搜索

[14930] 2020-01-01_新年之际，Sodinokibi勒索病毒利用NSIS再造变种

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-01-01_新年之际，Sodinokibi勒索病毒利用NSIS再造变种 新 年 之 际 ， S o d i n o k i b i 勒 索 病 毒 利 用 N S I S 再 造 变 种 亚 信 安 全   F r e e B u f   2 0 2 0 - 0 1 - 0 1 时 间 总 是 过 得 飞 快 ， 圣 诞 节 已 悄 悄 溜 走 ， 我 们 即 将 迎 来 新 年 。 时 间 总 是 过 得 飞 快 ， 圣 诞 节 已 悄 悄 溜 走 ， 我 们 即 将 迎 来 新 年 。 2 0 2 0 年 将 要 开 启 年 将 要 开 启 2 1 世 纪 新 的 十 年 世 纪 新 的 十 年   -   2 0 2 0 年 代 。 节 年 代 。 节 日 里 在 人 们 充 满 欢 声 笑 语 的 同 时 ， 往 往 计 算 机 病 毒 的 活 跃 度 也 会 随 之 上 升 。 回 顾 日 里 在 人 们 充 满 欢 声 笑 语 的 同 时 ， 往 往 计 算 机 病 毒 的 活 跃 度 也 会 随 之 上 升 。 回 顾 2 0 1 9 年 年 ,   勒 索 病 毒 和 挖 矿 病 毒 勒 索 病 毒 和 挖 矿 病 毒 更 是 牢 牢 占 据 在 计 算 机 流 行 病 毒 榜 首 ， 侠 盗 更 是 牢 牢 占 据 在 计 算 机 流 行 病 毒 榜 首 ， 侠 盗 G a n d c r a b 、 、 G l o b e I m p o s t e r 以 及 以 及 S o d i n o k i b i 等 比 较 知 名 的 勒 索 病 毒 ， 等 比 较 知 名 的 勒 索 病 毒 ， 他 们 在 这 一 年 里 不 仅 频 繁 更 新 ， 还 不 断 地 开 创 新 的 传 播 方 式 。 他 们 在 这 一 年 里 不 仅 频 繁 更 新 ， 还 不 断 地 开 创 新 的 传 播 方 式 。 近 期 ， 亚 信 安 全 监 测 到 多 个 勒 索 病 毒 异 常 活 跃 ， 这 其 中 就 包 括 知 名 的 S o d i n o k i b i 勒 索 病 毒 ， 本 次 截 获 的 S o d i n o k i b i 勒 索 病 毒 利 用 W i n d o w s 安 装 程 序 制 作 工 具 N S I S （ N u l l s o f t   S c r i p t a b l e   I n s t a l l   S y s t e m ） 进 行 打 包 ， 然 后 伪 装 成 A d o b e   F l a s h 安 装 包 进 行 传 播 。 N S I S （ N u l l s o f t   S c r i p t a b l e   I n s t a l l   S y s t e m ） 是 一 个 开 源 的   W i n d o w s   系 统 下 安 装 程 序 制 作 程 序 。 它 提 供 了 安 装 、 卸 载 、 系 统 设 置 、 文 件 解 压 缩 等 功 能 。 如 其 名 字 所 指 出 的 那 样 ， N S I S   是 通 过 它 的 脚 本 语 言 来 描 述 安 装 程 序 的 行 为 和 逻 辑 的 。 N S I S 中 的 S y s t e m 插 件 是 其 中 比 较 知 名 的 插 件 ， 它 可 以 提 供 开 发 人 员 分 配 ， 释 放 和 复 制 内 存 ， 能 够 从 任 何 D L L 调 用 任 何 导 出 的 函 数 ， 与 C O M 对 象 进 行 交 互 ， 并 对 6 4 位 整 数 执 行 数 学 运 算 等 操 作 。 由 于 S o d i n o k i b i 勒 索 病 毒 更 新 时 间 是 在 圣 诞 节 和 元 旦 到 来 之 际 ， 勒 索 通 知 信 也 变 得 具 有 “ 节 日 气 氛 ” ， 亚 信 安 全 将 其 命 名 为 R a n s o m . W i n 3 2 . S O D I N O K I B I . A U W T Z 。 S o d i n o k i b i 勒 索 病 毒 最 早 出 现 在 2 0 1 9 年 4 月 份 ， 早 期 版 本 使 用 W e b 服 务 相 关 漏 洞 传 播 ， 后 来 发 现 该 勒 索 病 毒 通 过 垃 圾 邮 件 附 件 传 播 。 不 仅 传 播 方 式 发 生 变 化 ， 其 使 用 的 外 壳 保 护 技 术 也 在 不 断 更 新 和 变 换 ， 我 们 对 此 进 行 了 梳 理 。 亚 信 安 全 也 将 会 持 续 关 注 该 勒 索 病 毒 的 动 态 和 发 展 。 事 件 时 间 事 件 时 间 外 壳 技 术 外 壳 技 术 传 播 方 式 传 播 方 式 亚 信 安 全 检 测 名 亚 信 安 全 检 测 名 2 0 1 9 年 4 月 P E 加 壳 解 密 W e b 服 务 漏 洞 早 期 版 本   T R O J _ F R . 6 2 0 7 2 7 B A 2 0 1 9 年 8 月 2 1 日 混 淆 的 J S 脚 本 垃 圾 邮 件 T R O J _ F R S . 0 N A 1 0 3 H 6 1 9 2 0 1 9 年 8 月 2 3 日 P o w e r S h e l l 脚 本 以 无 文 件 的 方 式 在 内 网 扩 散 R a n s o m . W i n 3 2 . S O D I N O K I B I . A U W T 2 0 1 9 年 1 0 月 2 8 日 内 存 动 态 解 密 垃 圾 邮 件 （ 附 件 伪 装 成 E x c e l 文 档 ） R a n s o m . W i n 3 2 . S O D I N O K I B I . A U W T S 2 0 1 9 年 1 1 月 2 8 日 反 调 试   内 存 动 态 解 密 垃 圾 邮 件 （ 附 件 伪 装 成 W o r d 文 档 ） R a n s o m . W i n 3 2 . S O D I N O K I B I . A U W T R 2 0 1 9 年 1 2 月 3 日 . N E T 进 程 注 入 垃 圾 邮 件 （ 附 件 伪 装 成 P D F 文 件 ） R a n s o m . M S I L . S O D I N O K I B I . A 2 0 1 9 年 1 2 月 2 6 日 N S I S 软 件 打 包 垃 圾 邮 件 （ 附 件 伪 装 成 A d o b l e   F l a s h 安 装 文 件 ） R a n s o m . W i n 3 2 . S O D I N O K I B I . A U W T Z 病 毒 详 细 分 析 病 毒 详 细 分 析 该 病 毒 利 用 W i n d o w s 安 装 程 序 制 作 工 具 N S I S （ N u l l s o f t   S c r i p t a b l e   I n s t a l l   S y s t e m ） 进 行 打 包 ， 然 后 伪 装 成 A d o b e   F l a s h 安 装 包 进 行 传 播 ：
其 使 用 N S I S 软 件 打 包 ， 提 取 后 的 文 件 包 括 N S I S 插 件 文 件 s y s t e m . d l l 以 及 加 密 的 病 毒 主 体 文 件 4 1 6 3 5 2 9 7 5 ： 打 包 该 勒 索 样 本 的 N S I S 脚 本 如 下 ： 将 脚 本 整 理 后 ， 我 们 发 现 其 主 要 的 功 能 是 将 加 密 的 勒 索 病 毒 主 体 文 件 4 1 6 3 5 2 9 7 5 映 射 到 内 存 空 间 ， 在 内 存 里 进 行 解 密 然 后 执 行 ：
要 获 取 解 密 后 的 勒 索 p a y l o a d 需 要 进 行 动 态 调 试 ， 从 内 存 d u m p 。 首 先 在 分 配 的 内 存 中 解 密 相 关 数 据 ： 解 密 后 的 数 据 如 下 ： 然 后 进 行 整 合 ， 创 建 进 程 执 行 ：
解 密 后 的 文 件 就 是 S o d i n o k i b i 勒 索 病 毒 主 体 p a y l o a d 文 件 ， 具 有 此 勒 索 的 典 型 入 口 ： 此 勒 索 病 毒 加 密 后 的 文 件 后 缀 名 为 随 机 文 件 名 ： 勒 索 提 示 信 息 文 件 j 3 7 k 8 z j u - r e a d m e . t x t ， 内 容 如 下 所 示 ：
加 密 文 件 之 后 会 修 改 桌 面 背 景 图 片 ， 如 下 所 示 ： 解 决 方 案 解 决 方 案 不 要 点 击 来 源 不 明 的 邮 件 以 及 附 件 ； 不 要 点 击 来 源 不 明 的 邮 件 中 包 含 的 链 接 ； 采 用 高 强 度 的 密 码 ， 避 免 使 用 弱 口 令 密 码 ， 并 定 期 更 换 密 码 ； 打 开 系 统 自 动 更 新 ， 并 检 测 更 新 进 行 安 装 ； 尽 量 关 闭 不 必 要 的 文 件 共 享 ； 请 注 意 备 份 重 要 文 档 。 备 份 的 最 佳 做 法 是 采 取 3 - 2 - 1 规 则 ， 即 至 少 做 三 个 副 本 ， 用 两 种 不 同 格 式 保 存 ， 并 将 副 本 放 在 异 地 存 储 。 I O C 文 件 文 件 S H A - 1 文 件 名 称 文 件 名 称 亚 信 安 全 检 测 名 亚 信 安 全 检 测 名 6 d 6 d 8 8 9 6 5 5 f b 9 c 6 4 d d f b * * 5 1 2 6 1 e 9 9 A d o b e ®   F l a s h ®   P l a y e r   3 2 . 0 R a n s o m . W i n 3 2 . S O D I N O K I B I . A U W T Z * 本 文 作 者 ： 亚 信 安 全 ， 转 载 请 注 明 来 自 本 文 作 者 ： 亚 信 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理