搜索

[10259] 2016-07-03_备份文件就能防勒索软件？没那么简单

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-07-03_备份文件就能防勒索软件？没那么简单 备 份 文 件 就 能 防 勒 索 软 件 ？ 没 那 么 简 单 饭 团 君   F r e e B u f   2 0 1 6 - 0 7 - 0 3   在 网 络 技 术 不 断 发 展 的 同 时 ， 在 网 络 技 术 不 断 发 展 的 同 时 ， 一 系 列 的 网 络 恶 意 软 件 也 在 不 断 衍 生 。 勒 索 软 件 是 黑 客 用 来 劫 持 用 户 资 产 或 资 源 并 以 此 为 条 件 向 用 户 勒 索 钱 财 的 一 种 恶 意 一 系 列 的 网 络 恶 意 软 件 也 在 不 断 衍 生 。 勒 索 软 件 是 黑 客 用 来 劫 持 用 户 资 产 或 资 源 并 以 此 为 条 件 向 用 户 勒 索 钱 财 的 一 种 恶 意 软 件 。 最 近 非 常 火 热 的 软 件 。 最 近 非 常 火 热 的 C r y p t X X X 又 有 了 变 种 ， 新 版 又 有 了 变 种 ， 新 版 C r y p t X X X 变 得 更 加 凶 悍 了 。 变 得 更 加 凶 悍 了 。 暂 时 无 解 暂 时 无 解 新 版 C r y p t X X X 勒 索 软 件 不 仅 能 够 加 密 目 标 用 户 电 脑 和 网 络 上 的 所 有 文 件 ， 用 户 还 还 无 法 用 数 据 备 份 来 恢 复 文 件 — — 这 是 新 版 C r y p t X X X 的 重 要 功 能 升 级 之 一 。 卡 巴 斯 基 实 验 室 的 安 全 研 究 人 员 一 直 都 在 与 C r y p t X X X 作 斗 争 ： 先 前 研 究 人 员 曾 发 布 过 一 个 解 密 工 具 ， 受 害 者 不 需 要 支 付 赎 金 就 能 恢 复 自 己 的 文 件 ； 要 是 没 有 解 密 工 具 的 话 ， 受 害 者 至 少 需 要 支 付 5 0 0 美 元 才 能 解 密 文 件 。 C r y p t X X X 的 开 发 者 发 现 卡 巴 斯 基 的 这 一 举 动 后 ， 也 开 始 调 整 程 序 代 码 使 得 破 解 过 程 变 成 更 加 困 难 。 最 近 开 发 者 就 发 布 了 一 个 新 版 本 的 C r y p t X X X 。 安 全 公 司 S e n t i n e l O n e 本 周 一 的 一 篇 博 客 中 提 到 ， 在 6 月 4 日 - 6 月 2 1 日 之 间 ， 新 版 本 的 赎 金 总 数 已 经 达 到 4 5 2 2 8 美 元 ， 当 然 这 不 包 括 前 面 版 本 的 收 入 。 实 际 早 在 5 月 2 1 日 的 时 候 ， C r y p t X X X 的 开 发 者 就 将 该 恶 意 软 件 的 代 码 更 新 至 3 . 0 版 本 。 此 次 更 新 的 目 的 就 是 为 了 防 止 卡 巴 斯 基 推 出 的 R a n n o h D e c r y p t o r 解 密 程 序 ， 免 费 解 锁 被 加 密 的 文 件 。 新 版 本 C r y p t X X X 仍 旧 支 持 对 单 个 文 件 进 行 加 密 ， 不 过 文 件 尺 寸 限 定 在 5 1 2 K B 。 新 版 本 的 主 要 改 进 在 于 破 解 难 度 加 大 了 不 少 。 其 他 改 进 还 包 括 ， 相 较 之 前 . c r y p z 和 . c r y p t 后 缀 ， 新 版 C r y p t X X X 生 成 加 密 文 件 的 后 缀 统 一 为 . c r y p t 1 ； 还 有 就 是 前 面 提 到 的 ， 针 对 系 统 s h a d o w   v o l u m e 卷 备 份 的 删 除 ， 防 止 数 据 可 从 备 份 恢 复 。 另 外 ， 其 传 播 是 通 过 垃 圾 邮 件 进 行 的 ， 但 S e n t i n e l O n e 表 示 ， 黑 客 可 能 还 用 到 了 其 他 传 播 途 经 。 新 版 新 版 C r y p t X X X 分 析 分 析 查 看 恶 意 D L L 文 件 属 性 ， 发 现 它 的 文 件 属 性 细 节 其 实 来 自 某 个 名 为 _ B i g B a n g . d l l 的 合 法 文 件 ， 两 者 的 细 节 信 息 基 本 上 是 一 样 的 。 其 实 从 这 样 的 文 件 细 节 信 息 ， 根 本 看 不 出 什 么 异 样 ， 令 其 看 起 来 就 像 一 般 程 序 。 先 前 的 C r y p t X X X 样 本 还 会 伪 装 成 微 软 的 合 法 D L L 文 件 。 从 u n p a c k e r 的 i m p o r t s 来 看 ， 绝 大 部 分 内 容 也 好 像 问 题 不 大 ， 偶 尔 有 一 些 跟 c r y p t o 加 密 相 关 的 词 汇 出 现 。 从 i m p o r t s 和 e x p o r t s 列 表 的 情 况 来 看 ， 很 多 函 数 是 相 关 图 像 处 理 的 （ 和 上 面 提 到 合 法 的 _ B i g B a n g . d l l 肯 定 是 完 全 不 一 样 了 ） ， 似 乎 并 没 有 什 么 卵 用 ， 这 些 应 该 是 用 来 妨 碍 分 析 的 。      
U n p a c k 过 程 是 通 过 V i r t u a l A l l o c 为 加 密 p a y l o a d 分 配 内 存 ， 然 后 复 制 加 密 字 节 。 随 后 p a y l o a d 解 密 ， 但 仍 旧 是 压 缩 过 的 。       根 据 上 一 版 本 的 经 验 在 这 里 可 以 寻 找 “ M Z ” 头 ， 但 却 找 到 了 “ M 8 Z P 8 ” 以 及 一 部 分 可 读 的 字 符 串 “ T h i s   ?   p r o g r 3 a m … ” ， 其 实 这 对 W i n d o w s 可 执 行 文 件 而 言 是 很 正 常 的 。 M 8 Z P 8 头 与 a P L i B 压 缩 P E 文 件 相 符 。 首 先 d u m p 包 含 压 缩 p a y l o a d 的 内 存 片 段 ， 修 剪 n u l l 字 节 ， 用 上 述 P y t h o n 脚 本 成 功 解 压 。 得 到 的 文 件 再 用 I D A 进 行 分 析 ， 实 际 上 并 不 完 整 ， 而 且 也 不 包 含 有 效 的 导 入 表 （ i m p o r t   t a b l e ） 。 p a y l o a d 解 密 之 后 ， u n p a c k e r 创 建 文 件 C : P R O G R A ~ 2 Z   ( c : P r o g r a m D a t a Z ) ， 该 文 件 会 通 过 k e r n e l 3 2 . G e t F i l e T y p e 来 核 查 ， 检 查 是 否 为 F I L E _ T Y P E _ C H A R 。 如 果 是 的 话 ， 在 不 执 行 恶 意 p a y l o a d 的 情 况 下 ， 代 码 结 束 。 随 后 ， 当 前 时 间 、 文 件 名 ， 外 加 r n ， 写 入 到 Z 文 件 中 。 像 下 面 这 样 ： 这 些 字 符 串 写 入 文 件 后 不 久 ， 这 个 文 件 就 会 被 删 除 。 不 清 楚 为 什 么 要 这 么 做 ， 可 能 是 用 来 干 扰 分 析 过 程 的 。 然 后 u n p a k e r 通 过 查 询 注 册 表 来 确 认 S t a r t u p 的 位 置 ， 这 个 位 置 的 作 用 其 实 很 明 确 ， U n p a c k 代 码 会 在 里 面 放 入 H T M L 勒 索 信 ， 这 也 算 是 勒 索 过 程 的 重 点 嘛 。 从 分 析 的 样 本 来 看 ， 是 从 某 个 . I n k 快 捷 方 式 执 行 ， 该 快 捷 方 式 指 向 r u n d l l 3 2 . e x e   F 0 F 3 . t m p . d l l , M S X 3 。 此 处 ， 后 面 的 , M S X 3 是 个 附 加 参 数 ， 这 句 命 令 就 是 加 载 F 0 F 3 . t m p . d l l ， 随 后 执 行 M S X 3 函 数 。 实 际 上 u n p a c k e r 里 面 并 不 存 在 M S X 3 函 数 ， 所 以 应 该 是 p a y l o a d 的 一 部 分 。 所 以 也 就 很 有 可 能 是 通 过 调 用 V i r t u a l P r o t e c t 来 转 储 u n p a c k 过 后 的 p a y l o a d 。 既 然 需 要 确 认 M S X 3 函 数 的 地 址 ， 我 就 在 G e t P r o c A d d r e s s 建 立 一 个 断 点 。 取 回 M S X 3 的 地 址 之 后 ， 执 行 跳 往 该 地 址 ， 文 件 加 密 、 勒 索 行 为 也 就 开 始 了 。 似 乎 p a y l o a d 使 用 D e l p h i 编 译 的 ， 通 过 如 下 信 息 可 知 。 从 下 面 这 个 列 表 来 看 ， 部 分 i m p o r t s 似 乎 还 用 到 了 D N S 、 P O P 3 以 及 S M T P 协 议 。 不 过 这 些 函 数 相 较 M S X 3 ， 应 该 是 通 过 不 同 的 入 口 点 来 调 用 的 。 最 终 ， 被 勒 索 软 件 锁 定 的 文 件 使 用 R S A 和 R C 4 混 合 加 密 ， 加 密 之 后 的 文 件 扩 展 名 为 . c r y p 1 ， 之 前 版 本 的 扩 展 名 为 . c r y p t 。 如 前 面 提 到 的 ， 前 一 版 本 可 以 通 过 解 密 工 具 进 行 解 密 ， 但 是 新 版 本 就 无 法 实 现 了 。 被 加 密 过 的 文 件 所 在 的 每 个 文 件 夹 里 面 都 会 有 勒 索 信 。 其 中 一 封 是 文 本 文 件 ， 另 一 封 就 是 H T M L 格 式 了 。 如 前 文 提 到 的 新 版 C r y p t X X X 加 入 的 新 特 性 ： 文 件 完 成 加 密 后 ， 磁 盘 上 所 有 的 备 份 文 件 都 会 被 删 除 ， 防 止 用 户 用 文 件 恢 复 这 一 招 。 显 示 在 屏 幕 上 的 勒 索 信 息 是 这 个 样 子 的 ： 为 了 进 一 步 警 告 用 户 问 题 的 严 重 性 ， C r y p t X X X 还 会 在 路 径 下 ， 创 建 < R A N S O M   I D > . h t m l 以 及 < R A N S O M   I D > . b m p 两 个 文 件 。 其 实 也 是 勒 索 信 ， 不 过 跟 前 面 提 到 的 略 有 不 同 ， 重 启 计 算 机 之 后 就 会 出 现 ： 点 击 进 入 支 付 页 面 ， 页 面 会 让 受 害 者 填 写 相 应 信 息 ， 就 是 勒 索 软 件 分 配 的 I D ： 用 这 个 I D 登 录 之 后 ， 就 会 显 示 如 下 页 面 ： 如 果 受 害 者 都 没 听 过 比 特 币 ， 或 者 不 会 用 比 特 币 支 付 ， 那 么 也 不 要 紧 ， 下 面 这 个 页 面 会 教 你 怎 么 做 的 。 为 了 证 明 他 们 的 确 能 够 提 供 解 密 服 务 ， 下 面 这 个 页 面 主 要 是 供 受 害 者 进 行 解 密 服 务 的 试 用 （ 服 务 很 贴 心 ） ， 但 这 个 所 谓 的 试 用 服 务 ， 解 密 文 件 的 大 小 限 定 在 5 1 2 K B 之 内 。 防 止 恶 意 勒 索 软 件 建 议 防 止 恶 意 勒 索 软 件 建 议 其 实 要 避 免 勒 索 软 件 感 染 ， 就 如 同 避 免 其 他 恶 意 软 件 一 样 。 保 持 W i n d o w s   和 浏 览 器 相 关 的 组 件 ( J a v a ,   A d o b e 等 ) 获 得 最 新 的 更 新 。 此 外 ， 也 要 保 持 浏 览 器 干 净 ， 注 意 预 防 能 导 致 恶 意 感 染 的 广 告 软 件 的 侵 入 ， 还 有 不 轻 易 打 开 来 源 不 明 的 邮 件 附 件 。 这 次 新 版 的 C r y p t X X X 具 备 删 除 磁 盘 s h a d o w   v o l u m e 备 份 文 件 的 能 力 ， 那 么 其 实 也 可 以 考 虑 将 重 要 的 文 件 备 份 到 其 他 位 置 。 < 文 中 详 细 代 码 请 点 击 最 下 方 阅 读 原 文 > * 参 考 来 源 ： 参 考 来 源 ： a r s t e c h n i c a 、 、 s e n t i n e l o n e ， 饭 团 君 编 译 ， 转 载 请 注 明 来 自 ， 饭 团 君 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） C : U s e r s < u s e r n a m e > A p p D a t a R o a m i n g M I C R O S ~ 1 W i n d o w s S T A R T M ~ 1 P r o g r a m s S t a r t u p
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理