搜索

[12399] 2018-02-25_警惕GLOBEIMPOSTER勒索软件

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-02-25_警惕GLOBEIMPOSTER勒索软件 警 惕 G L O B E I M P O S T E R 勒 索 软 件 a n t i y l a b   F r e e B u f   2 0 1 8 - 0 2 - 2 5 一 、 概 述 一 、 概 述 安 天 安 全 研 究 与 应 急 处 理 中 心 （ A n t i y   C E R T ） 的 工 程 师 在 近 日 接 到 用 户 反 馈 ， 其 服 务 器 被 勒 索 软 件 加 密 。 经 过 分 析 判 定 认 为 该 加 密 服 务 器 的 勒 索 软 件 是 G l o b e I m p o s t e r 家 族 的 新 变 种 。 G l o b e I m p o s t e r 家 族 在 2 0 1 7 年 5 月 份 被 首 次 发 现 ， 目 前 发 现 的 样 本 没 有 内 网 传 播 功 能 ， 一 般 使 用 包 含 混 淆 的 J a v e S c r i p t 脚 本 的 垃 圾 邮 件 进 行 传 播 ， 加 密 用 户 文 件 并 勒 索 比 特 币 。 此 次 发 现 的 样 本 为 G l o b e I m p o s t e r 家 族 的 最 新 变 种 ， 其 加 密 文 件 使 用 . C H A K 扩 展 名 ， 取 消 了 勒 索 付 款 的 比 特 币 钱 包 地 址 及 回 传 信 息 的 “ 洋 葱 ” 网 络 地 址 ， 而 是 通 过 邮 件 来 告 知 受 害 者 付 款 方 式 ， 使 其 获 利 更 加 容 易 方 便 。 由 于 G l o b e I m p o s t e r 家 族 使 用 了 R S A 2 0 4 8 算 法 加 密 ， 解 密 极 其 困 难 ， 目 前 该 勒 索 软 件 暂 无 解 密 工 具 ， 如 有 人 称 其 有 解 密 工 具 ， 很 有 可 能 是 向 攻 击 者 交 付 赎 金 以 获 取 解 密 工 具 的 行 为 ， 安 天 不 建 议 也 不 支 持 采 取 此 种 方 式 。 经 验 证 ， 安 天 智 甲 终 端 防 御 系 统 可 对 该 勒 索 软 件 进 行 有 效 防 御 及 查 杀 。 二 、 事 件 样 本 分 析 二 、 事 件 样 本 分 析 2 . 1   样 本 标 签 样 本 标 签 由 于 样 本 进 入 受 害 者 计 算 机 后 进 行 了 自 删 除 操 作 ， 初 始 样 本 已 经 无 法 得 到 。 我 们 根 据 该 样 本 的 行 为 特 征 在 互 联 网 中 关 联 到 了 同 一 家 族 的 其 他 样 本 ， 下 面 是 该 样 本 的 详 细 信 息 ： 表   2   1 样 本 标 签 2 . 2   样 本 分 析 样 本 分 析
2 . 2 . 1   解 密 自 身 代 码 解 密 自 身 代 码 恶 意 代 码 样 本 为 了 防 止 被 轻 易 地 分 析 ， 加 密 了 大 多 数 字 符 串 和 一 部 分 A P I ， 运 行 后 会 在 内 存 中 动 态 解 密 ， 解 密 后 可 以 看 到 样 本 在 加 密 时 排 除 的 文 件 夹 与 后 缀 名 ， 如 图 所 示 ： 图   2   1   样 本 解 密 后 的 排 除 文 件 夹 与 后 缀 名 2 . 2 . 2   实 现 持 久 化 实 现 持 久 化 样 本 复 制 自 身 到 % a p p d a t a % 下 ， W i n d o w s   X P 系 统 的 具 体 路 径 是 “ C : D o c u m e n t s   a n d   S e t t i n g s A d m i n i s t r a t o r A p p l i c a t i o n D a t a ” ， W i n d o w s   7 系 统 的 具 体 路 径 是 “ C : U s e r s 用 户 名 A p p d a t a R o a m i n g ” ， 如 图 所 示 ： 图   2   2   样 本 复 制 自 身 到 本 地 接 下 来 修 改 注 册 表 ， 在 R u n O n c e 下 增 加 C e r t i f i c a t e s C h e c k 键 ， 键 值 为 恶 意 代 码 在 % a p p d a t a % 下 的 路 径 ， 使 其 在 开 机 时 自 启 动 ， 如 图 所 示 ：
图   2   3   样 本 修 改 注 册 表 以 自 启 动 2 . 2 . 3   加 密 前 的 准 备 工 作 加 密 前 的 准 备 工 作 样 本 在 加 密 文 件 前 会 结 束 包 含 硬 编 码 关 键 字 的 进 程 ， 包 括 “ s q l ” ， “ o u t l o o k ” ， “ s s m s ” ， “ p o s t g r e ” ， “ 1 c ” ， “ e x c e l ” 和 “ w o r d ” 。 这 是 为 了 解 除 对 文 件 的 占 用 ， 为 下 一 步 加 密 文 件 做 准 备 。 图   2   4   样 本 结 束 包 含 关 键 字 的 进 程 2 . 2 . 4   使 用 使 用 R S A 算 法 加 密 文 件 算 法 加 密 文 件 样 本 使 用 R S A 2 0 4 8 与 R S A 1 0 2 4 算 法 进 行 加 密 ， 首 先 调 用 C r y p t G e n R a n d o m 随 机 生 成 一 组 1 2 8 位 的 密 钥 对 ， 如 图 所 示 ：
图   2   5   样 本 随 机 生 成 R S A 密 钥 然 后 使 用 样 本 中 硬 编 码 的 2 5 6 位 公 钥 加 密 刚 刚 随 机 生 成 的 私 钥 ， 最 后 生 成 受 害 者 的 个 人 I D ， 如 图 所 示 ： 图   2   6   样 本 利 用 硬 编 码 密 钥 生 成 个 人 I D 最 后 利 用 随 机 生 成 的 公 钥 加 密 排 除 文 件 夹 列 表 以 外 的 所 有 文 件 并 将 个 人 I D 写 到 加 密 文 件 的 末 尾 ， 如 图 所 示 ： 图   2   7   样 本 加 密 磁 盘 文 件 并 将 个 人 I D 添 加 到 文 件 末 尾 此 次 事 件 中 受 害 者 被 加 密 的 文 件 如 图 2 - 8 所 示 ： 图   2   8 受 害 者 被 加 密 的 文 件 勒 索 软 件 在 加 密 文 件 的 同 时 创 建 了 勒 索 信 息 文 件 h o w _ t o _ b a c k _ f i l e s . h t m l ， 要 求 受 害 者 将 一 个 加 密 的 图 片 或 文 档 发 送 到
指 定 的 邮 箱 ， 由 于 加 密 的 文 件 末 尾 包 含 个 人 I D ， 攻 击 者 可 以 通 过 个 人 I D 及 其 手 中 的 R S A 私 钥 解 出 用 以 解 密 文 件 的 私 钥 ， 这 样 就 可 以 识 别 不 同 的 受 害 者 。 攻 击 者 会 给 出 解 密 后 的 文 件 及 解 密 所 有 文 件 的 价 格 ， 在 受 害 者 付 款 后 ， 攻 击 者 会 发 送 解 密 程 序 。 下 图 为 勒 索 信 息 文 件 内 容 ： 图   2   9 勒 索 信 息 文 件 2 . 2 . 5   G l o b e I m p o s t e r 家 族 使 用 的 邮 箱 家 族 使 用 的 邮 箱 根 据 关 联 信 息 发 现 在 其 他 感 染 案 例 中 ， 此 勒 索 软 件 家 族 也 会 使 用 如 下 加 密 拓 展 名 ： . G O T H A M ； . Y A Y A ； . G R A N N Y ； . S K U N K ； . T R U E ； . S E X Y ； . M A K G R ； . B I G 1 ； * . L I N ； . B I I T ； . T H I R D ； . D R E A M ； . f r e e m a n ； . B U N N Y 。 并 且 使 用 下 列 邮 箱 地 址 作 为 与 感 染 者 的 联 系 邮 箱 ： 表   2   2   G l o b e I m p o s t e r 家 族 使 用 的 邮 箱 三 、 防 护 建 议 三 、 防 护 建 议
3 . 1   预 防 建 议 预 防 建 议 1 . 及 时 备 份 重 要 文 件 ， 且 文 件 备 份 应 与 主 机 隔 离 ； 2 . 及 时 安 装 更 新 补 丁 ， 避 免 一 些 勒 索 软 件 利 用 漏 洞 感 染 计 算 机 ； 3 . 尽 量 避 免 打 开 社 交 媒 体 分 享 等 来 源 不 明 的 链 接 ， 给 信 任 网 站 添 加 书 签 并 通 过 书 签 访 问 ； 4 . 对 非 可 信 来 源 的 邮 件 保 持 警 惕 ， 避 免 打 开 附 件 或 点 击 邮 件 中 的 链 接 ； 5 . 定 期 用 反 病 毒 软 件 扫 描 系 统 ， 如 杀 毒 软 件 有 启 发 式 扫 描 功 能 ， 可 使 用 该 功 能 扫 描 计 算 机 ; 6 . 部 分 G l o b e I m p o s t e r 勒 索 软 件 之 前 的 变 种 利 用 R D P （ 远 程 桌 面 协 议 ） 暴 力 破 解 远 端 机 器 的 密 码 实 现 传 播 ， 因 此 建 议 关 闭 R D P 。 3 . 2   安 天 智 甲 有 效 防 护 安 天 智 甲 有 效 防 护 针 对 本 次 发 现 的 G l o b e I m p o s t e r 勒 索 软 件 变 种 ， 安 天 智 甲 终 端 防 御 系 统 （ 以 下 简 称 安 天 智 甲 ） 可 进 行 有 效 防 护 与 查 杀 ： 图   3   1 安 天 智 甲 告 警 界 面 安 天 智 甲 可 对 G l o b e I m p o s t e r 勒 索 软 件 进 行 拦 截 ， 系 统 重 启 后 ， 文 件 没 有 被 加 密 。
图   3   2 安 天 智 甲 文 档 保 护 界 面 四 、 小 结 四 、 小 结 在 过 去 的 一 年 中 ， 勒 索 软 件 可 谓 是 一 波 未 平 ， 一 波 又 起 。 从 利 用 N S A 网 络 军 火 的 “ 魔 窟 ” 到 破 坏 系 统 的 “ 必 加 ” ， 勒 索 软 件 的 种 类 如 潮 水 般 增 长 ， 而 其 功 能 也 在 不 断 地 变 化 。 G l o b e I m p o s t e r 家 族 并 不 像 “ 魔 窟 ” 等 利 用 漏 洞 渗 透 内 网 ， 而 是 通 过 垃 圾 邮 件 中 的 J a v a S c r i p t 脚 本 传 播 ， 这 与 前 几 年 火 热 的 勒 索 软 件 “ L o c k y ” 如 出 一 辙 。 从 目 前 存 在 的 一 些 变 种 上 来 看 ， G l o b e I m p o s t e r 作 者 的 目 的 是 更 隐 蔽 、 方 便 、 快 速 地 获 取 利 益 ， 取 消 “ 洋 葱 ” 网 络 地 址 、 取 消 比 特 币 钱 包 地 址 、 使 用 邮 件 告 知 受 害 者 付 款 方 式 、 不 使 用 内 网 传 播 功 能 ， 这 些 都 可 以 猜 测 出 攻 击 者 的 意 图 。 从 代 码 的 角 度 上 来 看 ， G l o b e I m p o s t e r 家 族 使 用 了 大 量 的 动 态 解 密 来 对 抗 分 析 ， 这 是 它 与 其 他 勒 索 软 件 最 大 的 不 同 ， 同 时 其 不 断 地 更 换 加 密 文 件 后 缀 及 邮 箱 地 址 ， 更 能 说 明 隐 蔽 地 进 行 勒 索 获 利 是 攻 击 者 的 主 要 目 的 。 * 本 文 作 者 ： a n t i y l a b ， 转 载 请 注 明 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理