搜索

[12883] 2018-06-29_SamSam：一款难以追踪的分布式控制软件

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-06-29_SamSam：一款难以追踪的分布式控制软件 S a m S a m ： 一 款 难 以 追 踪 的 分 布 式 控 制 软 件 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 6 - 2 9 近 期 ， 近 期 ， S a m S a m 勒 索 软 件 频 繁 出 现 在 了 很 多 高 调 的 网 络 攻 击 活 动 中 。 自 其 出 现 以 来 ， 勒 索 软 件 频 繁 出 现 在 了 很 多 高 调 的 网 络 攻 击 活 动 中 。 自 其 出 现 以 来 ， S a m S a m 经 历 了 大 量 的 改 经 历 了 大 量 的 改 进 ， 并 增 加 了 很 多 额 外 功 能 ， 虽 然 这 些 功 能 并 没 有 让 进 ， 并 增 加 了 很 多 额 外 功 能 ， 虽 然 这 些 功 能 并 没 有 让 S a m S a m 变 得 更 加 危 险 ， 但 它 们 增 加 了 变 得 更 加 危 险 ， 但 它 们 增 加 了 S a m S a m 的 检 测 难 的 检 测 难 度 ， 而 且 这 个 难 度 一 直 随 着 时 间 的 推 移 而 增 加 。 度 ， 而 且 这 个 难 度 一 直 随 着 时 间 的 推 移 而 增 加 。 在 对 近 期 样 本 的 分 析 过 程 中 ， 研 究 人 员 发 现 这 款 勒 索 软 件 的 P a y l o a d 一 直 都 是 在 运 行 时 解 密 的 ， 这 也 是 这 款 勒 索 软 件 最 显 著 的 特 点 ， 这 种 加 密 P a y l o a d 机 制 也 表 明 了 为 何 我 们 难 以 去 定 位 实 际 的 P a y l o a d 。 新 版 本 S a m S a m 和 旧 版 本 之 间 的 对 比 如 下 ： 1 .   所 使 用 的 模 块 ； 2 .   交 互 方 式 ； 接 下 来 ， 我 们 将 跳 过 旧 版 本 的 S a m S a m ， 直 接 对 新 版 本 S a m S a m 代 码 进 行 分 析 ， 并 通 过 一 些 简 单 的 对 比 来 了 解 S a m S a m 的 进 化 过 程 。 近 期 的 近 期 的 S a m S a m 样 本 分 析 样 本 分 析 S a m S a m 的 攻 击 活 动 由 五 个 部 分 组 成 ， 其 中 的 四 个 部 分 是 实 际 的 文 件 ， 而 第 五 个 部 分 涉 及 到 用 户 的 直 接 参 与 。
第 一 个 部 分 是 一 个 b a t c h 文 件 ， 其 中 包 含 了 勒 索 软 件 的 设 置 信 息 ， 它 也 是 攻 击 者 唯 一 一 个 需 要 手 动 执 行 的 部 分 。 它 会 运 行 一 个 . N E T 可 执 行 文 件 ， 并 对 已 加 密 的 s t u b 文 件 进 行 解 密 。 攻 击 者 在 受 感 染 主 机 中 执 行 b a t 文 件 时 ， 需 要 在 命 令 行 中 输 入 密 码 作 为 执 行 参 数 ， 这 个 密 码 会 在 攻 击 链 中 向 下 传 递 ， 直 到 . N E T 文 件 用 其 实 现 解 密 为 止 。 在 旧 版 本 中 ， 这 个 b a t 文 件 似 乎 并 不 在 攻 击 链 中 ， 攻 击 者 需 要 直 接 执 行 . N E T 组 件 。 这 部 分 的 详 细 信 息 如 下 所 示 ： 在 这 里 ， m s w i n u p d a t e 就 是 这 部 分 的 “ r u n n e r ” （ 暂 时 这 样 命 名 ） ， 这 个 r u n n e r 就 是 文 件 的 加 载 器 ， 这 是 一 个   . N E T 可 执 行 文 件 ， 它 主 要 负 责 对 勒 索 软 件 的 P a y l o a d 进 行 解 密 。 接 下 来 ， 你 会 看 到 “ S E T   p a s s w o r d ” 那 一 行 ， 它 负 责 从 命 令 行 参 数 中 提 取 密 码 信 息 。 这 也 解 释 了 为 什 么 对 主 P a y l o a d 的 分 析 会 如 此 之 难 ， 这 个 密 码 的 输 入 是 不 需 要 文 件 参 与 的 ， 而 且 想 要 完 整 手 动 复 现 攻 击 场 景 也 是 非 常 难 得 ， 因 为 攻 击 者 会 在 攻 击 完 成 之 后 将 其 中 的 某 些 文 件 和 日 志 记 录 删 除 。
上 面 是 攻 击 链 的 第 二 个 部 分 ， r u n n e r ， 也 就 是 P a y l o a d 的 解 密 器 和 启 动 器 ， 这 个 文 件 没 有 经 过 混 淆 处 理 ， 而 且 功 能 也 非 常 简 单 。 它 会 搜 索 目 录 中 包 含 . s t u b b i n 后 缀 的 文 件 ， 而 这 个 文 件 是 攻 击 者 存 放 在 目 标 设 备 中 的 。 s t u b b i n 文 件 就 是 加 密 后 的 勒 索 软 件 ， 它 会 从 文 件 中 读 取 出 字 节 数 据 并 立 刻 删 除 原 始 文 件 。 文 件 内 容 使 用 了 A E S 加 密 ， 所 以 即 使 拿 到 了 s t u b b i n 文 件 我 们 也 没 办 法 对 其 进 行 分 析 ， 因 为 它 还 是 需 要 攻 击 者 手 动 输 入 密 码 。 S t u b b i n 文 件 会 调 用 a s s e m b l y . L o a d 函 数 ， 并 动 态 加 载 一 个 . N E T 文 件 。 函 数 需 要 接 收 一 个 参 数 来 作 为 解 密 器 的 输 出 方 法 ， 这 也 意 味 着 它 能 够 动 态 实 现 s t u b 文 件 解 密 、 转 换 为 对 应 的 P E 并 加 载 文 件 。 密 码 在 b a t 文 件 的 a r g s [ 0 ] 中 输 入 ， 其 中 A r g _ 4 E _ 0 为 加 密 字 节 流 。 在 新 版 本 S a m S a m 的 第 三 个 部 分 中 ， 解 密 代 码 包 含 了 一 个 单 独 的 D L L 文 件 ， 但 在 旧 版 本 中 ， 所 有 内 容 都 包 含 在 r u n n e r 之 中 ， 因 此 旧 版 本 总 共 也 只 有 三 个 组 件 ， 而 不 像 新 版 本 那 样 拥 有 四 个 组 件 。 下 面 是 解 密 代 码 ： 查 看 程 序 代 码 后 你 将 会 发 现 下 列 内 容 ：
第 四 个 部 分 如 下 所 示 ， 即 加 密 后 的 恶 意 软 件 P a y l o a d - * . s t u b b i n ： S a m S a m 的 目 标 ： 实 施 有 针 对 性 的 攻 击 的 目 标 ： 实 施 有 针 对 性 的 攻 击 在 本 文 的 分 析 过 程 中 ， 我 们 讨 论 了 很 多 关 于 密 码 方 面 的 东 西 （ 由 攻 击 者 手 动 输 入 ） ， 这 也 是 S a m S a m 勒 索 软 件 活 动 中 非 常 关 键 的 一 点 。 在 分 析 时 ， 由 于 我 们 不 知 道 密 码 ， 所 以 我 们 无 法 分 析 勒 索 软 件 的 源 码 。 而 且 需 要 注 意 的 是 ， 我 们 甚 至 都 无 法 在 测 试 设 备 上 运 行 S a m S a m ， 因 此 这 也 意 味 着 只 有 攻 击 者 本 人 才 能 实 施 S a m S a m 攻 击 。 这 跟 之 前 的 很 多 勒 索 软 件 或 恶 意 软 件 都 不 同 ， 而 且 S a m S a m 的 感 染 范 围 不 仅 没 有 W i l d f i r e 大 ， 而 且 它 甚 至 都 不 能 够 实 现 自 动 传 播 。 实 际 上 ， 如 果 你 不 小 心 下 载 并 执 行 了 这 款 勒 索 软 件 的 话 ， 你 也 不 用 担 心 ， 因 为 没 有 密 码 它 的 P a y l o a d 也 运 行 不 起 来 。 可 能 大 家 已 经 发 现 了 ， 这 款 勒 索 软 件 只 有 一 个 目 的 ： 进 行 有 针 对 性 的 网 络 攻 击 。 开 发 人 员 明 显 是 要 选 择 特 定 攻 击 目 标
的 ， 对 于 勒 索 软 件 来 说 这 就 非 常 有 意 思 了 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C B A T 文 件 加 密 D L L R u n n e r S t u b b i n 参 考 资 料 参 考 资 料 S o p h o s L a b s 的 S a m S a m 样 本 分 析 白 皮 书 ： 【 点 击 底 部 阅 读 原 文 获 取 】 *   参 考 来 源 ： 参 考 来 源 ： m a l w a r e b y t e s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 9 C 8 A D 4 1 4 7 F 5 C B D D A 5 1 3 1 7 A 8 5 7 D 7 5 7 2 0 C 8 4 B D D B 1 6 3 3 8 D A B E 3 7 4 A 3 E 6 0 C 6 4 C 2 F 0 D E D A 9 C 2 E C C 8 8 E 0 9 2 E 3 B 8 C 1 3 C 6 D 1 A 7 1 B 9 6 8 A A 6 F 7 0 5 E B 5 9 6 6 3 7 0 F 2 1 E 3 0 6 C 2 6 C D 4 F B 5 7 3 8 C 9 5 F 5 B F E 6 3 A 5 3 0 B 2 0 0 A 0 D 7 3 F 3 6 3 D 4 6 C 5 6 7 1 C 1 F C B B 6 9 C 2 1 7 E 1 5 A 3 5 1 6 5 0 1 A 8 6 5 9 4 B 9 B 4 2 A 2 D 7 A E 7 1 E F 0 8 7 9 5 F C A 1 9 D 0 2 7 1 3 5 D 8 6 E 8 2 B C 0 D 3 5 4 D 1 8 B F D 7 6 6 E C 2 4 2 4 C
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理