搜索

[13671] 2019-01-19_注入型勒索病毒Ryuk图文分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-01-19_注入型勒索病毒Ryuk图文分析 注 入 型 勒 索 病 毒 R y u k 图 文 分 析 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 1 - 1 9 一 、 样 本 简 介 一 、 样 本 简 介 R y u k 勒 索 病 毒 最 新 于 勒 索 病 毒 最 新 于 2 0 1 8 年 年 8 月 由 国 外 某 安 全 公 司 进 行 报 道 ， 短 短 两 周 内 净 赚 超 过 月 由 国 外 某 安 全 公 司 进 行 报 道 ， 短 短 两 周 内 净 赚 超 过 6 4 万 美 元 的 比 特 币 ， 同 时 跟 万 美 元 的 比 特 币 ， 同 时 跟 踪 发 现 它 与 踪 发 现 它 与 H E R M E S 勒 索 病 毒 相 关 联 ， 此 外 也 有 消 息 称 勒 索 病 毒 相 关 联 ， 此 外 也 有 消 息 称 H E R M E S 勒 索 病 毒 与 朝 鲜 黑 客 组 织 勒 索 病 毒 与 朝 鲜 黑 客 组 织 L a z a r u s 有 关 联 。 有 关 联 。 R y u k 勒 索 病 毒 主 要 通 过 垃 圾 邮 件 以 及 漏 洞 利 用 工 具 包 进 行 传 播 ， 专 门 用 于 自 定 义 攻 击 ， 勒 索 病 毒 主 要 通 过 垃 圾 邮 件 以 及 漏 洞 利 用 工 具 包 进 行 传 播 ， 专 门 用 于 自 定 义 攻 击 ， R y u k 的 感 染 和 传 播 过 程 的 感 染 和 传 播 过 程 都 是 由 攻 击 者 手 动 执 行 的 ， 被 加 密 的 文 件 以 都 是 由 攻 击 者 手 动 执 行 的 ， 被 加 密 的 文 件 以 . R Y K 后 缀 结 尾 。 后 缀 结 尾 。 2 0 1 9 年 1 月 份 ， 美 国 一 家 印 刷 厂 遭 遇 了 网 络 攻 击 ， 导 致 美 各 大 报 纸 发 行 受 阻 ， 根 据 内 部 消 息 ， 该 印 刷 厂 很 可 能 被 感 染 了 R y u k 的 勒 索 病 毒 ， 同 时 一 家 拥 有 3 0 0 0 0 家 用 户 的 云 托 管 服 务 提 供 商 在 圣 诞 节 前 也 遭 遇 了 R y u k 勒 索 病 毒 的 攻 击 。 深 信 服 安 全 团 队 密 切 关 注 此 勒 索 病 毒 的 最 新 进 展 ， 同 时 于 第 一 时 间 拿 到 了 相 关 样 本 ， 并 对 样 本 进 行 了 详 细 分 析 ， 此 勒 索 病 毒 打 响 了 黑 产 团 队 2 0 1 9 年 利 用 勒 索 病 毒 攻 击 的 序 幕 。 二 、 详 细 分 析 二 、 详 细 分 析 1 . 判 断 操 作 系 统 版 本 ， 设 置 自 启 动 项 ， 如 下 所 示 ： 设 置 后 的 相 应 的 自 启 动 项 ， 如 下 所 示 ：
2 . 进 程 提 权 操 作 ， 如 下 所 示 ： 提 升 进 程 为 S e D e b u g P r i v i l e g e 权 限 ， 如 下 所 示 ： 3 . 遍 历 进 程 ， 获 取 进 程 的 登 录 用 户 信 息 ， 设 置 令 牌 访 问 信 息 ， 如 下 所 示 ：
4 . 遍 历 进 程 ， 如 果 进 程 不 是 c s r s s . e x e 、 e x p l o r e r . e x e 、 l s a s s . e x e 这 三 个 进 程 ， 则 注 入 相 应 的 勒 索 病 毒 入 代 码 到 进 程 中 ， 如 下 所 示 ： 注 入 进 程 ， 如 下 所 示 ： 然 后 调 用 C r e a t e R e m o t e T h r e a d 执 行 相 应 的 代 码 ， 如 下 所 示 ：
5 . 获 取 相 应 的 函 数 地 址 ， 如 下 所 示 ： 6 . 获 取 系 统 版 本 信 息 ， 如 下 所 示 ： 7 . 根 据 系 统 版 本 ， 在 不 同 的 路 径 下 写 入 相 应 的 文 件 ， 如 下 所 示 ：
相 应 的 路 径 为 : C : D o c u m e n t s   a n d   S e t t i n g s D e f a u l t U s e r s y s C : u s e r s P u b l i c s y s 8 . 生 成 相 应 的 密 钥 ， 如 下 所 示 ： 使 用 R S A 公 钥 加 密 生 成 的 密 钥 ， 如 下 所 示 ：
相 应 的 反 汇 编 代 码 ， 如 下 所 示 ： 9 . 在 内 存 中 解 密 出 相 应 的 勒 索 信 息 ， 如 下 所 示 ： 解 密 之 后 的 信 息 ， 如 下 所 示 ：
1 0 . 遍 历 磁 盘 ， 加 密 文 件 ， 如 下 所 示 ： 遍 历 磁 盘 目 录 文 件 ， 如 下 所 示 ： 排 除 W i n d o w s 、 M o z i l i a 、 R e c y c l e . B i n 、 C h r o m e 、 A h n L a b 等 目 录 ， 如 下 所 示 ：
1 1 . 在 加 密 的 磁 盘 文 件 目 录 ， 生 成 R y u k R e a d M e . t x t 勒 索 信 息 文 本 文 件 ， 如 下 所 示 ： 生 成 的 勒 索 信 息 文 本 文 件 内 容 ， 如 下 所 示 ： B T C 钱 包 地 址 ： 1 C h n b V 4 R t 7 n s b 5 a c w 5 Y f Y y v B F D j 1 R X c V Q u
1 2 . 遍 历 文 件 ， 排 除 d l l 、 l n k 、 h r m l o g 、 i n i 、 e x e 后 缀 的 文 件 ， 如 下 所 示 ： 同 时 排 除 如 下 文 件 名 ， 如 下 所 示 ： 1 3 . 加 密 文 件 ， 用 加 密 后 的 文 件 替 换 原 文 件 ， 如 下 所 示 ： 加 密 后 的 文 件 名 为 [ 原 文 件 名 ] + R Y K 结 尾 的 后 缀 ， 如 下 所 示 ：
加 密 文 件 的 过 程 ， 如 下 所 示 ： 1 4 . 同 时 此 勒 索 病 毒 ， 会 枚 举 网 络 资 源 ， 然 后 再 加 密 网 络 资 源 目 录 下 的 文 件 ， 如 下 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理