搜索

[10586] 2016-10-11_【木马分析】揭秘花招最多的三种敲诈者木马

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-10-11_【木马分析】揭秘花招最多的三种敲诈者木马 【 木 马 分 析 】 揭 秘 花 招 最 多 的 三 种 敲 诈 者 木 马 F r e e B u f   2 0 1 6 - 1 0 - 1 1 以 下 文 章 来 源 于 安 全 客 资 讯 平 台   ， 作 者 3 6 0 安 全 卫 士 一 、 一 、     前 言 前 言 对 于 一 个 “ 正 经 ” 的 黑 产 从 业 者 来 说 ， 利 益 最 大 化 是 他 所 追 求 的 目 标 ， 而 利 益 最 大 化 的 实 现 无 非 需 要 两 个 方 面 来 支 撑 ， 一 是 成 本 最 小 化 ， 二 是 收 入 最 大 化 。 当 然 ， 那 些 制 作 、 传 播 敲 诈 者 木 马 的 黑 产 从 业 者 也 深 谙 此 道 。 为 了 实 现 成 本 最 小 化 ， 这 些 黑 客 们 抛 弃 了 以 前 繁 琐 的 开 发 模 式 ， 有 的 开 始 转 战 拥 有 庞 大 类 库 的 . N E T 平 台 ， 有 的 则 摈 弃 繁 杂 的 程 序 加 壳 和 混 淆 ， 直 接 以 “ 裸 体 ” 的 文 件 加 密 代 码 示 众 ； 而 实 现 收 入 最 大 化 呢 ， 多 勒 索 几 个 比 特 币 显 得 不 够 “ 绅 士 ” ， 那 就 只 能 耍 一 些 花 招 来 增 加 用 户 被 勒 索 的 可 能 性 了 。 最 近 ， 3 6 0 互 联 网 安 全 中 心 就 捕 获 到 多 枚 进 行 “ 花 式 敲 诈 ” 的 敲 诈 者 木 马 ， 其 敲 诈 手 段 可 谓 无 所 不 用 其 极 ， 下 面 将 具 体 分 析 三 种 敲 诈 者 木 马 是 怎 么 “ 耍 花 招 ” 的 。 二 、 二 、     加 密 手 法 分 析 加 密 手 法 分 析 在 对 这 些 “ 花 招 ” 进 行 分 析 之 前 ， 还 是 需 要 对 这 三 款 “ 敲 诈 者 ” 木 马 的 加 密 手 法 进 行 简 要 叙 述 。 这 几 款 木 马 所 使 用 的 编 程 语 言 为 C # 和 C + + ， 用 C # 编 写 的 “ 敲 诈 者 ” 木 马 受 益 于 . N E T 平 台 下 强 大 的 加 密 类 库 ， 因 此 直 接 使 用 相 关 加 密 函 数 即 可 完 成 加 密 工 作 。 图 1   产 生 随 机 数 密 钥 图 2   用 R S A 公 钥 加 密 随 机 数 密 钥 图 3   用 随 机 数 密 钥 加 密 文 件 上 面 三 幅 图 是 . N E T 平 台 下 “ F a n t o m ” 敲 诈 者 木 马 的 加 密 方 法 ， 此 种 加 密 方 法 和 一 般 的 敲 诈 者 木 马 相 似 ， 使 用 R S A 公 钥 去 加 密 随 机 数 密 钥 ， 然 后 用 随 机 数 密 钥 去 加 密 文 件 （ 也 有 的 使 用 A E S 加 密 算 法 加 密 文 件 ） 。 其 他 类 型 的 敲 诈 者 木 马 使 用 的 加 密 方 法 大 同 小 异 ， 只 是 在 密 钥 的 处 理 上 有 些 不 同 。 而 对 于 使 用 c + + 编 写 的 敲 诈 者 木 马 而 安 全 客 资 讯 平 台 安 全 客 资 讯 平 台   . 打 破 黑 箱   客 说 安 全
言 ， 使 用 现 成 的 公 开 库 也 是 可 以 解 决 加 密 的 问 题 ， 只 是 相 比 较 . N E T 平 台 还 是 略 显 臃 肿 。 图 4     c + + 编 写 的 “ 敲 诈 者 ” 木 马 部 分 加 密 算 法 三 、 三 、     “ 花 招 花 招 ” 的 具 体 分 析 的 具 体 分 析 当 然 ， 刚 刚 那 些 只 是 “ 前 戏 ” ， 分 析 这 几 款 敲 诈 者 木 马 所 耍 的 “ 花 招 ” 才 是 正 事 。 这 些 敲 诈 者 木 马 耍 花 招 的 目 的 有 的 是 让 用 户 更 容 易 上 当 受 骗 ， 有 的 是 增 加 用 户 对 敲 诈 勒 索 的 恐 惧 感 ， 还 有 的 直 接 简 化 了 支 付 的 流 程 ， 可 谓 是 ” 花 样 百 出 ” 。 不 过 ， “ 花 招 ” 的 目 的 都 是 一 致 的 - — — “ 多 捞 钱 ” 。 那 么 ， 它 们 耍 的 花 招 到 底 都 有 哪 些 亮 点 呢 ？ 1 . “ F a n t o m ” 敲 诈 者 木 马 “ F a n t o m ” 敲 诈 者 木 马 是 基 于 . N E T 平 台 的 敲 诈 者 木 马 ， 其 加 密 手 法 之 前 已 经 进 行 了 介 绍 ， 那 么 ， 这 款 “ 敲 诈 者 ” 木 马 到 底 耍 了 啥 花 招 呢 ？ 我 们 可 以 从 代 码 中 看 出 点 端 倪 。 由 于 程 序 的 主 要 功 能 是 以 窗 口 事 件 处 理 的 形 式 执 行 的 ， 为 了 不 让 用 户 察 觉 到 蛛 丝 马 迹 ， 程 序 把 窗 口 的 图 标 和 任 务 栏 图 标 都 隐 藏 起 来 。 图 5   隐 藏 图 标 和 任 务 栏 图 标 当 然 这 不 是 重 点 ， 重 点 在 程 序 资 源 段 中 一 个 名 为 “ W i n d o w s U p d a t e . e x e ” 的 程 序 。 程 序 通 过 e x t r a c t R e s o u r c e 方 法 将 该 程 序 复 制 到 临 时 文 件 夹 下 执 行 。 图 6   从 资 源 段 获 取 程 序 并 执 行 从 程 序 名 可 以 看 出 ， 这 应 该 是 个 和 W i n d o w s 更 新 有 关 的 程 序 ， 果 然 ， 反 编 译 代 码 证 实 了 这 一 点 ， 这 是 个 伪 造 的 w i n d o w s 更 新 界 面 ！
该 程 序 窗 口 布 局 是 仿 造 w i n d o w s 更 新 界 面 绘 制 而 成 的 ， 并 且 覆 盖 整 个 屏 幕 。 为 了 达 到 动 态 效 果 ， 程 序 以 窗 口 事 件 处 理 程 序 的 形 式 增 加 了 一 个 定 时 器 ， 以 1 0 0 秒 为 间 隔 修 改 更 新 进 度 。 因 此 进 度 达 到 百 分 之 百 需 要 大 约 要 两 个 半 小 时 ， 这 时 间 足 够 完 成 加 密 工 作 。 图 7   程 序 以 1 0 0 秒 为 间 隔 修 改 更 新 进 度 借 助 C # 强 大 的 窗 体 绘 制 能 力 ， 程 序 绘 制 出 了 一 个 “ 以 假 乱 真 ” 的 W i n d o w s 更 新 界 面 。 图 8   伪 造 的 W i n d o w s 更 新 界 面 当 然 ， 仅 仅 依 靠 这 样 一 个 覆 盖 全 屏 的 窗 口 界 面 还 是 不 能 令 作 者 满 意 的 ， 因 此 作 者 为 这 个 伪 造 界 面 添 加 了 许 多 “ 左 膀 右 臂 ” ，
比 如 禁 止 打 开 任 务 管 理 器 。 图 9   禁 止 打 开 任 务 管 理 器 当 受 害 者 的 计 算 机 屏 幕 上 覆 盖 着 这 样 一 个 伪 造 的 W i n d o w s 更 新 界 面 时 ， 由 于 无 法 打 开 任 务 管 理 器 ， 受 害 者 也 就 无 法 关 闭 产 生 该 界 面 的 程 序 。 实 际 上 更 多 的 情 况 是 ， 受 害 者 根 本 不 知 道 这 是 一 个 伪 装 的 W i n d o w s 更 新 程 序 ， 而 会 把 所 见 的 当 作 真 正 的 W i n d o w s 更 新 界 面 。 等 到 加 密 工 作 完 成 之 后 ， 加 密 程 序 就 结 束 掉 产 生 伪 造 W i n d o w s 更 新 界 面 的 程 序 。 图 1 0   结 束 掉 伪 造 W i n d o w s 更 新 进 程 当 受 害 者 以 为 自 己 计 算 机 系 统 已 经 更 新 完 毕 时 ， 也 正 是 悲 剧 来 临 之 时 。 计 算 机 中 大 部 分 文 件 将 被 加 上 “ f a n t o m ” 后 缀 名 ， 而 显 示 在 用 户 面 前 的 是 一 封 显 眼 的 勒 索 信 。 原 本 以 为 系 统 更 新 成 功 ， 结 果 才 发 现 一 切 都 是 个 骗 局 。 图 1 1   勒 索 信 内 容
图 1 2   被 加 密 的 文 件 作 者 在 每 个 文 件 夹 下 都 留 有 一 个 h t m l 网 页 ， 上 面 介 绍 如 何 支 付 赎 金 恢 复 文 件 。 图 1 3   介 绍 支 付 流 程 的 h t m l 网 页 图 1 4   网 页 内 容 是 不 是 到 此 程 序 就 结 束 它 的 “ 勒 索 “ 之 行 坐 等 收 赎 金 了 呢 ？ 并 不 是 这 样 的 ， 为 了 防 止 用 户 通 过 卷 影 备 份 恢 复 数 据 ， 程 序 调 用 “ V s s a d m i n   d e l e t e   s h a d o w s ” 命 令 删 除 计 算 机 中 的 卷 影 ， 可 谓 “ 赶 尽 杀 绝 ” 。 图 1 5   删 除 卷 影 防 止 通 过 备 份 恢 复 数 据 可 以 看 出 ， “ F a n t o m ” 敲 诈 者 木 马 充 分 利 用 了 C # 语 言 绘 制 窗 体 的 方 便 性 ， 绘 制 了 一 个 栩 栩 如 生 的 伪 造 W i n d o w s 更 新 界 面 ， 这 以 假 乱 真 的 功 夫 简 直 6 翻 了 。
2 . “ V o l d e m o n t ” 敲 诈 者 木 马 不 同 于   “ F a n t o m ” 敲 诈 者 木 马 所 走 的 专 业 山 寨 路 线 ， “ V o l d e m o n t ” 可 谓 另 辟 蹊 径 ， 没 有 勒 索 信 ， 也 不 让 你 看 到 那 一 大 堆 被 加 密 的 文 件 ， 在 你 面 前 只 有 这 么 一 张 图 。     图 1 6   “ V o l d e m e n t ” 敲 诈 者 展 示 的 界 面 一 个 伏 地 魔 的 照 片 突 然 就 出 现 在 面 前 ， 着 实 有 些 吓 人 。 不 过 还 有 一 个 更 吓 人 的 ， 就 是 这 款 敲 诈 者 木 马 不 勒 索 比 特 币 ， 而 是 直 接 要 你 把 信 用 卡 发 给 他 ， 这 明 摆 着 就 是 抢 劫 嘛 ！ 可 能 有 些 用 户 在 此 时 会 选 择 通 过 任 务 管 理 器 关 闭 相 关 程 序 或 者 重 启 计 算 机 ， 不 过 悲 剧 的 是 ， 程 序 已 经 结 束 掉 e x p l o r e 进 程 和 任 务 管 理 器 进 程 并 且 写 入 启 动 项 ， 下 回 开 机 时 还 要 被 吓 一 次 ， 无 计 可 施 的 用 户 不 得 不 输 入 信 用 卡 信 息 来 寻 求 解 密 。 图 1 7   程 序 结 束 e x p l o r e 和 t a s k m g r 进 程 图 1 8   程 序 写 注 册 表 启 动 项 当 受 害 用 户 填 写 信 用 卡 信 息 并 点 击 “ G e t   K e y ！ ” 时 ， 程 序 就 会 将 信 用 卡 信 息 发 送 至 远 程 服 务 端 。
图 1 9   发 送 信 用 卡 信 息 到 远 程 服 务 端 远 程 端 会 核 实 信 息 是 否 正 确 ， 正 确 的 话 将 会 发 送 一 个 k e y 到 本 地 客 户 端 。 图 2 0   判 断 信 用 卡 信 息 是 否 正 确 以 选 择 要 执 行 的 代 码 按 说 接 收 到 的 k e y 应 该 是 用 于 解 密 文 件 的 ， 然 而 事 实 并 非 如 此 ， 程 序 并 不 是 使 用 这 个 k e y 对 文 件 进 行 解 密 ， 只 是 用 它 来 判 断 是 不 是 可 以 进 行 解 密 了 ， 而 且 判 断 条 件 也 仅 仅 是 个 简 单 的 运 算 。 图 2 1   解 密 的 判 断 可 以 看 出 ， 解 密 算 法 并 不 需 要 k e y 的 参 与 ， 也 就 是 说 加 密 算 法 即 解 密 算 法 ， 从 算 法 的 代 码 中 也 可 以 很 清 楚 的 看 出 ， 这 是 个 加 解 密 通 用 的 算 法 。 看 来 “ 伏 地 魔 ” 的 功 力 也 不 过 如 此 ， 除 了 会 吓 人 ， 也 没 啥 亮 点 了 。
图 2 2   部 分 加 / 解 密 代 码 相 比 较 “ F a n t o m ” 木 马 缜 密 的 加 密 流 程 以 及 无 可 匹 敌 的 山 寨 功 力 ， “ V o l d e m o n t ” 也 就 仅 仅 起 到 了 吓 人 的 作 用 ， 并 没 有 一 般 “ 敲 诈 者 ” 木 马 不 可 逆 的 加 密 手 段 ， 只 要 弄 清 “ V o l d e m o n t ” 的 加 密 手 法 就 能 让 它 功 力 尽 失 。 3 . “ Q r C o d e ” 敲 诈 者 木 马 之 所 以 叫 它 “ Q r C o d e ” ， 因 为 这 是 个 关 于 二 维 码 的 故 事 。 “ Q r C o d e ” 敲 诈 者 也 是 基 于 . N E T 平 台 ， 它 在 函 数 命 名 以 及 加 密 方 式 方 面 和 “ F a n t o m ” 有 较 多 相 似 之 处 ， 不 排 除 是 同 一 团 伙 所 为 。 而 且 相 比 较 “ F a n t o m ” 敲 诈 者 ， “ Q r C o d e ” 在 加 密 流 程 上 更 为 缜 密 ， 而 且 将 加 解 密 钥 的 存 储 全 部 转 移 到 了 远 程 服 务 端 ， 可 以 说 更 加 隐 蔽 。 图 2 3   “ Q r C o d e ” 加 解 密 流 程 从 上 图 可 以 看 出 ， 本 地 程 序 和 服 务 端 进 行 交 互 ， 向 服 务 端 发 送 本 地 相 关 信 息 ， 而 服 务 端 通 过 判 断 这 些 信 息 来 决 定 是 进 行 加 密 还 是 解 密 ， 而 加 密 和 解 密 使 用 的 密 钥 也 是 由 服 务 端 提 供 的 ， 分 别 是 F I R S T 字 段 下 的 值 和 R E C E I V E D 字 段 下 的 值 。 除 外 ， 为 了 防 止 杀 软 检 测 程 序 对 一 些 敏 感 信 息 的 获 取 ， 该 款 “ 敲 诈 者 ” 并 没 有 获 取 诸 如 计 算 机 名 等 较 为 敏 感 的 信 息 ， 而 是 获 取 一 些 可 以 代 表 机 器 但 不 是 那 么 敏 感 的 信 息 ， 比 如 P r o d u c t N a m e ， C D V e r s i o n ， 作 者 也 “ 亲 切 ” 地 称 他 们 “ F r i e n d l y N a m e ” 。
图 2 4   获 取 “ F r i e n f l y N a m e ” 这 些 信 息 上 传 到 服 务 端 后 将 作 为 标 识 受 害 计 算 机 所 用 的 信 息 ， 作 者 通 过 多 次 从 本 地 获 取 这 些 信 息 来 和 服 务 端 做 对 比 来 确 定 受 害 者 是 否 支 付 赎 金 亦 或 者 这 是 台 初 次 感 染 的 机 器 。 那 么 ， 受 害 者 该 怎 么 交 付 赎 金 呢 ？ 在 代 码 中 可 以 发 现 一 个 名 为 . C r e a t e Q r C o d e 的 函 数 ， 难 道 要 通 过 扫 二 维 码 支 付 赎 金 ？ 图 2 5   创 建 二 维 码 函 数 果 不 其 然 ， 屏 幕 出 现 了 一 个 大 大 的 二 维 码 ， 不 过 扫 描 该 二 维 码 只 是 获 得 比 特 币 钱 包 地 址 和 支 付 金 额 。 图 2 6   感 染 “ Q r C o d e ” 敲 诈 者 后 的 界 面 由 于 二 维 码 的 生 成 使 用 了 谷 歌 的 接 口 ， 因 此 有 些 国 内 用 户 感 染 该 木 马 后 并 不 会 产 生 二 维 码 ， 不 过 屏 幕 依 然 会 出 现 对 方 的 比 特 币 钱 包 地 址 。 该 “ 敲 诈 者 ” 会 向 受 害 者 勒 索 1 . 5 个 比 特 币 ， 而 且 要 求 受 害 者 在 十 分 钟 内 完 成 支 付 。 这 时 候 受 害 者 应 该 也 会 选 择 启 动 任 务 管 理 器 结 束 相 关 进 程 或 者 重 启 ， 不 过 同 样 悲 剧 的 是 ， 程 序 禁 止 打 开 任 务 管 理 器 并 且 设 置 了 启 动 项 。
图 2 7   设 置 开 机 启 动 项 图 2 8   禁 止 使 用 任 务 管 理 器 “ Q r C o d e ” 敲 诈 者 木 马 禁 止 任 务 管 理 器 的 函 数 和 “ F a n t o m ” 木 马 完 全 相 同 ， 除 此 之 外 获 取 计 算 机 所 在 国 家 语 言 的 函 数 也 和 “ F a n t o m ” 敲 诈 者 完 全 相 同 ， 因 此 可 以 基 本 确 定 两 者 来 自 同 一 团 伙 。 不 过 “ Q r C o d e ” 敲 诈 者 木 马 最 大 的 亮 点 还 是 来 自 于 那 个 大 大 的 二 维 码 ， 虽 然 这 个 二 维 码 并 不 带 “ 扫 一 扫 即 可 支 付 ” 的 功 能 ， 只 是 用 于 提 供 比 特 币 钱 包 地 址 和 支 付 金 额 ， 但 从 这 种 接 地 气 的 设 计 来 看 ， 敲 诈 者 木 马 离 “ 扫 一 扫 即 可 支 付 ” 不 远 了 。 四 、 四 、     总 结 总 结 从 分 析 中 可 以 看 出 ， 这 几 款 “ 敲 诈 者 ” 威 力 虽 然 参 差 不 齐 ， 但 由 于 使 用 了 各 种 各 样 的 “ 花 招 ” 来 迷 惑 和 恐 吓 用 户 ， 并 且 简 化 了 支 付 流 程 ， 因 此 它 们 的 能 力 还 是 不 容 小 觑 。 在 敲 诈 者 木 马 多 样 化 的 今 天 ， 用 户 在 下 载 运 行 未 知 程 序 时 保 持 警 惕 状 态 ， 对 于 具 有 迷 惑 性 的 程 序 更 应 该 “ 慎 点 ” 。 面 对 敲 诈 者 木 马 多 样 化 的 趋 势 ， 3 6 0 安 全 卫 士 已 经 开 通 了 “ 反 勒 索 服 务 ” ， 并 向 用 户 公 开 承 诺 ： 使 用 3 6 0 安 全 卫 士 1 1 . 0 版 本 并 开 启 该 服 务 后 ， 一 旦 感 染 敲 诈 者 病 毒 ， 3 6 0 将 提 供 最 高 3 个 比 特 币 （ 约 1 3 0 0 0 元 人 民 币 ） 的 赎 金 并 帮 助 用 户 回 复 数 据 ， 让 用 户 远 离 财 物 及 文 档 的 损 失 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理