搜索

[15760] 2020-08-22_WastedLocker勒索软件分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-08-22_WastedLocker勒索软件分析 W a s t e d L o c k e r 勒 索 软 件 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 8 - 2 2 写 在 前 面 的 话 写 在 前 面 的 话 网 络 犯 罪 分 子 在 具 有 针 对 性 的 攻 击 活 动 中 使 用 勒 索 软 件 ， 已 经 成 为 了 一 种 很 常 见 的 现 象 了 。 每 个 月 都 会 出 现 新 的 勒 索 软 件 攻 击 事 件 ， 有 的 时 候 甚 至 会 更 加 频 繁 。 在 今 年 的 上 半 年 ， W a s t e d L o c k e r 勒 索 软 件 的 活 动 日 趋 频 繁 ， 我 们 在 这 篇 文 章 中 ， 将 对 一 个 W a s t e d L o c k e r 勒 索 软 件 样 本 进 行 详 细 的 技 术 分 析 。 命 令 行 参 数 命 令 行 参 数 需 要 注 意 的 是 ， W a s t e d L o c k e r 拥 有 一 个 命 令 行 接 口 ， 它 支 持 处 理 多 个 由 攻 击 者 控 制 的 参 数 ， 而 这 些 参 数 将 控 制 W a s t e d L o c k e r 的 行 为 。 优 先 处 理 ： 该 参 数 用 于 指 定 勒 索 软 件 首 先 需 要 加 密 的 目 录 ， 然 后 会 将 其 添 加 到 内 部 排 除 列 表 之 中 ， 以 避 免 进 行 重 复 加 密 。 接 下 来 ， 勒 索 软 件 将 会 加 密 可 用 驱 动 器 中 剩 余 的 目 录 及 文 件 。 该 参 数 用 于 指 定 需 要 加 密 的 目 录 。 该 参 数 可 以 指 定 使 用 认 证 凭 据 来 对 网 络 资 源 文 件 进 行 加 密 。 该 参 数 可 以 执 行 下 列 行 为 ： 1 、 删 除 源 文 件 。 2 、 使 用 注 册 表 键 “ S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l ” 中 子 键 列 表 中 的 随 机 子 字 符 串 来 将 文 件 拷 贝 至 “ % W I N D I R % s y s t e m 3 2 . e x e ” 。 3 、 创 建 一 个 服 务 ， 服 务 名 称 跟 第 二 步 选 取 方 法 类 似 。 如 果 服 务 名 已 存 在 ， 则 会 添 加 一 个 “ M s ” 前 缀 。 比 如 说 ， 如 果 “ P o w e r ” 服 务 已 存 在 ， 恶 意 软 件 将 会 创 建 一 个 名 为 “ M s P o w e r ” 的 新 服 务 。 新 服 务 的 命 令 行 接 口 将 会 被 设 置 为 “ % W I N D I R % s y s t e m 3 2 . e x e   - s ” 。 - p   < d i r e c t o r y - p a t h > - f   < d i r e c t o r y - p a t h > - u   u s e r n a m e : p a s s w o r d   h o s t n a m e - r
4 、 开 启 这 个 服 务 ， 并 等 待 其 完 成 任 务 。 5 、 删 除 该 服 务 。 开 启 已 创 建 的 服 务 ， 并 对 恶 意 软 件 查 找 到 的 所 有 符 合 条 件 的 文 件 进 行 加 密 处 理 。 U A C 绕 过 绕 过 W a s t e d L o c k e r 另 一 个 有 意 思 的 功 能 是 它 用 于 实 现 U A C 绕 过 所 使 用 的 方 法 。 当 木 马 开 始 运 行 之 后 ， 它 会 检 测 运 行 的 完 整 性 等 级 。 如 果 这 个 等 级 不 够 高 ， 恶 意 软 件 将 会 尝 试 在 后 台 悄 悄 地 使 用 已 知 的 绕 过 技 术 来 提 升 其 权 限 。 首 先 ， 恶 意 软 件 会 在 “ % a p p d a t a % ” 下 创 建 一 个 新 目 录 ， 目 录 名 选 自 注 册 表 键 “ S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l ” 中 子 键 列 表 中 的 随 机 子 字 符 串 。 接 下 来 ， 根 据 系 统 目 录 中 的 数 据 ， 在 这 个 新 目 录 中 创 建 一 个 随 机 的 E X E 或 D L L 文 件 ， 然 后 将 木 马 程 序 写 入 至 N T F S 流 “ : b i n ” 中 。 此 时 ， 恶 意 软 件 会 创 建 一 个 临 时 目 录 ， 通 过 A P I 函 数 N t F s C o n t r o l F i l e 和 参 数 “ I O _ R E P A R S E _ T A G _ M O U N T _ P O I N T ” 来 加 载 该 目 录 并 指 向 ” C : W i n d o w s “ 。 接 下 来 ， 它 会 在 这 个 临 时 目 录 中 创 建 一 个 名 为 “ s y s t e m 3 2 ” 的 子 目 录 ， 此 时 这 个 子 目 录 的 路 径 就 变 成 了 “ % t e m p % s y s t e m 3 2 ” 或 “ C : W i n d o w s s y s t e m 3 2 ” 了 。 接 下 来 ， 将 合 法 的 w i n s a t . e x e 和 w i n m m . d l l 拷 贝 到 这 个 子 目 录 中 ， 使 用 第 二 步 中 创 建 的 N T F S 流 以 及 恶 意 代 码 来 替 换 w i n m m . d l l 的 入 口 点 代 码 ， 启 动 w i n s a t . e x e ， 并 触 发 w i n m m . d l l 修 改 以 实 现 D L L 劫 持 。 下 图 显 示 的 是 下 图 显 示 的 是 W a s t e d L o c k e r 启 动 过 程 中 的 启 动 过 程 中 的 P r o c m o n 日 志 片 段 ： 日 志 片 段 ： 加 密 方 案 加 密 方 案 为 了 加 密 目 标 设 备 中 的 文 件 ， W a s t e d L o c k e r 的 开 发 人 员 使 用 了 一 种 A E S 和 R S A 算 法 结 合 的 加 密 方 案 ， 这 种 技 术 也 跟 很 多 勒 索 软 件 常 用 的 方 式 有 所 不 同 。 恶 意 软 件 的 搜 索 掩 码 可 以 选 择 待 加 密 的 文 件 ， 以 及 恶 意 软 件 配 置 中 设 置 的 需 要 忽 略 的 路 径 。 下 图 显 示 的 是 勒 索 软 件 配 置 中 需 要 忽 略 的 路 径 子 字 符 串 ： 针 对 每 一 个 待 处 理 文 件 ， W a s t e d L o c k e r 将 生 成 一 个 唯 一 的 2 5 6 位 密 钥 和 一 个 1 2 6 位 I V ， 恶 意 软 件 将 使 用 这 两 个 参 数 以 及 - s
A E S - 2 5 6 算 法 （ C B C 模 式 ） 对 文 件 内 容 进 行 加 密 。 文 件 操 作 的 实 现 是 值 得 我 们 分 析 的 ， 因 为 它 使 用 了 文 件 映 射 技 术 来 实 现 数 据 访 问 。 在 这 里 ， 恶 意 软 件 开 发 者 必 须 要 尽 最 大 努 力 尝 试 提 升 勒 索 软 件 躲 避 安 全 解 决 方 案 的 能 力 ， 而 每 一 个 被 加 密 的 文 件 都 将 追 加 一 个 “ . g a r m i n w a s t e d ” 后 缀 。 除 此 之 外 ， 勒 索 软 件 还 在 加 密 程 序 中 实 现 了 文 件 完 整 性 控 制 机 制 。 恶 意 软 件 将 会 计 算 原 始 文 件 的 M D 5 哈 希 ， 这 个 哈 希 将 用 在 解 密 程 序 中 以 确 保 解 密 的 正 确 性 。 在 这 里 ， W a s t e d L o c k e r 使 用 了 一 个 R S A 算 法 中 公 开 可 用 的 引 用 实 现 ， 即 “ r s a r e f ” 。 原 始 文 件 的 A E S 密 钥 、 I V 、 M D 5 哈 希 以 及 其 他 的 一 些 信 息 都 将 使 用 一 个 嵌 入 在 勒 索 软 件 内 部 的 R S A 公 钥 进 行 加 密 。 下 面 的 样 本 中 包 含 了 一 个 4 0 9 6 位 R S A 公 钥 ： 需 要 注 意 的 是 ， 这 种 类 型 的 加 密 机 制 针 对 所 有 的 目 标 用 户 都 使 用 了 同 一 个 R S A 公 钥 ， 这 对 于 W a s t e d L o c k e r 的 大 规 模 传 播 来 说 是 一 个 弱 点 。 此 时 ， 如 果 一 个 用 户 获 取 到 了 解 密 工 具 ， 那 么 其 中 包 含 的 R S A 私 钥 将 允 许 其 他 所 有 的 用 户 解 密 自 己 的 文 件 。 但 是 我 们 可 以 看 到 ， W a s t e d L o c k e r 主 要 针 对 的 是 特 定 的 组 织 ， 因 此 这 种 解 密 方 法 在 实 际 的 攻 击 场 景 中 并 不 适 用 。 R S A 加 密 的 结 果 将 是 B a s e 6 4 编 码 数 据 ， 并 且 会 存 储 在 一 个 后 缀 为 “ . g a r m i n w a s t e d _ i n f o ” 的 新 文 件 中 。 下 图 显 示 的 是 我 们 测 试 设 备 中 被 加 密 的 文 件 列 表 ： 下 图 显 示 的 是 我 们 测 试 设 备 中 被 加 密 的 文 件 列 表 ：
下 图 显 示 的 是 勒 索 软 件 在 目 标 设 备 上 留 下 的 勒 索 信 息 ： 下 图 显 示 的 是 勒 索 软 件 在 目 标 设 备 上 留 下 的 勒 索 信 息 ：
安 全 缓 解 措 施 安 全 缓 解 措 施 安 装 最 新 更 新 补 丁 ， 使 用 最 新 版 本 的 操 作 系 统 和 应 用 程 序 版 本 。 除 非 有 必 要 ， 请 不 要 在 互 联 网 上 开 启 R D P 访 问 ， 优 先 选 择 使 用 V P N 远 程 访 问 保 护 。 使 用 现 代 终 端 安 全 解 决 方 案 ， 这 些 解 决 方 案 需 要 支 持 行 为 检 测 、 自 动 文 件 回 滚 和 其 他 勒 索 软 件 防 护 技 术 。 加 强 组 织 内 部 的 网 络 安 全 教 育 ， 将 网 络 安 全 方 面 的 专 业 知 识 与 最 佳 实 践 教 育 技 术 和 技 术 相 结 合 。 使 用 可 靠 的 数 据 备 份 方 案 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C 2 c c 4 5 3 4 b 0 d d 0 e 1 c 8 d 5 b 8 9 6 4 4 2 7 4 a 1 0 c 1 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理