搜索

[10529] 2016-09-22_伴着WSF重新杀回的Zepto勒索软件，它都对文档都做了什么

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-09-22_伴着WSF重新杀回的Zepto勒索软件，它都对文档都做了什么 伴 着 W S F 重 新 杀 回 的 Z e p t o 勒 索 软 件 ， 它 都 对 文 档 都 做 了 什 么 降 草   F r e e B u f   2 0 1 6 - 0 9 - 2 2 *   本 文 原 创 作 者 ： 降 草 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 随 着 安 全 软 件 查 杀 技 术 的 进 步 ， 安 全 软 件 对 随 着 安 全 软 件 查 杀 技 术 的 进 步 ， 安 全 软 件 对 P E 文 件 的 查 杀 检 测 能 力 已 是 特 征 码 时 代 的 查 杀 方 法 难 以 望 其 项 背 。 而 非 文 件 的 查 杀 检 测 能 力 已 是 特 征 码 时 代 的 查 杀 方 法 难 以 望 其 项 背 。 而 非 P E 文 件 文 件 有 着 天 生 的 躲 避 白 名 单 的 基 因 ， 这 就 使 得 越 来 越 多 的 恶 意 有 着 天 生 的 躲 避 白 名 单 的 基 因 ， 这 就 使 得 越 来 越 多 的 恶 意 P E 采 用 采 用 “ 曲 线 救 国 曲 线 救 国 ” — — 使 用 非 使 用 非 P E 来 进 行 加 载 执 行 。 来 进 行 加 载 执 行 。 本 文 分 析 的 就 是 通 过 本 文 分 析 的 就 是 通 过 w s f 脚 本 下 载 勒 索 软 件 后 加 载 执 行 ， 以 实 现 加 密 用 户 文 件 勒 索 比 特 比 的 目 的 。 脚 本 下 载 勒 索 软 件 后 加 载 执 行 ， 以 实 现 加 密 用 户 文 件 勒 索 比 特 比 的 目 的 。 文 本 所 分 析 的 样 本 及 分 析 时 的 i d b 文 件 下 载 地 址 ： 链 接 ： h t t p : / / p a n . b a i d u . c o m / s / 1 d F 5 c l Y L   密 码 ： 2 r 7 b w s f 是 W i n d o w s S c r i p t   F i l e 的 缩 写 ， 是 一 种 w i n d o w s 脚 本 文 件 ， 这 种 脚 本 可 以 包 含 多 种 不 同 脚 本 语 言 。 只 需 在 标 签 中 指 明 该 段 程 序 是 用 何 种 语 言 编 写 的 ， 就 可 以 同 时 包 含 . v b s 和 . j s 脚 本 等 内 容 。 一 ． 对 脚 本 的 调 试 一 ． 对 脚 本 的 调 试 样 本 脚 本 是 个 下 载 者 ， 主 要 功 能 是 从 四 个 指 定 的 网 址 中 下 载 d l l 文 件 ， 随 后 通 过 r u n d l l 3 2 . e x e 来 调 用 d l l 文 件 的 q w e r t y 导 出 函 数 。 1 .       静 态 分 析 脚 本 为 了 躲 避 分 析 ， 进 行 了 混 淆 。 混 淆 的 手 段 包 括 变 量 名 混 淆 ( 变 量 名 使 用 很 长 的 无 意 义 的 字 符 ) ， 加 入 无 用 字 符 ， 等 义 语 句 替 换 等 。 对 于 这 个 脚 本 ， 通 过 观 察 可 以 知 道 ， 脚 本 中 的 所 有 的 变 量 名 都 加 了 “ w e d o n t c a r e r o y a l s ” 前 缀 ， 可 以 通 过 全 局 删 除 掉 “ w e d o n t c a r e r o y a l s ” 使 脚 本 看 起 来 更 直 观 。 但 即 使 这 样 ， 由 于 这 个 脚 本 代 码 众 多 而 且 代 码 中 各 式 各 样 的 字 符 串 处 理 函 数 ， 使 得 无 法 一 目 了 然 的 看 出 脚 本 功 能 。 对 于 这 种 功 能 较 复 杂 ， 各 种 字 符 转 换 函 数 的 脚 本 最 好 的 方 法 还 是 进 行 动 态 调 试 。 2 .       动 态 调 试 动 态 调 试 常 用 的 有 两 种 方 法 ， 一 是 在 需 要 的 地 方 通 过 打 印 显 示 出 想 要 的 信 息 ， 二 是 通 过 单 步 跟 踪 的 方 式 进 行 调 试 。 2 . 1   对 于 w s f 脚 本 ， 可 以 使 用 W S c r i p t . E c h o 命 令 进 行 打 印 如 在 脚 本 第 2 9 1 处 添 加 下 面 代 码 ， 就 可 以 打 印 出 脚 本 联 网 下 载 样 本 的 地 址 W S c r i p t . E c h o ( w e d o n t c a r e r o y a l s F A N C Y H O R D A 6 ) ; 运 行 样 本 后 ， 可 以 看 到 弹 窗 中 显 示 了 样 本 下 载 d l l 的 网 址 为 ：
2 . 2   单 步 跟 踪 类 似 于 我 们 平 时 使 用 O L L Y D B G 调 试 P E 文 件 ， 我 们 也 可 以 使 用 v s 2 0 0 8 动 态 调 试 w s f 脚 本 ， 调 试 的 命 令 为 c s c r i p t . e x e ， 脚 本 路 径   / / X 运 行 命 令 后 会 显 示 下 面 的 界 面 ， 选 择 调 试 器 后 就 可 以 用 指 定 的 调 试 器 调 试 脚 本 。 同 样 通 过 下 断 点 也 可 以 调 试 到 联 网 下 载 文 件 的 代 码 。 下 载 文 件 后 ， 会 判 断 下 载 下 来 的 文 件 是 不 是 P E 文 件 , 其 中 A S C I I 值 7 7 代 表 是 M ， A S C I I 值 9 0 代 表 是 Z , 如 果 是 P E 文 件 ， 加 上 . d l l 后 缀 调 用 r u n d l l 3 2 . e x e 加 载 q w e r t y 函 数   D o J V m k 2 . d l l 二 ． 对 勒 索 软 件 的 分 析 二 ． 对 勒 索 软 件 的 分 析 将 链 接 中 的 文 件 下 载 后 ， 发 现 该 文 件 是 个 勒 索 软 件 ， 运 行 后 的 效 果 如 下 ：
在 每 个 加 密 过 的 文 件 夹 下 ， 都 会 有 一 个 h t m l 文 件 向 受 害 者 显 示 勒 索 信 息 主 要 代 码 功 能 分 析 ： 主 要 代 码 功 能 分 析 ： 勒 索 软 件 会 遍 历 系 统 上 的 文 件 夹 ( 包 括 共 享 目 录 ) ， 计 算 文 件 的 加 密 优 先 级 ， 根 据 优 先 级 决 定 加 密 文 件 的 先 后 顺 序 ， 这 主 要 是 为 了 用 最 少 的 时 间 最 大 程 序 的 破 坏 用 户 最 重 要 的 文 件 。 同 时 软 件 还 有 删 除 备 份 镜 像 ， 回 传 用 户 信 息 等 功 能 。 1 . 遍 历 指 定 扩 展 名 的 文 件 遍 历 指 定 扩 展 名 的 文 件 勒 索 软 件 为 了 加 快 遍 历 速 度 ， 对 每 个 盘 符 开 启 一 个 线 程 ， 进 行 文 件 遍 历 ： 遍 历 时 也 会 遍 历 共 享 目 录 ， 对 共 享 文 件 下 的 文 件 内 容 也 会 加 密
同 时 ， 为 了 防 止 加 密 系 统 软 件 导 致 系 统 无 法 启 动 ， 勒 索 软 件 会 排 除 掉 文 件 名 中 带 有 以 下 字 符 的 文 件 ： 2 .   加 密 优 先 级 算 法 加 密 优 先 级 算 法 勒 索 软 件 会 对 根 据 文 件 的 扩 展 名 和 文 件 大 小 决 定 文 件 的 加 密 顺 序 ， 对 遍 历 到 的 文 件 进 行 优 先 级 打 分 ， 分 值 最 高 的 优 先 加 密 。 打 分 算 法 ： 1 .   不 同 扩 展 名 ， 对 应 不 同 的 基 础 分 ， 基 础 分 可 以 为 正 数 也 可 以 为 负 数 。 基 础 分 最 高 分 为 7 分 ， 为 . k e y 扩 展 名 。 最 低 分 为 - 1 5 分 ， 最 低 分 针 对 主 要 视 频 音 频 类 文 件 格 式 。 2 .   根 据 文 件 体 积 大 小 ， 在 基 础 分 的 基 础 上 进 行 相 应 的 减 分 ， 而 且 是 累 积 减 分 。 大 于 1 M ， - 5 分 大 于 1 0 M , - 1 0 分 大 于 1 0 0 M , - 1 0 分
大 于 1 G , - 1 0 分 假 设 一 个 大 小 大 于 1 G 的 a . c s r 文 件 ， 根 据 算 法 计 算 分 数 的 过 程 为 为 ： . c s r 对 应 的 基 础 分 为 6 分 ， 因 为 文 件 大 小 大 于 1 G ， 则 要 减 的 分 数 为 5 + 1 0 + 1 0 + 1 0 = 3 5 , 最 终 得 分 为 6 - 3 5 = - 2 9 分 ， 这 个 分 数 在 整 体 的 文 件 系 统 中 只 能 算 是 “ 差 生 ” 水 平 ， 在 加 密 文 件 过 程 中 ， 也 会 相 应 的 “ 优 后 ” 加 密 。 3 .   加 密 后 文 件 内 容 组 成 加 密 后 文 件 内 容 组 成 加 密 后 文 件 的 内 容 由 两 部 分 组 成 第 一 部 分 为 ： 使 用 A E S 算 法 对 原 始 文 件 内 容 加 密 第 二 部 分 为 ： 解 密 块 内 容 。 通 过 逆 向 ， 得 到 解 密 块 数 据 结 构 的 生 成 算 法 为 ： 1 ）       生 成 随 机 的 1 6 字 节 的 A E S 密 钥 ( 也 称 为 A E S _ K E Y ) 2 ）       申 请 空 间 ， 写 入 下 面 三 部 分 内 容 ： 1 .         写 入 m a g i c 1 ： 9 3   F E   5 6   8 9 ( 内 存 顺 序 ) ， 在 m a g i c 1 后 面 写 入 1 6 字 节 的 用 户 I D ， 2 .         随 后 留 出 0 × 1 0 0 大 小 的 空 间 ( 在 后 面 填 充 数 据 使 用 ) , 3 .         写 入 m a g i c 2 ： 2 A   A 1   1 B   D 4 ( 内 存 顺 序 ) ， 在 m a g i c 2 后 面 写 入 当 前 文 件 名 。 3 ）       使 用 R S A 算 法 加 密 1 ） 中 生 成 A E S _ K E Y ， 并 将 加 密 结 果 替 换 2 ) 中 第 二 部 分 留 空 的 0 × 1 0 0 大 小 的 空 间 中 4 ）       使 用 A E S 加 密 2 ) 中 的 第 三 部 分 数 据 并 替 换 之 通 过 上 面 步 骤 最 终 生 成 的 解 密 块 内 容 为 ：
m a g i c 1   +   用 户 I D +   R S A ( A E S _ K E Y )   +   A E S ( m a g i c 2 + f i l e n a m e ) 在 调 试 的 过 程 中 ， 得 到 的 其 中 一 个 解 密 块 的 内 容 如 下 图 : 其 中 红 色 框 为 ： M A G I C 1 黄 色 框 为 ： 用 户 I D 选 中 内 容 为 ： R S A ( A E S _ K E Y ) 青 色 框 内 为 ： A E S ( M A G I C 2 + f i l e n a m e ) 在 计 算 上 面 的 加 密 块 算 法 中 和 R S A 公 钥 保 存 在 程 序 中 ， 在 运 行 过 程 中 ， 导 入 公 钥 ， 用 于 加 密 生 成 的 随 机 的 A E S 密 钥 ， 导 入 R S A 公 钥 的 过 程 及 所 使 用 的 R S A 公 钥 如 下 ：
使 用 的 A E S _ K E Y ， 为 随 机 生 成 : 使 用 R S A 公 钥 加 密 A E S _ K E Y 在 此 调 用 A E S 算 法 时 ， 勒 索 软 件 为 了 达 到 最 大 运 行 速 度 ， 会 判 断 C P U 是 否 支 持 一 些 列 用 于 处 理 A E S 加 密 和 解 密 的 指 令 。 那 么 如 何 判 断 C P U 是 否 支 持 A E S 加 密 与 解 密 的 指 令 的 呢     答 案 是 C P U I D 函 数 ：
如 果 c p u 支 持 A E S 指 令 ， 可 以 看 到 调 用 a e s k e y g e n a s s i s t 指 令 使 用 A E S 算 法 加 密 m a g i c 2 + f i l e n a m e : 使 用 A E S 算 法 加 密 原 始 文 件 内 容 ： 4 .   可 以 预 见 的 解 密 的 过 程 可 以 预 见 的 解 密 的 过 程 当 勒 索 者 收 到 赎 金 后 ， 会 提 供 给 受 害 者 R S A 的 私 钥 ， 对 于 加 密 过 的 文 件 ， 通 过 定 位 每 个 文 件 解 密 块 的 R S A ( A E S _ K E Y ) 部 分 ， 通 过 R S A 私 钥 解 密 出 A E S _ K E Y ， 有 了 A E S _ K E Y ， 就 可 以 解 密 结 构 的 后 面 部 分 得 到 文 件 的 原 始 文 件 名 ， 解 密 文 件 的 前 面 部 分 得 到 文 件 内 容 ， 从 而 恢 复 文 件 。
此 外 ， 由 于 R S A 的 公 钥 是 硬 编 码 在 程 序 中 的 ， 因 此 对 于 不 同 的 受 害 用 户 ， 勒 索 者 可 能 会 使 用 相 同 的 解 密 程 序 对 其 进 行 解 密 。 该 勒 索 软 件 与 常 见 勒 索 软 件 不 同 之 处 主 要 在 于 ， 第 一 优 化 了 加 密 算 法 ， 如 果 C P U 支 持 A E S 算 法 指 令 则 直 接 使 用 C P U 指 令 。 第 二 优 先 加 密 重 要 的 文 件 内 容 ， 用 最 快 的 速 度 把 用 户 最 有 价 值 的 文 件 加 密 。 另 外 ， 对 于 用 户 ， 建 议 保 持 安 全 软 件 常 开 模 式 ， 同 时 避 免 打 开 来 路 不 明 的 文 件 。 参 考 资 料 ： 参 考 资 料 ： h t t p s : / / w w w . b u g s f i g h t e r . c o m / r e m o v e - z e p t o - r a n s o m w a r e - d e c r y p t - z e p t o - f i l e s / h t t p : / / s e c u r i t y a f f a i r s . c o / w o r d p r e s s / 4 9 0 9 4 / m a l w a r e / z e p t o - r a n s o m w a r e . h t m l h t t p s : / / w w w . h e l p n e t s e c u r i t y . c o m / 2 0 1 6 / 0 7 / 0 5 / l o c k y - r a n s o m w a r e - v a r i a n t - z e p t o / h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / z h - c n / k b / 3 0 8 3 6 4 *   本 文 原 创 作 者 ： 降 草 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理