搜索

[14635] 2019-09-27_勒索预警放假之前，EvaRichter勒索病毒来袭

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2019-09-27_勒索预警放假之前，EvaRichter勒索病毒来袭 勒 索 预 警   |   放 假 之 前 ， E v a R i c h t e r 勒 索 病 毒 来 袭 F r e e B u f   2 0 1 9 - 0 9 - 2 7 以 下 文 章 来 源 于 安 全 分 析 与 研 究   ， 作 者 p a n d a z h e n g z h e n g 目 前 勒 索 病 毒 仍 然 是 全 球 最 大 的 威 胁 ， 最 近 一 年 针 对 企 业 的 勒 索 病 毒 攻 击 越 来 越 多 ， 大 部 分 勒 索 病 毒 是 无 法 解 目 前 勒 索 病 毒 仍 然 是 全 球 最 大 的 威 胁 ， 最 近 一 年 针 对 企 业 的 勒 索 病 毒 攻 击 越 来 越 多 ， 大 部 分 勒 索 病 毒 是 无 法 解 密 的 ， 并 且 不 断 有 新 型 的 勒 索 病 毒 出 现 ， 各 企 业 一 定 要 保 持 高 度 的 重 视 ， 马 上 放 假 了 ， 一 款 新 型 勒 索 病 毒 来 密 的 ， 并 且 不 断 有 新 型 的 勒 索 病 毒 出 现 ， 各 企 业 一 定 要 保 持 高 度 的 重 视 ， 马 上 放 假 了 ， 一 款 新 型 勒 索 病 毒 来 袭 袭 … … 近 日 国 外 某 独 立 恶 意 软 件 安 全 研 究 人 员 曝 光 了 一 个 新 型 的 勒 索 病 毒 ， 如 下 所 示 ： 然 后 有 人 回 复 说 是 E v a R i c h t e r 勒 索 病 毒 ， 并 给 出 了 i d - r a n s o m w a r e 博 客 地 址 ， 如 下 所 示 ： 安 全 分 析 与 研 究 安 全 分 析 与 研 究   . 专 注 于 全 球 恶 意 软 件 的 分 析 与 研 究 ， 追 踪 全 球 黑 客 组 织 攻 击 活 动
这 款 勒 索 病 毒 之 所 以 勾 起 我 的 兴 趣 ， 主 要 是 它 与 之 前 的 G a n d C r a b 、 S o d i n o k i b i 、 G e r m a n W i p e r 、 N E M T Y 等 勒 索 有 某 些 类 似 之 处 ， 都 将 桌 面 壁 纸 修 改 成 蓝 色 了 ， 笔 者 通 过 M D 5 在 a p p . a n y . r u n 上 找 到 了 相 应 的 样 本 ， 如 下 ： 样 本 被 人 在 2 4 号 上 传 到 了 V T 上 ， 依 据 上 传 的 时 间 判 断 可 能 就 是 国 外 那 个 独 立 恶 意 软 件 研 究 员 上 传 的 ， 从 a p p . a n y . r u n 上 下 载 样 本 ， 图 标 使 用 了 类 似 微 信 的 图 标 ， 如 下 所 示 ： 运 行 之 后 ， 加 密 的 文 件 后 缀 为 随 机 文 件 ， 如 下 所 示 ：
勒 索 病 毒 会 修 改 桌 面 壁 纸 为 蓝 色 ， 如 下 所 示 ： 勒 索 提 示 信 息 文 本 文 件 [ 加 密 后 缀 随 机 名 ] _ h o w _ t o _ d e c r y p t . t x t ， 内 容 如 下 所 示 ：
访 问 勒 索 病 毒 解 密 网 址 ， 如 下 所 示 ： 输 入 勒 索 提 示 信 息 中 的 A c c e s s   C o d e 码 之 后 ， 如 下 所 示 ：
黑 客 的 B T C 钱 包 地 址 ： 1 4 B i q r f 2 f r y u G N D r M D P c h P C Q e E j z Z k q a L i ， 勒 索 赎 金 七 天 之 内 为 ： 0 . 1 5 2 1 1 6 3   B T C ， 如 下 所 示 ： 最 近 B T C 降 了 一 点 ， 我 们 按 今 天 B T C 的 市 价 来 算 ， 如 下 ： 等 于 0 . 1 5 2 1 1 6 3   X   8 4 0 5 . 5 9   =   1 2 7 8 美 元 ( 七 天 之 内 解 密 的 价 格 ) 此 勒 索 病 毒 同 样 采 用 了 高 强 度 的 代 码 混 淆 技 术 ， 简 单 的 反 调 试 技 术 ， 核 心 的 勒 索 病 毒 代 码 被 多 层 封 装 起 来 了 ， 通 过 动 态 调 试 ， 解 密 出 外 壳 的 封 装 代 码 ， 如 下 所 示 ： 继 续 跟 踪 调 试 ， 最 后 解 密 出 核 心 的 勒 索 病 毒 代 码 ， 如 下 所 示 ：
解 密 出 完 整 的 勒 索 病 毒 核 心 是 一 个 P E 文 件 ， 采 用 D e l p h i 语 言 进 行 编 写 ， 如 下 所 示 ： 查 看 入 口 代 码 ， 如 下 所 示 ： 使 用 I D A 查 看 字 符 串 信 息 ， 里 面 包 含 勒 索 相 关 信 息 ， 如 下 所 示 ：
此 勒 索 病 毒 最 后 还 会 删 除 磁 盘 卷 影 副 本 等 操 作 ， 如 下 所 示 ： 从 勒 索 病 毒 的 核 心 代 码 ， 我 发 现 这 款 勒 索 病 毒 与 之 前 我 分 析 过 的 一 款 新 型 的 勒 索 病 毒 G e r m a n W i p e r 创 建 的 互 斥 变 量 一 模 一 样 ， 都 是 H S D F S D - H F S D - 3 2 4 1 - 9 1 E 7 - A S D G S D G H H ， G e r m a n W i p e r 勒 索 病 毒 的 核 心 代 码 同 样 是 使 用 D e l p h i 语 言 编 写 的 ， 于 是 我 将 两 款 勒 索 病 毒 的 核 心 P a y l o a d 代 码 进 行 对 比 ， 如 下 所 示 ： 代 码 相 似 度 竟 然 高 达 8 2 % ， 所 以 我 觉 得 这 款 勒 索 病 毒 应 该 是 G e r m a n W i p e r 最 新 变 种 ， 国 外 安 全 研 究 人 员 又 取 了 一 个 名 字 叫 ： E v a R i c h t e r 勒 索 病 毒 ， 还 是 按 国 外 安 全 研 究 人 员 的 名 字 命 名 吧
自 从 G a n d C r a b 勒 索 病 毒 于 今 年 6 月 1   号 ， 宣 布 停 止 运 营 之 后 ， 虽 然 后 面 再 也 没 有 见 到 过 G a n d C r a b 的 最 新 版 本 出 现 ， 然 后 它 的 影 子 似 乎 一 直 都 在 ， 比 如 现 在 比 较 流 行 的 S o d i n o k i b i 勒 索 病 毒 ， 国 外 很 多 报 道 直 指 S o d i n o k i b i 与 G a n d C r a b 有 千 丝 万 缕 的 关 系 ， 前 面 我 就 说 过 G a n d C r a b 勒 索 病 毒 虽 然 结 束 了 ， 背 后 的 运 营 团 队 只 是 宣 布 停 止 G a n d C r a b 勒 索 病 毒 的 运 营 ， 它 会 不 会 继 续 运 营 其 他 勒 索 病 毒 家 族 呢 ？ 也 许 只 是 G a n d C r a b 勒 索 病 毒 的 开 发 者 不 想 开 发 了 ， 它 背 后 的 运 营 团 队 会 不 会 接 着 运 营 其 它 病 毒 呢 ？ 勒 索 病 毒 已 经 成 为 了 黑 产 来 钱 最 快 的 方 式 之 一 ， 大 部 分 做 黑 产 的 不 就 是 为 了 赚 大 钱 吗 ？ 难 怪 会 放 弃 这 么 好 赚 钱 的 机 会 ？ G e r m a n W i p e r 勒 索 病 毒 上 个 月 流 行 过 一 段 时 间 ， 这 款 勒 索 病 毒 后 面 会 不 会 大 面 积 传 播 ， 需 要 持 续 的 关 注 与 跟 踪 ， 以 前 做 黑 产 的 都 喜 欢 在 放 假 的 时 候 搞 点 事 情 ， 因 为 对 于 做 黑 产 是 没 有 休 息 日 ， 而 且 越 是 放 假 ， 越 容 易 搞 一 些 活 动 ， 捆 绑 一 些 木 马 让 用 户 主 动 下 载 ， 做 黑 产 的 为 了 搞 钱 ， 每 天 都 在 寻 找 不 同 的 攻 击 目 标 ， 通 过 各 种 漏 洞 + 恶 意 软 件 对 目 标 进 行 攻 击 ， 获 取 暴 利 。 * 本 文 作 者 ： 本 文 作 者 ： 熊 猫 正 正 ， 转 载 请 注 明 来 自 熊 猫 正 正 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理