搜索

[12352] 2018-02-12_Rapid勒索病毒分析与检测

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-02-12_Rapid勒索病毒分析与检测 R a p i d 勒 索 病 毒 分 析 与 检 测 兰 云 科 技   F r e e B u f   2 0 1 8 - 0 2 - 1 2 勒 索 病 毒 一 直 是 安 全 行 业 的 一 个 热 点 ， 近 期 安 全 人 员 发 现 了 一 款 名 为 勒 索 病 毒 一 直 是 安 全 行 业 的 一 个 热 点 ， 近 期 安 全 人 员 发 现 了 一 款 名 为 r a p i d 的 勒 索 病 毒 ， 该 勒 索 病 毒 使 用 了 的 勒 索 病 毒 ， 该 勒 索 病 毒 使 用 了 R S A 加 加 A E S 对 文 件 进 行 加 密 ， 它 不 仅 会 感 染 计 算 机 上 已 有 的 文 件 ， 还 会 对 新 创 建 的 文 件 进 行 加 密 。 本 文 对 对 文 件 进 行 加 密 ， 它 不 仅 会 感 染 计 算 机 上 已 有 的 文 件 ， 还 会 对 新 创 建 的 文 件 进 行 加 密 。 本 文 对 r a p i d 病 毒 进 行 了 详 细 分 析 ， 剖 析 其 加 密 机 制 ， 解 析 其 加 密 后 的 文 件 。 病 毒 进 行 了 详 细 分 析 ， 剖 析 其 加 密 机 制 ， 解 析 其 加 密 后 的 文 件 。 1 . 概 述 概 述 当 r a p i d 病 毒 运 行 时 ， 它 会 创 建 多 个 线 程 不 断 扫 描 文 件 系 统 ， 进 行 文 件 加 密 ， 它 不 仅 会 感 染 计 算 机 上 的 已 有 文 件 ， 还 会 对 新 创 建 的 文 件 进 行 加 密 。 被 加 密 的 文 件 ， 其 文 件 名 被 添 加 “ . r a p i d ” 扩 展 名 ， 同 时 文 件 大 小 增 加 了 0 x 4 D 0 字 节 。 r a p i d 病 毒 将 在 进 行 加 密 的 文 件 夹 中 创 建 名 为 “ H o w   R e c o v e r y   F i l e s . t x t ” 的 勒 索 提 示 文 件 ， 文 件 中 包 含 一 个 电 子 邮 件 ， 让 受 害 者 联 系 如 何 完 成 付 款 。 用 户 重 启 电 脑 ， 将 自 动 弹 出 名 为 “ r e c o v e r y . t x t ” 的 勒 索 提 示 文 件 ， 其 内 容 和 “ H o w   R e c o v e r y F i l e s . t x t ” 文 件 内 容 相 同 。 2 . 详 细 分 析 详 细 分 析 使 用 兰 眼 （ L a n y E y e ） 下 一 代 威 胁 感 知 系 统 对 r a p i d 程 序 进 行 检 测 。 在 兰 眼 中 ， r a p i d 程 序 被 标 记 为 高 危 ：
接 下 来 对 r a p i d 程 序 进 行 逆 向 分 析 。 首 先 程 序 调 用 S h e l l E x e c u t e A 执 行 如 图 所 示 命 令 ： 主 要 作 用 包 括 清 除 W i n d o w s 卷 影 拷 贝 ， 防 止 受 害 者 使 用 卷 影 拷 贝 恢 复 文 件 。 禁 用 系 统 修 复 和 自 动 修 改 功 能 ， 勒 索 程 序 可 能 加 密 驱 动 文 件 导 致 系 统 频 繁 崩 溃 ， 禁 用 修 复 功 能 ， 忽 略 错 误 降 低 系 统 崩 溃 概 率 。 终 止 o r a c l e . e x e 、 s q l i t e . e x e 、 s q l . e x e 进 程 ， 一 方 面 ， 可 以 释 放 内 存 ， 另 一 方 面 ， 可 以 解 除 这 些 数 据 库 进 程 对 某 些 文 件 的 占 用 。 接 着 程 序 添 加 开 机 启 动 项 ， 在 注 册 表 H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n 下 新 建 E n c r y p t e r 和 u s e r i n f o 项 ， E n c r y p t e r 项 值 为 “ % A p p D a t a R o m a i n g i n f o . e x e ” ， u s e r i n f o 的 项 值 为 “ % A p p D a t a R o m a i n g r e c o v e r y . t x t ” 。 “ i n f o . e x e ” 文 件 是 勒 索 病 毒 程 序 自 身 的 拷 贝 ， “ r e c o v e r y . t x t ” 文 件 是 勒 索 信 息 文 件 ， 文 件 内 容 和 上 文 提 到 的 “ H o w   R e c o v e r y   F i l e s . t x t ” 文 件 内 容 相 同 。 本 次 为 了 保 证 系 统 能 够 正 常 运 行 ， 程 序 不 会 选 取 文 件 夹 名 称 为 “ W i n d o w s ” 、 “ i n t e l ” 、 “ n v i d i a ” 、 “ P r o g r a m D a t a ” 和 “ t e m p ” 下 的 文 件 ：
此 勒 索 软 件 并 没 有 通 过 后 缀 名 过 滤 文 件 而 是 判 断 选 取 的 文 件 是 不 是 “ H o w   R e c o v e r y   F i l e s . t x t ” 、 “ i n f o . e x e ” 、 “ r e c o v e r y . t x t ” ， 如 果 是 其 中 三 个 文 件 则 跳 过 ， 剩 下 的 全 加 密 。 2 . 1 . 加 密 过 程 加 密 过 程 程 序 首 先 创 建 了 一 个 P R O V _ R S A _ F U L L 类 型 的 C S P 容 器 ， 然 后 将 通 过 B a s e 6 4 的 硬 编 码 在 程 序 中 的 R S A 的 公 钥 （ 命 名 为 R S A 1 ） 导 入 。
接 着 程 序 会 查 看 是 否 存 在 注 册 表 项 “ l o c a l _ p u b l i c _ k e y ” 。 如 果 没 有 则 会 创 建 注 册 表 项 “ l o c a l _ p u b l i c _ k e y ” 程 序 创 建 了 一 个 P R O V _ R S A _ F U L L 类 型 的 C S P 容 器 ， 并 且 调 用 C r y p t G e n K e y ( ) 生 成 了 随 机 R S A 密 钥 对 ( 命 名 为 R S A 2 ) 。 之 后 调 用 C r y p t E x p o r t K e y ( ) 导 出 刚 刚 生 成 的 R S A 2 私 钥 数 据 ， 并 调 用 R S A 1 公 钥 对 R S A 2 私 钥 加 密 。 加 密 完 成 后 ， 将 R S A 私 钥 数 据 写 入 注 册 表 项 H K E Y _ C U R R E N T _ U S E R S o f t w a r e E n c r y p t K e y s l o c a l _ e n c _ p r i v a t e _ k e y ， 将 数 据 长 度 写 入 注 册 表 项 H K E Y _ C U R R E N T _ U S E R S o f t w a r e E n c r y p t K e y s l o c a l _ e n c _ p r i v a t e _ k e y _ l e n 再 次 调 用 C r y p t E x p o r t K e y ( ) 导 出 刚 刚 生 成 的 随 机 R S A 2 公 钥 数 据 ， 这 次 不 需 要 加 密 ， 直 接 写 入 注 册 表 H K E Y _ C U R R E N T _ U S E R S o f t w a r e E n c r y p t K e y s l o c a l _ p u b l i c _ k e y 和
H K E Y _ C U R R E N T _ U S E R S o f t w a r e E n c r y p t K e y s l o c a l _ p u b l i c _ k e y _ l e n 。 之 后 开 始 对 文 件 进 行 加 密 ， 获 取 选 取 文 件 的 大 小 ， 如 果 文 件 大 小 小 于 0 x 4 D 0 字 节 ， 则 直 接 进 入 加 密 流 程 ； 否 则 读 取 文 件 尾 部 0 x 2 0 字 节 的 数 据 ， 并 判 断 这 部 分 数 据 是 不 是 加 密 标 志 “ F 5   D 5   C D   C D   C D   7 D   C D   C D   9 5   9 1   C 1   C 1   C D   A D   C D C D   4 1   C D   4 1   C D   C 1   9 9   F D   1 D   5 9   9 5   8 1   F D   9 9   7 9   2 5   A 5 ” ， 如 果 不 是 则 进 入 加 密 流 程 ， 否 则 选 取 下 一 个 文 件 。 因 为 加 密 过 的 文 件 是 大 于 0 x 4 D 0 的 , 并 且 在 其 文 件 尾 部 添 加 了 0 x 2 0 个 字 节 的 加 密 标 志 程 序 进 入 加 密 流 程 后 ， 会 先 调 用 C r y p t G e n K e y ( ) 生 成 随 机 A E S 密 钥 。 并 调 用 C r y p t E x p o r t K e y ( ) 导 出 A E S 密 钥 数 据 ， B L O B T Y P E = P L A I N T E X T K E Y B L O B ： 如 图 所 示 返 回 数 据 长 度 0 x 2 C ， 0 x 3 A 4 2 A 8 - 0 x 3 A 4 2 A F 是 B L O B H E A D E R   ， 0 x 3 A 4 2 B 0 - 0 x 3 A 4 2 B 3 是 k e y s i z e ， 0 x 3 A 4 2 B 4 - 0 x 3 A 4 2 D 3 是 A E S 的 密 钥 ， 0 x 3 A 4 2 D 4 - 0 x 3 A 4 3 2 7 则 是 使 用 0 x C D 填 充 的 数 据 ：
使 用 R S A 2 公 钥 加 密 A E S 密 钥 ， 加 密 的 是 上 文 中 提 到 的 “ B L O B 格 式 数 据 + A E S 密 钥 + 填 充 数 据 ” 这 整 个 0 x 8 0 字 节 的 数 据 ： 读 取 文 件 数 据 ， 使 用 A E S 密 钥 对 读 取 的 文 件 数 据 进 行 加 密   ： A E S 加 密 是 按 照 1 2 8 b i t 进 行 分 组 ， 当 原 文 件 字 节 数 不 是 1 2 8 b i t 的 整 数 倍 时 ， 加 密 后 的 密 文 数 据 将 会 大 于 明 文 数 据 ， 所 以 程 序 在 加 密 前 在 明 文 尾 部 填 充 了 0 x 1 0 个 字 节 的 0 x 0 0 ( 一 个 A E S 分 组 的 字 节 数 ) 。 向 文 件 覆 写 加 密 后 的 数 据 ， 首 先 只 写 入 原 文 件 大 小 的 密 文 数 据 ， 变 多 的 0 x 1 0 字 节 的 数 据 接 下 来 再 写 ； 继 续 向 文 件 中 写 数 据 ， 写 入 0 x 4 D 0 字 节 的 数 据 。 这 0 x 4 D 0 字 节 的 数 据 包 括 五 部 分 ： 第 一 部 分 0 x 1 0 字 节 ， 这 部 分 就 是 变 多 的 数 据 ； 第 二 部 分 0 x 2 0 字 节 ， 包 含 源 文 件 文 件 大 小 的 字 符 串 和 0 x C D 的 填 充 数 据 ； 第 三 部 分 0 x 8 0 字 节 ， 是 被 加 密 的 A E S 密 钥 数 据 ； 第 四 部 分 0 x 4 0 0 字 节 ， 是 被 加 密 的 R S A 2 私 钥 数 据 ； 第 五 部 分 0 x 2 0 字 节 ， 是 文 件 加 密 标 志 数 据 。 在 文 件 名 后 添 加 “ . r a p i d ” 扩 展 名 ：
显 示 勒 索 信 息 至 此 ， 我 们 已 经 分 析 完 了 r a p i d 勒 索 软 件 的 文 件 加 密 流 程 ， 接 下 来 我 们 来 分 析 被 加 密 后 的 文 件 。 3 . 加 密 文 件 解 析 加 密 文 件 解 析 假 设 一 个 大 小 为 0 x 9 0 0 0 字 节 的 文 件 被 r a p i d 程 序 加 密 ， 加 密 后 的 文 件 结 构 如 下 ： 4 . 小 结 小 结 r a p i d 勒 索 病 毒 使 用 数 字 签 名 （ R S A _ A E S - 2 5 6 ） 对 文 件 进 行 加 密 ， 文 件 解 密 需 要 获 取 数 字 签 名 的 私 钥 。 但 是 ， 数 组 签 名 的 私 钥 使 用 R S A 加 密 ， 在 没 有 R S A 私 钥 的 情 况 下 ， 很 难 获 取 数 字 签 名 的 私 钥 ， 文 件 恢 复 的 难 度 极 大 。 2 0 1 7 年 是 勒 索 病 毒 高 发 的 一 年 ， 可 以 预 见 2 0 1 8 年 这 种 状 态 仍 将 持 续 ， 我 们 每 一 个 人 都 应 该 提 高 警 惕 ， 切 勿 打 开 来 自 可 疑 邮 箱 的 附 件 ， 避 免 使 用 第 三 方 软 件 资 源 ， 安 装 防 病 毒 软 件 ， 降 低 安 全 隐 患 。
* 本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理