搜索

[15507] 2020-06-18_Netwalker无文件勒索软件分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-18_Netwalker无文件勒索软件分析 N e t w a l k e r 无 文 件 勒 索 软 件 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 6 - 1 8 攻 击 者 正 不 断 研 究 更 复 杂 的 方 式 逃 避 恶 意 软 件 检 测 ， 近 期 发 现 攻 击 者 利 用 攻 击 者 正 不 断 研 究 更 复 杂 的 方 式 逃 避 恶 意 软 件 检 测 ， 近 期 发 现 攻 击 者 利 用 P o w e r S h e l l 编 写 编 写 N e t w a l k e r 勒 索 软 件 ， 直 接 在 内 存 中 执 行 ， 没 有 将 实 际 的 勒 索 软 件 二 进 制 文 件 存 储 到 磁 盘 中 。 勒 索 软 件 ， 直 接 在 内 存 中 执 行 ， 没 有 将 实 际 的 勒 索 软 件 二 进 制 文 件 存 储 到 磁 盘 中 。 恶 意 软 件 利 用 了 反 射 动 态 链 接 库 （ 恶 意 软 件 利 用 了 反 射 动 态 链 接 库 （ D L L ） 注 入 的 技 术 ， 也 称 ） 注 入 的 技 术 ， 也 称 r e f l e c t i v e   D L L 加 载 ， 可 以 从 内 存 注 入 加 载 ， 可 以 从 内 存 注 入 D L L ， 不 需 要 实 际 ， 不 需 要 实 际 D L L 文 件 ， 也 不 需 要 任 何 文 件 ， 也 不 需 要 任 何 W i n d o w s 加 载 程 序 即 可 注 入 。 加 载 程 序 即 可 注 入 。 P o w e r S h e l l 分 析 分 析 p o w e r s h e l l 脚 本 行 为 如 下 图 ： 该 脚 本 使 用 了 多 层 加 密 ， 混 淆 和 编 码 技 术 ， 最 顶 层 为 b a s e 6 4 编 码 ： b a s e 6 4 解 码 将 显 示 下 一 层 代 码 ， 该 层 是 十 六 进 制 编 码 X O R 加 密 ： 解 码 和 解 密 后 会 显 示 主 要 脚 本 ， 该 脚 本 仍 有 混 淆 ， 分 析 人 员 难 以 读 懂 内 容 ： 该 文 件 以 反 射 方 式 将 勒 索 软 件 D L L 注 入 到 合 法 进 程 e x p l o r e r . e x e 中 ，   勒 索 软 件 以 十 六 进 制 格 式 嵌 入 在 脚 本 中 。 脚 本 将 其 解 码 产 生 两 个 D L L ， 一 个 是 勒 索 软 件 的 x 8 6 版 本 （ 用 于 3 2 位 O S ） ， 另 一 个 是 x 6 4 版 本 （ 用 于 6 4 位 O S ） 。 它 会 对 运 行 环 境 进 行 检 测 ， 以 便 可 以 确 定 要 使 用 的 D L L 版 本 ： 它 首 先 从 k e r n e l l 3 2 . d l l 中 找 到 所 需 功 能 的 A P I 地 址 ： 然 后 计 算 内 存 地 址 ：
脚 本 本 身 充 当 D L L 加 载 程 序 ， 可 以 自 行 计 算 并 解 析 定 位 其 所 需 的 内 存 地 址 。 然 后 指 定 要 注 入 的 进 程 ， 搜 索 正 在 运 行 的 W i n d o w s 资 源 管 理 器 进 程 。 通 过 以 下 代 码 将 勒 索 软 件 D L L 写 入 e x p l o r e r . e x e 的 内 存 空 间 并 执 行 ： 最 后 删 除 副 本 ， 防 止 受 害 者 使 用 副 本 恢 复 文 件 。 无 文 件 勒 索 软 件 分 析 无 文 件 勒 索 软 件 分 析 N e t w a l k e r 使 用 6 个 随 机 字 符 作 为 扩 展 名 重 命 名 加 密 文 件 ： 它 将 勒 索 信 息 放 在 系 统 各 个 文 件 夹 中 ， 并 在 对 受 害 者 数 据 文 档 加 密 后 打 开 ， 其 内 容 为 ：
添 加 以 下 注 册 表 项 ： 勒 索 软 件 会 终 止 某 些 进 程 和 服 务 ， 其 中 一 些 与 软 件 数 据 备 份 有 关 。 以 下 是 勒 索 软 件 终 止 的 一 些 服 务 示 例 （ 全 部 服 务 列 表 参 照 此 报 告 ） ： 勒 索 软 件 还 会 停 止 与 安 全 软 件 相 关 的 进 程 ， 逃 避 安 全 软 件 对 其 恶 意 活 动 的 检 测 防 御 。 N e t w a l k e r 加 密 文 件 时 主 要 针 对 常 见 用 户 文 件 ， 例 如 O f f i c e 文 档 ， P D F ， 图 像 ， 视 频 ， 音 频 和 文 本 文 件 等 。 它 通 常 会 避 免 对 关 键 文 件 ， 可 执 行 文 件 ， 动 态 链 接 库 ， 注 册 表 或 其 他 与 系 统 相 关 的 文 件 进 行 加 密 ， 防 止 系 统 完 全 失 效 。 总 结 与 建 议 总 结 与 建 议 攻 击 者 现 在 正 在 向 勒 索 软 件 中 添 加 反 射 D L L 注 入 ， 从 而 使 攻 击 难 以 被 安 全 分 析 人 员 分 析 追 踪 。 勒 索 软 件 本 身 对 组 织 就 具 有 很 大 的 危 害 ， 成 为 无 文 件 攻 击 后 ， 其 风 险 再 次 加 大 。 组 织 必 须 使 用 各 种 安 全 技 术 来 保 护 其 端 点 ， 例 如 采 用 行 为 监 控 和 基 于 行 为 检 测 的 安 全 方 案 等 。 以 下 是 避 免 被 勒 索 软 件 攻 击 的 一 些 建 议 ： 定 期 备 份 关 键 数 据 ， 减 轻 勒 索 软 件 攻 击 的 影 响 ； 安 装 来 自 操 作 系 统 和 第 三 方 供 应 商 的 最 新 软 件 补 丁 ； 遵 守 良 好 的 邮 件 和 网 站 安 全 规 范 ； 及 时 发 现 警 告 可 疑 的 电 子 邮 件 和 文 件 ； 在 端 点 上 实 施 应 用 程 序 白 名 单 ， 阻 止 所 有 未 知 和 不 需 要 的 应 用 程 序 ； 定 期 组 织 员 工 进 行 安 全 培 训 。 I O C s * 参 考 来 源 ： 参 考 来 源 ： t r e n d m i c r o ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 H K E Y _ C U R R E N T _ U S E R S O F T W A R E { 8   r a n d o m   c h a r a c t e r s } { 8   r a n d o m   c h a r a c t e r s }   =   { H e x   v a l u e s }       * b a c k u p *         * s q l *         A c r o n i s A g e n t         A R S M         s e r v e r   A d m i n i s t r a t o r         S h a d o w P r o t e c t S v c         w b e n g i n e         * s q l *         e x c e l . e x e         n t r t s c a n . e x e         p o w e r p n t . e x e         w b e n g i n e *         w i n w o r d
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理