 ， 寻 找 可 能 用 于 生 成 密 码 的 字 符 表 ， 以 及 寻 找 用 于 构 建 命 令 行 密 码 部 分 的 字 符 串 。 我 们 使 用 调 试 器 寻 找 勒 索 软 件 运 行 时 被 分 配 到 全 局 变 量 的 值 ， 通 过 逆 向 工 程 ， 我 们 确 认 了 一 个 全 局 变 量 ： 一 个 是 a e s T 3 2 2 前 缀 字 符 串 ， 另 一 个 是 5 0 位 随 机 字 符 的 字 符 串 ， 以 及 5 7 位 的 完 整 密 码 。 搞 清 楚 生 成 器 工 作 原 理 搞 清 楚 生 成 器 工 作 原 理 我 们 了 解 了 很 多 关 于 勒 索 软 件 的 工 作 原 理 ， 但 目 前 我 们 不 认 为 这 会 对 受 害 者 有 所 帮 助 。 实 际 上 ， 我 们 排 除 了 只 是 一 个 固 定 字 符 串 （ 即 简 单 密 码 ） 被 用 于 所 有 情 况 的 可 能 ， 我 们 仍 然 在 探 索 的 路 上 。 通 过 在 程 序 中 跟 踪 每 个 实 例 中 的 三 个 变 量 ， 我 们 发 现 一 个 循 环 ， 就 是 随 机 选 择 的 5 0 个 字 符 来 自 一 个 由 2 6 个 小 写 字 符 、 2 6 个 大 写 字 母 、 1 0 个 数 字 以 及 1 6 个 标 点 构 成 的 7 8 个 字 符 表 ， 其 中 有 重 复 。 计 算 机 很 难 实 现 真 正 的 随 机 。 想 要 打 败 加 密 的 一 个 方 法 便 是 攻 击 “ 伪 随 机 数 生 成 器 ” （ P R N G ） ， 而 这 就 是 我 们 真 正 要 做 的 。
最 终 我 们 发 现 了 初 始 化 的 P R N G ， 或 说 是 去 了 “ 种 子 ” 的 ， 这 是 一 段 带 有 来 自 执 行 此 代 码 线 程 标 识 符 的 3 2 字 节 数 字 ， 以 及 以 毫 秒 为 单 位 系 统 运 行 的 时 长 。 这 些 都 是 可 以 预 测 的 值 。 由 于 3 2 字 节 的 种 子 ， 我 们 现 在 了 解 到 最 多 可 能 有 4 0 亿 种 不 同 密 码 ， 而 非 真 正 从 7 8 个 字 符 中 随 机 产 生 出 5 0 个 字 符 而 存 在 的 天 文 数 字 般 可 能 性 。 原 因 是 之 前 提 到 的 ， 即 使 在 随 机 行 为 中 计 算 机 也 通 常 运 用 了 僵 化 的 决 定 方 式 。 而 对 于 任 意 给 定 的 种 子 值 ， P R N G 可 以 在 任 何 时 间 从 初 始 值 以 相 同 顺 序 、 相 同 方 式 、 产 生 相 同 的 数 字 。 而 种 子 是 3 2 字 节 的 数 字 ， 那 么 就 存 在 0 到 1 0 亿 的 可 能 性 ， 因 此 相 同 初 始 状 态 存 在 的 可 能 领 域 是 大 大 受 限 的 。 猜 密 码 的 过 程 是 十 分 耗 时 的 ， 而 这 正 是 我 们 接 下 来 要 做 的 。 猜 密 码 猜 密 码 一 个 包 含 4 0 亿 个 密 码 的 列 表 是 恐 怖 的 。 但 我 们 知 道 了 种 子 是 依 赖 于 一 个 线 性 I D 的 （ 它 是 四 的 倍 数 ） ， 通 常 少 于 1 0 0 0 0 和 系 统 正 常 运 行 周 期 。 在 4 9 . 7 天 的 进 程 中 ， 正 常 运 行 时 间 将 从 0 数 到 4 0 亿 ， 然 后 环 绕 一 圈 再 次 回 到 0 。 我 们 需 要 了 解 服 务 器 在 被 攻 击 之 前 运 行 了 多 久 — — 可 能 通 过 一 个 文 件 时 间 戳 或 一 个 时 间 日 志 条 目 — — 来 缩 小 可 能 性 的 范 围 。 但 是 我 们 发 现 了 一 些 更 好 的 情 况 。
在 所 有 奇 怪 的 文 件 中 ， 我 们 发 现 一 个 在 P r o g r a m D a t a 目 录 下 的 s t p p t h m a i n f v . d l l ， 带 有 2 1 行 每 行 含 有 8 个 随 机 字 母 。 我 们 决 定 逆 向 操 作 ， 用 “ 暴 力 ” 破 解 所 有 存 在 可 能 的 种 子 值 ， 找 出 哪 个 可 能 让 P R N G 产 生 出 这 2 1 行 的 。 由 于 这 是 一 个 3 2 位 的 字 符 串 ， 我 们 知 道 在 一 台 正 常 电 脑 上 搜 索 应 该 不 会 超 过 几 个 钟 头 。 这 样 就 会 比 使 用 所 有 潜 在 密 码 破 解 R A R 实 用 程 序 速 度 快 得 多 。 一 个 单 核 C P U 4 秒 钟 便 可 测 试 3 1 9 5 6 2 0 9 种 存 在 的 可 能 性 ， 同 时 找 到 s t p p t h m a i n f v . d l l   中 相 同 顺 序 的 字 母 生 成 的 3 1 9 5 6 2 0 8 个 种 子 值 。 我 们 生 成 了 大 约 1 2 M B 的 密 码 列 表 与 种 子 值 进 行 测 试 （ 比 测 试 2 3 6 G B 大 小 的 4 0 亿 中 可 能 要 强 太 多 了 ） 。 我 们 通 宵 运 行 了 一 批 程 序 ， 针 对 R A R 实 用 程 序 进 行 密 码 逐 个 测 试 。 当 清 晨 降 临 ， 我 们 已 经 获 得 了 那 个 我 们 一 直 在 等 待 的 — — 正 确 密 码 。 实 验 成 功 了 ！ 最 终 ， 看 我 们 成 功 从 勒 索 软 件 中 夺 回 了 用 户 的 数 据 。 * 参 考 来 源 ： r s a c o n f e r e n c e ， 转 载 请 注 明 来 自 F r e e b u f . C O M ( 黑 客 与 极 客 )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理