搜索

[10440] 2016-08-28_初步分析勒索软件ZEPTO

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-08-28_初步分析勒索软件ZEPTO 初 步 分 析 勒 索 软 件 Z E P T O l a n g y a j i e k o u   F r e e B u f   2 0 1 6 - 0 8 - 2 8 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： l a n g y a j i e k o u ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 段 时 间 突 然 收 到 一 个 客 户 的 电 话 ， 报 告 说 她 的 电 脑 出 了 问 题 ， 所 有 文 件 都 无 法 打 开 了 ， 据 她 们 自 己 的 前 段 时 间 突 然 收 到 一 个 客 户 的 电 话 ， 报 告 说 她 的 电 脑 出 了 问 题 ， 所 有 文 件 都 无 法 打 开 了 ， 据 她 们 自 己 的 I T 人 员 发 现 所 有 文 人 员 发 现 所 有 文 件 都 多 了 一 个 件 都 多 了 一 个 . z e p t o 的 扩 展 名 。 的 扩 展 名 。 我 当 时 一 听 到 就 咯 噔 一 声 ， 糟 了 ， 中 勒 索 软 件 了 ， z e p t o 是 个 新 的 变 种 ， 隶 属 于 L o c k y 家 族 。 说 实 话 ， 最 怕 听 到 有 客 户 机 器 感 染 此 类 勒 索 软 件 ， 基 本 没 有 办 法 可 以 修 复 ， 如 果 数 据 非 常 重 要 ， 而 又 没 有 恰 当 的 备 份 ， 简 直 就 是 灾 难 级 别 的 事 故 。 没 有 办 法 ， 只 好 放 下 手 中 的 工 作 立 即 赶 过 去 协 助 处 理 。 一 边 赶 路 ， 一 边 通 知 客 户 立 即 断 网 ， 关 机 ， 虽 然 目 前 看 来 ， 所 有 的 勒 索 软 件 暂 时 没 有 拥 有 蠕 虫 病 毒 的 特 性 ， 但 是 不 怕 一 万 就 怕 万 一 ， 万 一 这 个 新 的 变 种 拥 有 了 自 我 复 制 到 其 他 机 器 的 话 那 就 大 麻 烦 了 ， 所 以 第 一 时 间 断 网 处 理 ， 至 于 关 机 ， 也 是 很 有 必 要 的 ， 最 大 可 能 减 少 磁 盘 的 读 写 ， 以 及 对 磁 盘 扇 区 的 覆 盖 （ 然 并 卵 ） 。 同 时 ， 也 打 开 度 娘 搜 搜 相 关 资 料 ， 可 惜 度 娘 一 如 既 往 的 给 力 ， 这 命 中 率 也 是 感 人 。
好 吧 ， 使 用 “ z e p t o   勒 索 ” 才 返 回 了 一 些 关 联 结 果 ， 不 过 大 都 是 无 用 的 求 救 信 息 ， 参 考 参 考 咯 。 赶 到 客 户 那 里 后 ， 了 解 了 一 下 情 况 ， 用 户 使 用 O u t l o o k 收 到 了 一 些 邮 件 ， 有 些 是 i n v o i c e ， 那 么 很 明 显 的 应 该 是 其 中 某 封 发 票 的 邮 件 有 问 题 。 指 导 用 户 登 录 W e b m a i l 后 ， 简 短 的 进 行 了 一 些 搜 查 ， 果 然 看 到 了 一 封 可 疑 邮 件 ， 附 件 是 i n v o i c e . z i p ， 打 开 i n v o i c e . z i p 一 看 是 一 封 i n v o i c e . p d f 文 件 ， 熟 悉 的 P D F 图 标 非 常 可 爱 。 查 看 用 户 文 件 夹 属 性 ， 发 现 “ 隐 藏 已 知 类 型 文 件 ” 选 项 是 启 用 的 ， 取 消 后 ， 发 现 i n v o i c e . p d f 多 了 个 w s f 的 尾 巴 。 好 吧 ， 应 该 就 是 它 了 。 Z e p t o 勒 索 软 件 沿 用 了 它 的 先 辈 L o c k y 家 族 的 血 统 ， 使 用 了 R S A - 2 0 4 8 非 对 称 加 密 算 法 ， 加 密 后 添 加 . z e p t o 到 所 属 文 件 并 改 名 成 如 下 格 式 。 生 成 _ H E L P _ i n s t r u c t i o n s . h t m l 文 件 修 改 重 置 你 的 桌 面 为 勒 索 付 款 通 知 背 景 并 打 开 图 像 阅 读 器 显 示 勒 索 通 知 。 拿 到 W S F 样 本 后 ， 使 用 记 事 本 打 开 ， J S 脚 本 已 经 被 加 密 ，
尝 试 使 用 几 种 d e c o d e 解 密 失 败 后 ， 费 事 麻 烦 ， 直 接 祭 出 加 料 的 V i r t u a l B o x ， 这 里 并 没 有 使 用 V m w a r e ， 主 要 是 L o k c y 家 族 使 用 了 R D T S C 反 虚 拟 机 技 术 ， 而 这 种 技 术 对 V m w a r e 的 杀 伤 力 太 大 了 ， 基 本 百 发 百 中 ， 而 V i r t u a l B o x 相 对 应 而 言 稍 微 好 了 一 点 点 。 R D T S C 反 虚 拟 技 术 通 过 运 行 一 段 特 定 代 码 ， 然 后 比 较 这 段 代 码 在 虚 拟 机 和 真 实 主 机 之 中 的 相 对 运 行 时 间 ， 以 此 来 判 断 是 否 处 于 虚 拟 机 之 中 。 这 段 代 码 我 们 可 以 通 过 R D T S C 指 令 来 实 现 ， R D T S C 指 令 是 用 于 将 计 算 机 启 动 以 来 的 C P U 运 行 周 期 数 存 放 到 E D X ： E A X 里 面 ， 其 中 E D X 是 高 位 ， 而 E A X 是 低 位 。 下 面 我 们 以 x c h g         e c x ,     e a x   一 句 指 令 的 运 行 时 间 为 例 ， 这 段 指 令 在 我 的 真 实 主 机 w i n d o w s   7 系 统 上 的 运 行 时 间 为 0 0 0 0 0 0 1 E ， 如 图 6 所 示 ：   图 6 而 该 指 令 在 虚 拟 机 W i n X P 下 的 运 行 时 间 为 0 0 0 0 0 4 4 2 ， 如 图 7 所 示 ：   图 7 两 者 之 间 的 运 行 时 间 明 显 差 别 很 多 ， 在 虚 拟 机 中 的 运 行 速 度 远 不 如 真 实 主 机 的 ， 一 般 情 况 下 ， 当 它 的 运 行 时 间 大 于 0 x F F 时 ， 就 可 以 确 定 它 处 于 虚 拟 机 之 中 了 ， 因 此 不 难 写 出 检 测 程 序 ， 具 体 实 现 代 码 可 以 参 考 C S D N 文 章 ： 测 试 结 果 如 图 8 所 示 ：   图 8 具 体 文 章 可 以 参 考 ： 虚 拟 机 检 测 技 术 攻 防 ( h t t p : / / b l o g . c s d n . n e t / w h a t d a y / a r t i c l e / d e t a i l s / 1 0 3 9 3 3 2 5 ) 下 一 步 我 们 需 要 在 虚 拟 机 中 加 载 W S F 文 件 ， 因 为 之 前 的 W S F 文 件 没 有 解 码 ， 所 以 我 们 需 要 祭 起 三 面 大 旗 ， 一 面 是 P r o c M o n ， 一 面 是 P r o c e s s E x p l o r e r ， 还 有 一 面 是 W i r e S h a r k 。
载 入 W S F 文 件 不 久 后 ， P r o c e s s   M o n i t o r 中 就 可 以 看 到 W S F 文 件 下 载 p a y l o a d 并 创 建 新 的 进 程 执 行 该 程 序 。 当 下 载 的 P a y l o a d 进 程 创 建 开 始 执 行 后 ， 立 即 在 P r o c e s s E x p l o r e r 中 S u s p e n d 掉 它 ， 然 后 我 们 就 可 以 悠 哉 游 哉 的 进 行 下 一 步 分 析 了 。 习 惯 的 第 一 时 间 上 传 到 V i r u s T o t a l 查 看 结 果 ， 我 们 大 3 6 0 霍 霍 在 列 ， 扫 不 到 的 那 种 。 。 。 而 “ 卡 巴 卡 巴 死 机 死 机 ” 确 实 还 是 比 较 给 力 。 既 然 如 此 ， 只 能 自 己 再 看 看 了 。 去 到 W i r e S h a r k ， 轻 松 看 到 G E T 方 法 取 P a y l o a d ， I P 地 址 也 轻 松 得 到 了 。
翻 回 之 前 打 开 的 W S F 文 件 ， 可 以 看 到 文 件 尾 端 有 三 个 H T T P 地 址 ， 在 W S F 尝 试 联 系 三 个 服 务 器 后 ， 下 载 了 真 正 的 病 毒 文 件 并 加 载 执 行 。 为 了 追 溯 该 病 毒 执 行 过 程 ， 我 们 回 到 P r o c e s s E x p l o r e r ， 然 后 R e s u m e 该 进 程 ， 我 们 接 下 来 就 可 以 看 到 该 病 毒 调 用 了 V S S 组 件 ， 对 系 统 中 的 V S S 备 份 进 行 删 除 。 该 病 毒 做 完 了 坏 坏 的 动 作 后 ， 开 始 执 行 大 扫 荡 计 划 ，
然 后 开 始 做 羞 羞 人 的 动 作 做 完 后 果 断 记 得 留 点 种 ， 这 点 啥 不 得 了 啊 ， 4 个 比 特 币 ， 按 照 现 在 牌 价 ， 小 2 0 0 0 0 块 了 ， 啧 啧 ， 真 贵 ， 跟 台 湾 女 神 有 得 一 拼 了 。 检 查 检 查 数 据 流 ， P O S T 方 法 出 来 了 ， P H P 的 ， 这 是 要 用 菜 刀 的 赶 脚 吗 ？ 可 惜 也 是 加 密 的 ， 据 目 测 数 据 上 传 量 不 大 ， 所 以 暂 时 不 考 虑 数 据 泄 密 问 题 。
通 过 这 次 有 组 织 ， 有 计 划 的 行 动 后 ， 该 病 毒 果 断 的 自 杀 了 ， 还 留 下 了 一 封 遗 书 。 总 结 ： 总 结 ： 简 单 的 列 下 该 勒 索 软 件 所 用 到 的 C & C 地 址 ， 有 兴 趣 的 朋 友 可 以 去 1 8 5 . 1 2 9 . 1 4 8 . 1 9 看 看 能 挖 多 少 东 西 出 来 。 后 记 ： 后 记 ： 怎 么 防 范 勒 索 软 件 已 经 有 很 多 人 说 了 很 多 次 了 ， 这 里 就 不 再 赘 叙 了 ， 不 过 还 是 简 单 提 下 ： 1 .       使 用 组 策 略 禁 用 压 缩 包 中 的 e x e ， v b s ， j s ， w s f ， b a t ， c m d 等 文 件 的 直 接 执 行
2 .       如 果 有 条 件 ， 可 以 同 样 禁 止 % T E M P % * . e x e 和 % A P P D A T A % * . e x e 的 调 用 执 行 ， 关 這 条 就 可 以 干 掉 非 常 多 的 病 毒 了 ， 不 过 执 行 须 谨 慎 ， 有 可 能 会 阻 止 正 规 程 序 的 运 行 。 3 .       任 何 时 候 都 不 要 轻 易 直 接 双 击 运 行 附 件 中 的 文 件 ， 尤 其 是 奇 怪 内 容 的 邮 件 4 .       针 对 企 业 用 户 ， 启 用 V S S 并 降 权 限 至 ” P o w e r   U s e r ” ， 因 为 ” P o w e r   U s e r ” 在 病 毒 执 行 后 无 权 限 去 执 行 V S S   A d m i n 的 动 作 ， 这 样 就 可 以 在 文 件 被 删 除 后 能 有 恢 复 的 机 会 5 .       针 对 企 业 用 户 ， 尽 量 养 成 使 用 文 件 服 务 器 或 者 云 服 务 器 中 的 习 惯 ， 而 不 要 把 文 件 保 存 在 本 地 ， 毕 竟 正 规 企 业 一 般 都 有 文 件 备 份 服 务 注 ： 对 于 使 用 S y m a n t e c   E n d   P o i n t 的 用 户 暂 时 不 用 担 心 这 个 病 毒 了 ， 只 要 你 的 病 毒 库 升 级 到 了 1 5 t h A u g   R 1 8 就 可 以 了 ， 其 他 大 部 分 杀 毒 软 件 均 可 以 检 测 到 该 病 毒 了 。 * 本 文 原 创 作 者 ： l a n g y a j i e k o u ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理