搜索

[11238] 2017-04-14_最具同情心的勒索软件套件Philadelphia

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-04-14_最具同情心的勒索软件套件Philadelphia 最 具 同 情 心 的 勒 索 软 件 套 件 P h i l a d e l p h i a V o r a k a   F r e e B u f   2 0 1 7 - 0 4 - 1 4 前 言 前 言 最 近 ， 一 种 新 型 的 勒 索 软 件 服 务 （ R a a S ） 名 为 P h i l a d e l p h i a ， 开 始 向 外 以 4 0 0 美 元 的 价 格 售 卖 ， 这 个 恶 意 软 件 作 者 的 名 为 R a i n m a k e r 。 据 R a i n m a k e r 所 说 ， 该 程 序 套 件 提 供 一 种 低 成 本 的 勒 索 软 件 服 务 ， 它 允 许 任 何 一 个 有 犯 罪 意 图 的 人 发 动 高 级 的 勒 索 软 件 攻 击 ， 并 且 它 操 作 简 单 ， 成 本 低 。 同 时 ， 据 R a i n m a k e r 介 绍 ， P h i l a d e l p h i a “ 创 新 ” 勒 索 软 件 服 务 市 场 ， 它 具 有 自 动 检 测 功 能 ： 当 付 款 已 经 完 成 ， 然 后 自 动 解 密 ； 感 染 U S B 驱 动 器 ， 并 通 过 网 络 感 染 其 他 计 算 机 。   特 别 值 得 注 意 的 是 ， “ 同 情 按 钮 ” 将 提 供 给 赋 有 同 情 心 的 犯 罪 分 子 解 密 特 定 受 害 者 的 文 件 。 为 了 演 示 这 种 新 的 勒 索 软 件 服 务 ， R a i n m a k e r 创 建 了 一 个 显 示 其 功 能 的 P D F 和 视 频 。 感 染 症 状 感 染 症 状 当 文 件 被 加 密 后 ， 文 件 名 称 将 被 更 改 为 . l o c k 后 缀 的 文 件 名 。 例 如 文 件 t e s t . j p g 可 能 会 变 成 7 B 2 0 5 C 0 9 B 8 8 C 5 7 E D 8 A B 7 C 9 1 3 2 6 3 C C F B E 2 9 6 C 8 E A 9 9 3 8 A . l o c k e d .   加 密 完 成 后 会 显 示 下 面 的 锁 屏 图 像 ：
如 上 图 所 示 ， 受 害 者 被 要 求 支 付 0 . 3 比 特 币 ， 并 且 勒 索 软 件 声 称 加 密 文 件 的 算 法 使 用 了 A E S - 2 5 6 和 R S A - 2 0 4 8 。 最 后 勒 索 软 件 作 者 将 重 要 的 事 情 说 了 3 遍 — — 发 送 0 . 3 比 特 币 到 下 面 的 地 址 ！ ！ ！ 样 本 分 析 样 本 分 析 通 过 进 一 步 观 察 ， 该 恶 意 软 件 是 由 A u t o I T 脚 本 编 写 并 打 包 生 成 。 通 过 反 编 译 该 A u t o I T 恶 意 程 序 ， 我 们 发 现 了 其 中 的 两 个 不 同 的 版 本 。 因 此 我 们 将 分 别 分 析 它 们 。 V 1 . 0 将 自 身 拷 贝 到 % a p p d a t a % s c v h o s t . e x e ， 并 且 列 出 了 待 加 密 文 件 的 类 型 ： 添 加 开 机 自 启 动 ： 待 加 密 的 目 录 ：
加 密   加 密 硬 盘 ， 可 移 动 硬 盘 ， 网 络 映 射 ： 经 过 混 淆 的 加 密 文 件 算 法 ： 用 于 加 密 的   W i n d o w s   库 函 数 的 初 始 化 ： 经 过 对 上 面 混 淆 过 后 的 代 码 回 溯 跟 踪 和 分 析 ， 函 数   _ 4 8 E 2 C B 6 B E 0 E 1 6 9 5 0 ( )   用 来 加 密 文 件 ，   变 量 $ 4 8 E 2 C B 6 B C 7 7 D 6 9 5 0 是 加 密 文 件 函 数 的 一 个 重 要 参 数 ， 继 续 向 上 找 发 现 该 变 量 的 初 始 化 代 码 ： G L O B A L   C O N S T   $ 4 8 E 2 C B 6 B C 7 7 D 6 9 5 0   =   2 6 1 2 8         / / 0 x 6 6 1 0             C A L G _ A E S _ 2 5 6 正 如 恶 意 软 件 所 描 述 的 ， 采 用 了 A E S - 2 5 6 加 密 算 法 ， 但 是 我 们 没 有 看 到 R S A 加 密 算 法 。 生 成 随 机 数 作 为 密 钥 ：
V 2 . 0         新 的 版 本 在 大 的 功 能 方 面 和 核 心 算 法 方 面 并 没 有 太 大 的 变 化 ， 故 不 作 重 复 列 举 ， 以 下 只 列 出 与 旧 版 本 不 同 的 部 分 。 新 的 版 本 在 大 的 功 能 方 面 和 核 心 算 法 方 面 并 没 有 太 大 的 变 化 ， 故 不 作 重 复 列 举 ， 以 下 只 列 出 与 旧 版 本 不 同 的 部 分 。 通 过 反 编 译 我 们 发 现 ， 新 版 本 的 勒 索 软 件 P h i l a d e l p h i a 释 放 了 一 个 I N I 文 件 作 为 恶 意 软 件 的 配 置 文 件 。 互 斥 体 名 ， U A C ， C 2 ，   提 示 信 息 ： 待 加 密 的 目 录 ： 待 加 密 的 文 件 类 型 ， 释 放 的 文 件 名 ， 文 件 路 径 ： 由 此 我 们 可 以 看 出 ， 新 版 本 的 恶 意 程 序 摆 脱 了 ” 硬 编 码 ” ， 通 过 设 置 配 置 文 件 来 根 据 需 要 更 改 加 密 的 具 体 细 节 。 除 此 之 外 ， 我 们 在 新 版 本 中 还 发 现 一 个 有 趣 的 地 方 ：
处 于 好 奇 ， 我 们 G o o g l e 此 人 ” F a b i a n ”     ， 我 们 发 现 此 人 很 可 能 是   F a b i a n   W o s a r ，   此 人 正 是   E m s i s o f t   的 反 病 毒 研 究 员 ， 继 续 搜 索 我 们 发 现 ， 此 前 E m s i s o f t   宣 布 可 以 解 密 勒 索 软 件 P h i l a d e l p h i a 。   但 是 从 代 码 分 析 来 看 ， 新 的 版 本 加 密 文 件 的 算 法 依 然 是 A E S - 2 5 6 ， 由 此 我 们 得 出 此 勒 索 软 件 加 密 后 的 文 件 依 旧 可 以 解 密 而 不 需 要 交 赎 金 。 由 此 再 来 看 这 段 代 码 ， 让 人 啼 笑 皆 非 。 最 后 ， 恶 意 程 序 将 上 传 受 感 染 者 计 算 机 的 相 关 信 息 到 攻 击 者 的 服 务 器 ： 勒 索 软 件 勒 索 软 件 管 理 管 理 客 户 端 客 户 端 对 于 发 动 P h i l a d e l p h i a 勒 索 软 件 的 攻 击 者 ， 他 们 需 要 在 网 站 上 安 装 一 个 名 为 ” 网 桥 ” 的 P H P 脚 本 。   这 些 ” 网 桥 ” 将 与 勒 索 软 件 感 染 者 连 接 ， 并 存 储 有 关 受 害 者 的 加 密 密 钥 等 信 息 。 然 后 ， 攻 击 者 在 其 计 算 机 上 运 行 名 为 P h i l a d e l p h i a 总 部 的 管 理 客 户 端 ， 该 管 理 客 户 端 将 连 接 到 每 个 配 置 的 ” 网 桥 ” ， 并 将 受 害 者 数 据 下 载 到 其 管 理 控 制 台 。   这 个 客 户 端 允 许 攻 击 者 看 到 谁 被 感 染 ， 哪 些 国 家 感 染 最 多 ， 甚 至 如 果 有 同 情 心 的 攻 击 者 想 允 许 某 人 免 费 解 密 他 们 的 文 件 ， 甚 至 提 供 怜 悯 的 按 钮 。 如 图 ：
S h a 1 : 9 f 9 0 6 4 7 2 6 6 5 f 6 4 4 7 d d 2 4 d a 4 9 9 d 6 e 0 f 7 e b e 1 1 9 c 8 2   6 3 e 7 4 c 5 1 b 8 e 8 a 2 f 4 e 5 b 7 f 4 c 4 3 f d 7 b 3 e 8 1 6 e 1 b 3 6 7 总 结 总 结 手 动 分 析 这 种 基 于 A u t o I T 勒 索 程 序 样 本 的 难 度 并 不 大 ， 但 是 通 过 强 的 代 码 混 淆 技 术 ， 反 调 试 ， 反 模 拟 器 等 技 术 的 运 用 ， 的 确 给 杀 毒 软 件 的 识 别 和 查 杀 带 来 了 难 度 。 同 时 ， 勒 索 软 件 出 售 服 务 的 出 现 ， 加 大 了 网 络 攻 击 的 可 能 性 ， 并 降 低 了 非 专 业 技 术 人 员 实 施 网 络 攻 击 的 难 度 ， 这 值 得 我 们 警 惕 。   * 本 文 作 者 ： V o r a k a ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理