搜索

[11551] 2017-07-16_Petya及Notpetya的核心差异分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-07-16_Petya及Notpetya的核心差异分析 P e t y a 及 N o t p e t y a 的 核 心 差 异 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 7 - 1 6 这 段 时 间 针 对 恶 意 软 件 这 段 时 间 针 对 恶 意 软 件 N o t P e t y a 的 分 析 文 章 已 经 出 了 很 多 了 ， 这 篇 文 章 的 内 容 相 当 于 只 是 对 目 前 已 存 在 内 容 的 的 分 析 文 章 已 经 出 了 很 多 了 ， 这 篇 文 章 的 内 容 相 当 于 只 是 对 目 前 已 存 在 内 容 的 一 次 补 充 ， 而 本 文 所 要 讨 论 的 重 点 就 是 一 次 补 充 ， 而 本 文 所 要 讨 论 的 重 点 就 是 P e t y a 和 和 N o t p e t y a 这 两 款 新 型 勒 索 软 件 之 间 的 核 心 差 异 。 这 两 款 新 型 勒 索 软 件 之 间 的 核 心 差 异 。 在 几 个 月 之 前 ， 我 曾 发 表 过 一 篇 关 于 “ P e t y a 感 染 M B R ( 主 引 导 记 录 ) ” 的 文 章 。 在 那 篇 文 章 中 ， 我 解 释 了 勒 索 软 件 感 染 计 算 机 启 动 过 程 的 方 法 ， 以 及 它 是 如 何 执 行 自 己 的 内 核 代 码 的 。 而 在 今 天 这 篇 文 章 中 ， 我 将 给 大 家 介 绍 这 两 款 恶 意 软 件 之 间 所 存 在 的 关 键 技 术 差 异 。 差 别 差 别 # 1 ： ： X O R 密 钥 密 钥 P e t y a 和 N o t P e t y a 都 会 读 取 M B R ， 并 使 用 一 个 简 单 的 X O R 密 钥 来 对 M B R 进 行 加 密 。 但 两 者 之 间 的 区 别 就 在 于 ， P e t y a 使 用 0 x 3 7 来 作 为 加 密 密 钥 ， 而 N o t P e t y a 使 用 的 是 0 x 0 7 。 P e t y a 的 加 密 密 钥 ： 的 加 密 密 钥 ： N o t P e t y a 的 加 密 密 钥 ： 的 加 密 密 钥 ： 差 别 差 别 # 2 ： 迷 你 内 核 的 扇 区 空 间 ： 迷 你 内 核 的 扇 区 空 间 P e t y a 运 行 的 是 迷 你 内 核 代 码 ， 而 并 非 原 始 内 核 代 码 。 这 些 代 码 负 责 处 理 整 个 加 密 过 程 、 伪 造 C H K D S K 信 息 、 以 及 显 示 骷 髅 头 和 勒 索 信 息 。 N o t P e t y a 的 迷 你 内 核 负 责 的 事 情 跟 P e t y a 差 不 多 ， 只 不 过 它 不 负 责 显 示 那 个 闪 烁 的 骷 髅 头 而 已 。 除 此 之 外 ， P e t y a 的 迷 你 内 核 代 码 从 扇 区 0 x 2 2 开 始 ， 而 N o t P e t y a 的 却 是 从 扇 区 0 x 0 2 （ 紧 邻 M B R 扇 区 ） 开 始 。 差 别 差 别 # 3 ： 重 启 风 格 ： 重 启 风 格 在 向 受 感 染 磁 盘 中 写 入 了 M B R 和 迷 你 内 核 代 码 之 后 ， P e t y a 和 N o t P e t y a 都 会 通 过 让 受 感 染 系 统 重 启 来 激 活 恶 意 软 件 的 第 二 个 感 染 阶 段 。 P e t y a 在 初 始 化 重 启 过 程 时 使 用 的 是 N t R a i s e H a r d E r r o r A P I ， 而 N o t P e t y a 使 用 了 C r e a t e P r o c e s s W   A P I 来 发 送 命 令 “ s h u t d o w n . e x e   / r   / f ” ， 并 通 过 这 行 命 令 实 现 了 计 划 重 启 。 P e t y a 的 重 启 过 程 ： 的 重 启 过 程 ：
N o t P e t y a 的 重 启 过 程 ： 的 重 启 过 程 ： 差 别 差 别 # 4 ： 显 示 骷 髅 头 ： 显 示 骷 髅 头 P e t y a 在 伪 造 C H K D S K 的 操 作 完 成 之 后 便 会 在 目 标 用 户 的 屏 幕 上 显 示 一 个 红 色 的 骷 髅 头 。 N o t P e t y a 在 完 成 了 磁 盘 加 密 操 作 之 后 同 样 会 显 示 伪 造 的 C H K D S K 信 息 ， 但 在 此 之 后 并 不 会 显 示 骷 髅 图 案 。 下 图 显 示 的 是 P e t y a 的 虚 拟 内 存 截 图 ， 其 中 包 含 有 伪 造 C H K D S K 的 字 符 串 信 息 、 勒 索 信 息 、 以 及 扭 曲 的 骷 髅 头 图 形 。 P e t y a 的 虚 拟 内 存 截 图 ： 的 虚 拟 内 存 截 图 ：
下 图 显 示 的 是 N o t P e t y a 的 虚 拟 内 存 截 图 ， 其 中 包 含 有 用 于 伪 造 C H K D S K 的 数 据 以 及 相 关 的 勒 索 信 息 ， 而 原 本 应 该 包 含 骷 髅 头 图 案 的 那 部 分 空 间 却 是 空 白 的 。 P e t y a 的 虚 拟 内 存 截 图 ： 的 虚 拟 内 存 截 图 ：
差 别 差 别 # 5 ： 勒 索 信 息 ： 勒 索 信 息 P e t y a 和 N o t P e t y a 的 勒 索 信 息 是 完 全 不 同 的 ， 具 体 请 看 下 面 给 出 的 截 图 。 P e t y a 的 勒 索 信 息 ： 的 勒 索 信 息 ： N o t P e t y a 的 勒 索 信 息 ： 的 勒 索 信 息 ：
总 结 总 结 虽 然 P e t y a 和 N o t P e t y a 有 这 么 多 的 不 同 之 处 ， 但 从 其 他 角 度 来 看 ， 它 们 两 个 也 有 很 多 相 似 的 地 方 。 比 如 说 在 破 坏 性 方 面 ， 它 们 两 个 的 杀 伤 力 都 是 非 常 强 的 ， 而 且 两 者 都 会 通 过 重 写 M B R 来 使 受 感 染 设 备 瘫 痪 。 对 付 这 种 类 型 的 恶 意 软 件 ， 最 好 的 方 法 就 是 将 你 的 重 要 文 件 进 行 离 线 存 储 。 需 要 注 意 的 是 ， 无 论 你 不 小 心 感 染 了 这 两 种 勒 索 软 件 的 哪 一 种 ， 你 都 不 要 轻 易 地 按 照 攻 击 者 的 要 求 支 付 赎 金 ， 因 为 就 算 你 支 付 了 赎 金 也 没 人 能 够 保 证 你 能 够 拿 回 那 些 属 于 你 的 文 件 。 I o C P e t y a : N o t P e t y a : *   参 考 来 源 ： f o r t i n e t ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M M D 5 :   a f 2 3 7 9 c c 4 d 6 0 7 a 4 5 a c 4 4 d 6 2 1 3 5 f b 7 0 1 5 D e t e c t i o n :   W 3 2 / P e t r . A ! t r M D 5 :   7 1 b 6 a 4 9 3 3 8 8 e 7 d 0 b 4 0 c 8 3 c e 9 0 3 b c 6 b 0 4 D e t e c t i o n :   W 3 2 / P e t y a . E O B ! t r
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理