搜索

[13701] 2019-01-27_Matrix勒索病毒PRCP变种侵入政企单位

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-01-27_Matrix勒索病毒PRCP变种侵入政企单位 M a t r i x 勒 索 病 毒 P R C P 变 种 侵 入 政 企 单 位 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 1 - 2 7 近 日 ， 深 信 服 安 全 团 队 在 国 内 跟 踪 发 现 了 一 新 型 的 病 毒 变 种 ， 确 认 为 近 日 ， 深 信 服 安 全 团 队 在 国 内 跟 踪 发 现 了 一 新 型 的 病 毒 变 种 ， 确 认 为 M a t r i x 勒 索 病 毒 勒 索 病 毒 P R C P 变 种 ， 目 前 已 有 政 变 种 ， 目 前 已 有 政 企 单 位 感 染 案 例 ， 该 勒 索 变 种 采 用 企 单 位 感 染 案 例 ， 该 勒 索 变 种 采 用 R S A + A E S 高 强 度 加 密 算 法 ， 将 系 统 中 的 大 部 分 文 档 文 件 加 密 为 高 强 度 加 密 算 法 ， 将 系 统 中 的 大 部 分 文 档 文 件 加 密 为 P R C P 后 缀 名 后 缀 名 的 文 件 ， 然 后 对 用 户 进 行 勒 索 。 目 前 无 法 解 密 ， 提 醒 广 大 用 户 警 惕 ， 防 止 中 招 。 的 文 件 ， 然 后 对 用 户 进 行 勒 索 。 目 前 无 法 解 密 ， 提 醒 广 大 用 户 警 惕 ， 防 止 中 招 。 该 勒 索 病 毒 变 种 主 要 通 过 R D P 爆 破 进 行 传 播 ， 会 扫 描 局 域 网 内 主 机 ， 会 加 密 局 域 网 共 享 目 录 文 件 夹 下 的 文 件 ， 并 弹 出 勒 索 界 面 如 下 ： 此 次 勒 索 事 件 ， 深 信 服 安 全 专 家 捕 获 到 了 完 整 病 毒 样 本 ， 并 制 定 了 相 应 的 防 护 措 施 。 样 本 分 析 样 本 分 析 M a t r i x 勒 索 病 毒 P R C P 变 种 整 体 比 较 复 杂 ， 样 本 功 能 可 以 简 化 如 下 ：
该 病 毒 变 种 使 用 D e l p h i 语 言 进 行 编 写 ， 相 关 数 据 加 密 会 存 储 到 程 序 资 源 目 录 中 。 为 了 保 证 运 行 唯 一 ， 病 毒 运 行 后 ， 会 先 尝 试 打 开 互 斥 变 量 M u t e x P R C P ， 如 果 打 开 失 败 ， 则 创 建 互 斥 变 量 。 获 取 信 息 ， 上 传 获 取 信 息 ， 上 传 C 2 服 务 器 服 务 器 该 病 毒 变 种 会 获 取 当 前 操 作 系 统 的 语 言 版 本 、 主 机 名 和 用 户 名 等 信 息 ， 在 内 存 中 拼 接 相 应 的 字 符 串 ： 在 内 存 中 解 密 出 远 程 服 务 器 地 址 ， 如 下 所 示 ：
发 送 相 应 的 主 机 信 息 ， 到 远 程 服 务 器 地 址 p r c p . m y g o o d s d a y . o r g   ， 进 行 记 录 ， 如 下 所 示 ： 扫 描 磁 盘 信 息 ， 并 打 印 到 输 出 窗 口 ， 然 后 将 磁 盘 信 息 ， 再 一 次 上 传 到 远 程 服 务 器 。 生 成 生 成 k e y ， 删 除 系 统 备 份 ， 删 除 系 统 备 份 M a t r i x 勒 索 病 毒 P R C P 变 种 会 通 过 内 置 的 R S A 密 钥 生 成 相 应 的 k e y ， 如 下 所 示 ：
接 着 ， 会 生 成 B A T 文 件 ， 删 除 磁 盘 卷 影 等 操 作 ， 使 用 户 无 法 通 过 系 统 备 份 恢 复 数 据 ， 如 下 所 示 ： 生 成 上 面 B A T 脚 本 调 用 的 V B S 脚 本 ， 如 下 所 示 ： 扫 描 探 测 内 网 ， 加 密 网 络 共 享 扫 描 探 测 内 网 ， 加 密 网 络 共 享 为 了 对 内 网 最 大 程 度 造 成 破 坏 ， 该 变 种 会 生 成 随 机 命 名 的 备 份 文 件 ， 然 后 通 过 参 数 启 动 ， 对 内 网 进 行 探 测 ， 如 下 所 示 ：
内 网 共 享 目 录 文 件 扫 描 过 程 ， 如 下 所 示 ： 生 成 的 随 机 的 B A T 文 件 ， 如 下 所 示 ： 调 用 释 放 的 N T H a n d l e r 程 序 ， 对 当 前 主 机 进 行 扫 描 ， 如 下 所 示 ：
加 密 本 地 文 件 ， 生 成 勒 索 信 息 加 密 本 地 文 件 ， 生 成 勒 索 信 息 最 后 ， 该 变 种 病 毒 会 遍 历 本 地 磁 盘 文 件 ， 加 密 磁 盘 文 件 ， 加 密 后 的 文 件 后 缀 为 . P R C P 。 磁 盘 文 件 加 密 完 成 后 ， 会 在 本 地 生 成 相 应 的 勒 索 信 息 文 件 # R E A D M E _ P R C P # . r t f ， 相 应 的 内 容 如 下 所 示 ：
解 决 方 案 解 决 方 案 针 对 已 经 出 现 勒 索 现 象 的 用 户 ， 由 于 暂 时 没 有 解 密 工 具 ， 建 议 尽 快 对 感 染 主 机 进 行 断 网 隔 离 。 深 信 服 提 醒 广 大 用 户 尽 快 做 好 病 毒 检 测 与 防 御 措 施 ， 防 范 此 次 勒 索 攻 击 。 病 毒 检 测 查 杀 病 毒 检 测 查 杀 1 、 深 信 服 为 广 大 用 户 免 费 提 供 查 杀 工 具 ， 可 下 载 如 下 工 具 ， 进 行 检 测 查 杀 。
h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t . z i p 2 、 深 信 服 E D R 产 品 及 防 火 墙 等 安 全 产 品 均 具 备 病 毒 检 测 能 力 ， 部 署 相 关 产 品 用 户 可 进 行 病 毒 检 测 。 病 毒 防 御 病 毒 防 御 1 、 及 时 给 电 脑 打 补 丁 ， 修 复 漏 洞 。 2 、 对 重 要 的 数 据 文 件 定 期 进 行 非 本 地 备 份 。 3 、 不 要 点 击 来 源 不 明 的 邮 件 附 件 ， 不 从 不 明 网 站 下 载 软 件 。 4 、 尽 量 关 闭 不 必 要 的 文 件 共 享 权 限 。 5 、 更 改 账 户 密 码 ， 设 置 强 密 码 ， 避 免 使 用 统 一 的 密 码 ， 因 为 统 一 的 密 码 会 导 致 一 台 被 攻 破 ， 多 台 遭 殃 。 6 、 如 果 业 务 上 无 需 使 用   R D P   的 ， 建 议 关 闭   R D P   。 最 后 ， 建 议 企 业 对 全 网 进 行 一 次 安 全 检 查 和 杀 毒 扫 描 ， 加 强 防 护 工 作 。 * 本 文 作 者 ： 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理