搜索

[10412] 2016-08-20_揭秘Chimera勒索软件

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-08-20_揭秘Chimera勒索软件 揭 秘 C h i m e r a 勒 索 软 件 A l p h a _ h 4 c k   F r e e B u f   2 0 1 6 - 0 8 - 2 0 概 述 概 述 概 述 概 述 最 近 ， 我 们 曾 发 表 过 一 篇 关 于 最 近 ， 我 们 曾 发 表 过 一 篇 关 于 C h i m e r a 勒 索 软 件 密 钥 泄 漏 的 文 章 勒 索 软 件 密 钥 泄 漏 的 文 章 。 但 是 在 这 篇 文 章 中 ， 我 们 将 会 披 露 更 多 相 关 的 技 术 细 节 ， 。 但 是 在 这 篇 文 章 中 ， 我 们 将 会 披 露 更 多 相 关 的 技 术 细 节 ， 我 们 将 会 给 大 家 介 绍 如 何 利 用 这 些 泄 漏 出 来 的 密 钥 来 解 密 文 件 。 除 此 之 外 ， 我 们 还 会 对 这 些 泄 漏 密 钥 的 有 效 性 进 行 测 试 。 我 们 将 会 给 大 家 介 绍 如 何 利 用 这 些 泄 漏 出 来 的 密 钥 来 解 密 文 件 。 除 此 之 外 ， 我 们 还 会 对 这 些 泄 漏 密 钥 的 有 效 性 进 行 测 试 。   实 验 数 据 和 分 析 方 法 实 验 数 据 和 分 析 方 法 实 验 数 据 和 分 析 方 法 实 验 数 据 和 分 析 方 法 一 般 而 言 ， 编 写 一 款 勒 索 软 件 的 解 密 程 序 往 往 需 要 开 发 人 员 拥 有 较 强 的 能 力 ， 他 们 不 仅 需 要 对 加 密 算 法 有 较 深 层 次 的 理 解 ， 而 且 还 得 从 勒 索 软 件 中 寻 找 漏 洞 。 不 同 的 漏 洞 则 意 味 着 开 发 人 员 需 要 用 不 同 的 思 维 理 念 来 开 发 破 解 工 具 。 某 些 时 候 ， 我 们 需 要 对 有 漏 洞 的 加 密 算 法 进 行 一 定 的 改 造 ， 并 且 开 发 出 一 款 能 够 猜 测 密 钥 的 工 具 （ 例 如 P e t y a 勒 索 软 件 的 破 解 过 程 ） 。 某 些 时 候 ， 我 们 的 工 作 重 点 应 该 放 在 勒 索 软 件 的 对 称 密 钥 生 成 器 上 （ 例 如 D M A L o c k e r   2 . 0 的 破 解 过 程 ） ， 或 者 将 注 意 力 集 中 在 勒 索 软 件 的 加 密 算 法 身 上 （ 可 以 参 考 7 e v 3 n 勒 索 软 件 所 采 用 的 自 定 义 加 密 算 法 ） 。 但 是 这 一 次 ， 我 们 已 经 为 大 家 准 备 好 了 一 些 现 成 的 工 具 ： 但 是 这 一 次 ， 我 们 已 经 为 大 家 准 备 好 了 一 些 现 成 的 工 具 ： 1 .         泄 漏 的 密 钥 集 ； 2 .         由 C h i m e r a 的 开 发 者 提 供 给 该 勒 索 软 件 受 害 者 的 原 始 解 密 程 序 ； 对 解 密 程 序 进 行 逆 向 分 析 对 解 密 程 序 进 行 逆 向 分 析 对 解 密 程 序 进 行 逆 向 分 析 对 解 密 程 序 进 行 逆 向 分 析 正 如 我 们 此 前 在 对 C h i m e r a 进 行 分 析 时 所 描 述 的 ， 勒 索 软 件 的 攻 击 者 通 常 会 在 目 标 主 机 中 留 下 勒 索 信 息 ， 而 C h i m e r a 的 作 者 向 受 害 者 提 供 了 一 个 链 接 ， 他 们 可 以 自 行 下 载 一 个 外 部 解 密 工 具 。 为 了 能 够 让 解 密 工 具 运 行 ， 用 户 需 要 购 买 一 个 私 钥 ， 只 有 当 私 钥 与 公 钥 成 功 配 对 时 ， 用 户 被 加 密 的 文 件 才 能 够 成 功 恢 复 。  
这 个 解 密 工 具 采 用 了 . N E T 语 言 进 行 编 写 ， 该 工 具 中 所 有 的 文 件 解 密 操 作 全 部 由 一 个 外 部 组 件 来 控 制 － 一 个 名 为 “ P o l a r i s S S L W r a p p e r . d l l ” 的 D L L 文 件 。 经 过 了 分 析 之 后 ， 我 们 发 现 该 组 件 能 够 提 供 以 下 两 个 函 数 ： 所 以 我 们 就 没 有 必 要 自 己 亲 自 去 设 计 解 密 函 数 了 ， 我 们 可 以 直 接 利 用 这 个 现 成 的 A P I 。 首 先 ， 我 们 需 要 先 对 该 工 具 中 主 要 的 组 件 进 行 逆 向 分 析 。 因 为 我 们 在 进 行 下 一 步 操 作 之 前 ， 需 要 弄 清 楚 这 两 个 函 数 是 如 何 被 调 用 的 ， 以 及 该 函 数 需 要 传 入 哪 些 参 数 。 从 下 面 这 张 代 码 截 图 中 ， 我 们 可 以 看 到 用 于 解 密 文 件 的 外 部 函 数 是 如 何 被 调 用 的 ： 如 上 图 所 示 ， 我 们 所 关 心 函 数 是 “ D e c r y p t F i l e W r a p p e r ” 。 该 函 数 需 要 传 入 三 个 参 数 ： （ 1 ） 待 解 密 文 件 的 存 储 路 径 （ 以 一 个 A S C I I 字 符 串 表 示 ） ； （ 2 ） 购 买 的 私 钥 （ 字 节 数 组 ） ； （ 3 ） 私 钥 长 度 。 该 函 数 的 返 回 值 是 一 个 布 尔 类 型 的 值 ， 用 来 通 知 系 统 文 件 的 解 密 操 作 是 否 成 功 。 我 们 可 以 对 该 函 数 进 行 重 构 ， 具 体 如 下 所 示 ： b o o l   _ c d e c l   D e c r y p t F i l e W r a p p e r ( c h a r   f i l e P a t h ,   B Y T E * p r i v a t e K e y ,   s i z e _ t   p r i v a t e K e y S i z e ) ; 函 数 会 从 收 到 的 b i t m e s s a g e 中 读 取 出 私 钥 信 息 ， 并 将 其 解 码 （ B a s e 6 4 编 码 ） 成 字 节 数 组 的 形 式 ： 由 于 C h i m e r a 的 服 务 器 在 几 个 月 前 就 已 经 下 线 了 ， 所 以 我 们 无 法 捕 获 到 该 勒 索 软 件 的 网 络 通 信 数 据 。 但 是 多 亏 了 B l e e p i n g C o m p u t e r 此 前 所 发 表 的 研 究 报 告 ， 我 们 现 在 可 以 获 取 到 该 勒 索 软 件 网 络 通 信 信 息 的 结 构 。 示 例 ：
其 结 构 为 ： ［ 感 染 者 其 结 构 为 ： ［ 感 染 者 I D ］ ］ : ［ ［ b a s e 6 4 编 码 密 钥 ］ 编 码 密 钥 ］ 在 对 密 钥 进 行 了 解 码 之 后 ， 我 们 得 到 了 一 个 长 度 为 1 1 5 5 字 节 的 字 节 数 组 。 这 个 数 组 中 存 储 的 原 始 字 节 数 据 即 为 我 们 所 需 要 的 密 钥 。 解 析 密 钥 解 析 密 钥 解 析 密 钥 解 析 密 钥 此 前 泄 漏 出 来 的 密 钥 是 一 堆 十 六 进 制 的 字 符 串 。 如 果 我 们 将 这 些 数 据 转 换 为 原 始 的 二 进 制 数 据 ， 就 会 发 现 这 些 密 钥 的 长 度 均 为 0 x 4 8 3 字 节 。 这 是 一 个 非 常 重 要 的 发 现 ， 因 为 这 些 密 钥 的 格 式 与 上 文 中 描 述 的 密 钥 是 一 样 的 ， 所 以 我 们 不 需 要 对 这 些 数 据 进 行 额 外 的 处 理 了 。 我 们 所 要 做 的 ， 就 是 将 这 些 十 六 进 制 数 据 转 换 为 原 始 的 二 进 制 数 据 即 可 。 泄 漏 文 件 的 格 式 还 算 比 较 整 齐 ， 每 一 个 密 钥 的 结 尾 都 会 另 起 一 行 。 我 们 可 以 直 接 移 除 开 头 的 一 些 无 用 数 据 ， 然 后 将 这 份 文 件 作 为 输 入 ： 更 确 切 地 来 说 ， 我 们 此 前 将 这 些 数 据 描 述 为 密 钥 集 合 ， 但 实 际 上 它 们 应 该 是 密 钥 对 的 集 合 。 每 一 对 密 钥 的 长 度 均 为 0 x 4 8 3 字 节 。 其 中 ， 前 0 x 1 0 3 字 节 的 数 据 中 包 含 的 是 公 钥 信 息 ， 接 下 来 的 0 x 3 8 0 字 节 即 为 私 钥 信 息 。 我 们 所 使 用 的 A P I 需 要 这 一 串 完 整 的 数 据 作 为 输 入 ， 解 密 工 具 的 D L L 组 件 会 将 这 些 数 据 当 作 “ 私 钥 ” 来 进 行 处 理 。 由 于 公 钥 和 私 钥 的 信 息 全 部 包 含 在 这 些 数 据 里 面 了 ， 所 以 解 密 工 具 就 可 以 自 动 验 证 密 钥 的 匹 配 结 果 。 寻 找 出 合 适 的 解 密 密 钥 寻 找 出 合 适 的 解 密 密 钥 寻 找 出 合 适 的 解 密 密 钥 寻 找 出 合 适 的 解 密 密 钥 正 如 你 所 见 ， 我 们 已 经 完 成 了 大 部 分 的 工 作 。 剩 下 的 最 后 一 件 事 情 就 是 确 定 泄 漏 的 密 钥 集 中 是 否 真 的 存 在 可 以 解 密 我 们 文 件 的 密 钥 。 在 这 一 步 操 作 中 ， 我 们 不 得 不 使 用 算 法 来 解 决 我 们 的 问 题 。 我 们 的 实 现 方 式 看 起 来 与 字 典 攻 击 有 些 类 似 ， 我 们 的 “ 字 典 ” 是 一 套 泄 漏
密 钥 的 集 合 。 为 了 进 行 验 证 ， 我 们 将 会 尝 试 解 密 其 中 的 一 份 被 加 密 的 文 件 。 我 们 大 致 的 思 路 用 下 面 这 段 伪 代 码 来 表 示 ： w h i l e   ( ( p r i v a t e K e y   =   g e t N e x t F r o m S e t ( ) )   ! =   N U L L )   {         i f ( D e c r y p t F i l e W r a p p e r ( e n c r y p t e d F i l e ,   p r i v a t e K e y ,   p r i v a t e K e y L e n )   = =   t r u e )   {               p r i n t f ( " H u r r a y ,   k e y   f o u n d ! " ) ;               s t o r e T h e F o u n K e y ( p r i v a t e K e y ) ;                 r e t u r n   t r u e ;         } } p r i n t f   ( " S o r r y ,   y o u r   k e y   i s   n o t   i n   t h e   l e a k e d s e t ! " ) ; r e t u r n   f a l s e ; 如 果 你 对 此 感 兴 趣 的 话 ， 可 以 点 击 文 章 末 尾 阅 读 原 文 按 钮 ， 查 看 完 整 的 代 码 ： 找 出 了 能 够 成 功 匹 配 的 密 钥 之 后 ， 我 们 就 可 以 解 密 剩 下 的 所 有 文 件 了 。 测 试 测 试 测 试 测 试 测 试 一 ： 测 试 一 ： C h i m e r a 在 每 次 运 行 的 时 候 会 生 成 一 个 唯 一 的 随 机 密 钥 对 。 然 后 ， 它 会 利 用 b i t m e s s a g e 来 将 密 钥 对 发 送 至 C & C 服 务 器 上 。 值 得 注 意 的 是 ， 发 送 的 数 据 还 包 括 与 目 标 用 户 有 关 的 其 他 数 据 集 合 。 为 了 完 成 测 试 ， 我 使 用 了 一 个 由 原 始 C h i m e r a 勒 索 软 件 样 本 生 成 的 密 钥 ， 并 将 其 从 内 存 中 导 出 。 在 将 密 钥 传 递 给 用 于 发 送 数 据 的 函 数 之 前 ， 密 钥 的 信 息 是 可 以 清 楚 地 看 到 的 。 如 下 面 这 张 截 图 所 示 ：
我 将 这 些 数 据 转 换 成 了 与 泄 漏 密 钥 相 同 的 格 式 （ 连 续 的 十 六 进 制 字 符 串 ） 。 我 们 事 先 准 备 好 的 工 具 可 以 正 常 运 行 ， 测 试 文 件 已 经 被 成 功 解 密 了 ： 测 试 二 ： 测 试 二 ： 因 为 在 泄 漏 数 据 中 我 们 已 经 得 到 了 完 整 的 密 钥 对 ， 所 以 我 们 也 可 以 用 它 们 来 进 行 测 试 。 在 实 验 过 程 中 ， 我 从 其 中 一 个 泄 漏 密 钥 中 截 取 出 了 公 钥 数 据 ， 然 后 将 其 提 供 给 了 C h i m e r a 样 本 。 我 之 所 以 这 样 做 ， 是 为 了 模 拟 出 一 份 受 害 者 （ 密 钥 已 经 泄 漏 ） 被 加 密 的 文 件 。  
接 下 来 ， 我 们 需 要 用 提 取 出 的 公 钥 替 换 掉 C h i m e r a 自 动 生 成 的 原 始 公 钥 ： 现 在 ， 我 们 就 可 以 尝 试 使 用 泄 漏 密 钥 和 事 先 准 备 好 的 工 具 来 解 密 受 攻 击 的 文 件 了 ： 解 密 成 功 了 ！ 我 们 的 测 试 也 成 功 证 实 了 泄 漏 的 数 据 中 的 确 包 含 有 真 实 的 密 钥 对 ， 这 些 数 据 并 不 是 无 效 的 垃 圾 数 据 。 除 了 上 述 两 个 测 试 之 外 ， 我 们 还 进 行 了 很 多 其 他 的 测 试 ， 而 且 我 们 还 对 这 些 工 具 进 行 了 编 译 。 如 果 你 感 兴 趣 的 话 ， 可 以 访 问 我 们 的 G i t h u b 代 码 库 来 了 解 详 细 的 信 息 。 总 结 总 结 总 结 总 结 通 过 查 看 密 钥 的 格 式 ， 我 们 就 可 以 推 测 泄 漏 的 数 据 中 应 该 包 含 有 合 法 的 密 钥 数 据 。 除 此 之 外 ， 我 们 也 从 其 他 安 全 研 究 专 家 那 里 得 到 了 证 实 ， 泄 漏 密 钥 中 的 部 分 数 据 确 实 能 够 匹 配 他 们 捕 获 的 通 信 样 本 。 但 是 ， 我 们 已 经 没 有 办 法 从 受 害 者 那 里 得 到 分 析 样 本 了 。 C h i m e r a 在 几 个 月 前 就 已 经 彻 底 挂 掉 了 ， 而 且 大 多 数 受 感 染 的 用 户 可 能 早 就 已 经 将 被 加 密 的 文 件 删 除 了 。 如 果 你 正 好 是 C h i m e r a 的 受 害 者 ， 而 你 仍 然 保 留 有 被 加 密 的 文 件 ， 请 赶 紧 与 我 们 联 系 。
*   参 考 来 源 ： M a l w a r e b y t e s ， 本 文 由 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e b u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理