搜索

[10902] 2017-01-06_流氓会武功这款勒索软件不仅能勒索，还能DDoS

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2017-01-06_流氓会武功这款勒索软件不仅能勒索，还能DDoS 流 氓 会 武 功   |   这 款 勒 索 软 件 不 仅 能 勒 索 ， 还 能 D D o S s e c i s t   F r e e B u f   2 0 1 7 - 0 1 - 0 6 一 款 名 为 一 款 名 为   F i r e C r y p t   的 勒 索 软 件 正 悄 然 来 袭 。 它 不 仅 具 备 一 般 勒 索 软 件 的 特 性 ， 会 将 受 感 染 的 系 统 文 件 恶 意 加 密 。 还 会 试 图 的 勒 索 软 件 正 悄 然 来 袭 。 它 不 仅 具 备 一 般 勒 索 软 件 的 特 性 ， 会 将 受 感 染 的 系 统 文 件 恶 意 加 密 。 还 会 试 图 利 用 受 感 染 者 机 器 ， 向 其 源 码 中 硬 编 码 的 利 用 受 感 染 者 机 器 ， 向 其 源 码 中 硬 编 码 的   U R L   地 址 ， 发 起 微 弱 的 地 址 ， 发 起 微 弱 的   D D o S   攻 击 。 攻 击 。 这 个 新 型 勒 索 软 件 ， 是 由   M a l w a r e H u n t e r T e a m   （ 恶 意 软 件 猎 人 小 组 ） 发 现 的 。 以 下 是   M a l w a r e H u n t e r T e a m   和   L a w r e n c e   A b r a m s   提 供 的 对 该 恶 意 软 件 的 分 析 报 告 。 作 为 勒 索 软 件 构 建 套 件 的 作 为 勒 索 软 件 构 建 套 件 的   F i r e C r y p t 恶 意 软 件 通 常 通 过 从 源 码 编 译 生 成 ， 或 者 通 过 软 件 来 自 动 生 成 ， 自 动 化 软 件 会 采 用 某 些 输 入 参 数 ， 并 以 此 来 定 制 恶 意 软 件 的 有 效 载 荷 。 后 者 在 业 内 ， 被 称 为 恶 意 软 件 构 建 器 ， 一 般 都 为   命 令 行 命 令 行   应 用 程 序 或   G U I   的 工 具 。 而   F i r e C r y p t   勒 索 软 件 的 作 者 ， 则 使 用 的 是 命 令 行 应 用 程 序 。 在 使 用 过 程 中 ， 该 应 用 程 序 会 自 动 将   F i r e C r y p t   的 样 本 文 件 放 在 一 起 ， 允 许 他 修 改 基 本 设 置 ， 而 不 需 要 再 使 用 笨 重 的   I D E ， 重 复 编 译 源 码 了 。 F i r e C r y p t   的 构 建 器 ， 被 命 名 为   B l e e d G r e e n （ 见 下 文 ） ， 它 允 许   F i r e C r y p t   作 者 ， 给 勒 索 软 件 自 定 义 名 称 ， 并 使 用 个 性 化 图 标 ， 来 生 成 一 个 独 特 的 勒 索 软 件 可 执 行 文 件 。 与 其 他 勒 索 软 件 构 建 器 相 比 ， B l e e d G r e e n   算 是 一 个 比 较 低 端 的 构 建 器 。 与 其 他 类 似 的 构 建 器 相 比 ， 它 的 自 定 义 选 项 少 的 可 怜 。 例 如 某 些 类 似 的 构 建 器 ， 还 会 有 比 特 币 收 付 款 地 址 ， 赎 金 值 ， 电 子 邮 件 联 系 地 址 等 设 置 选 项 。
B l e e d G r e e n   除 了 可 以 将 生 成 的 可 执 行 文 件   E X E   ， 伪 装 为   P D F   或   D O C   的 图 标 外 ， 它 还 会 对 勒 索 软 件 的 二 进 制 文 件 做 细 微 的 改 动 ， 以 便 在 每 次 编 译 时 ， 都 能 生 成 一 个 具 有 不 同 哈 希 值 的 文 件 。 该 技 术 经 常 被 恶 意 软 件 开 发 人 员 ， 用 来 创 建 所 谓 的 “ 多 态 性 恶 意 软 件 ” ， 这 样 做 的 目 的 就 是 尽 可 能 的 躲 避 杀 毒 软 件 的 查 杀 。 根 据 M a l w a r e H u n t e r T e a m   的 介 绍 ， “ B l e e d G r e e n   构 建 器 是 一 款 非 常 低 端 和 基 础 的 勒 索 软 件 构 建 器 ， 因 此 它 并 不 能 真 正 意 义 上 实 现 免 杀 。 ” 不 过 从 这 也 可 以 看 出 ， F i r e C r y p t   的 作 者 还 是 具 备 一 定 的 恶 意 软 件 开 发 经 验 的 ， 而 不 是 一 个 只 会 从   G i t H u b   下 载 开 源 勒 索 软 件 的 脚 本 小 子 。 F i r e C r y p t   感 染 过 程 感 染 过 程 能 否 将   F i r e C r y p t   感 染 给 目 标 系 统 ， 取 决 于 勒 索 软 件 的 分 发 者 能 否 成 功 诱 使 目 标 用 户 启 动 生 成 的   E X E   可 执 行 文 件 。 一 旦 生 成 的 恶 意   E X E   文 件 被 成 功 触 发 ， 那 么   F i r e C r y p t   将 会 杀 死 计 算 机 的 任 务 管 理 器 （ t a s k m g r . e x e ） 进 程 ， 并 使 用   A E S - 2 5 6   加 密 算 法 ， 对 列 表 中 的   2 0   个 文 件 类 型 进 行 加 密 。
所 有 被 加 密 文 件 的 原 始 文 件 名 和 扩 展 名 都 将 附 加 “ . f i r e c r y p t ” 后 缀 。 例 如 ， 名 为   p h o t o . p n g   的 文 件 ， 将 被 重 命 名 为   p h o t o . p n g . f i r e c r y p t 。 一 旦 文 件 加 密 过 程 结 束 ， F i r e C r y p t   就 会 在 桌 面 ， 弹 框 警 告 用 户 按 其 要 求 支 付 相 应 的 赎 金 ， 以 此 来 换 取 文 件 的 解 锁 。 据   M a l w a r e H u n t e r T e a m   介 绍 说 ， 该 赎 金 弹 框 与 去 年   1 0 月 月 1 4 日 日   小 组 发 现 的 一 款 勒 索 软 件 的 赎 金 弹 框 几 乎 是 一 样 的 。
当 时 发 现 该 勒 索 软 件 时 ， 好 像 还 处 于 开 发 阶 段 并 未 成 型 。 直 到 今 年 才 发 现 ， 有 受 感 染 机 器 的 文 件 被 加 密 。 唯 一 不 同 的 是 ， 去 年 发 现 的 那 款 勒 索 软 件 在 赎 金 弹 框 顶 部 放 置 了 一 个 类 似   l o g o   的 标 志 ， 而     F i r e C r y p t   却 移 除 了 这 个 标 志 。 但 是 ， 通 过 仔 细 检 查   D e a d l y   的 源 代 码 ， M a l w a r e H u n t e r T e a m   发 现 这 两 款 勒 索 软 件 ， 使 用 的 电 子 邮 件 和 比 特 币 地 址 相 同 ， 这 表 明 两 者 之 间 紧 密 相 关 ， F i r e C r y p t   极 有 可 能 是   D e a d l y   这 款 勒 索 软 件 的 升 级 版 。 D D o S   之 用 垃 圾 文 件 填 充 你 的 硬 盘 驱 动 器 之 用 垃 圾 文 件 填 充 你 的 硬 盘 驱 动 器 除 了 加 密 受 感 染 用 户 文 件 并 向 用 户 索 要 赎 金 外 ，   F i r e C r y p t   还 会 调 用 其 源 码 包 含 的 一 个 函 数 ， 该 函 数 会 持 续 不 断 地 连 接 到 远 程 的 一 个   U R L   地 址 ， 下 载 一 些 垃 圾 文 件 ， 并 自 动 将 其 保 存 在 你 硬 盘 的   % T e m p %   文 件 下 ， 同 时 命 名 为   [ r a n d o m _ c h a r s ] - [ c o n n e c t _ n u m b e r ] . h t m l 。 如 果 用 户 不 知 道 这 个 功 能 ， F i r e C r y p t   将 会 在 短 时 间 内 ， 将 垃 圾 文 件 迅 速 填 充 满 你 的   ％ ％ T e m p ％ ％   文 件 夹 。 当 前 该 版 本 的   F i r e C r y p t   勒 索 软 件 ， 将 会 从 远 程 连 接 并 下 载   h t t p : / / w w w . p t a . g o v . p k / i n d e x . p h p   上 的 内 容 ， 该   U R L   为 巴 基 斯 坦 电 信 管 理 局 的 官 网 地 址 。 当 前 ， 我 们 无 法 使 用 勒 索 软 件 的 构 建 器 修 改 此   U R L 。
F i r e C r y p t   的 作 者 将 此 功 能 称 为   “ D D o S e r ” ， 他 必 须 感 染 成 千 上 万 台 的 机 器 ， 才 有 可 能 对 巴 基 斯 坦 电 信 管 理 局 的 官 网 发 起   D D o S   攻 击 。 此 外 ， 所 有 受 感 染 的 计 算 机 ， 都 必 须 处 于 连 网 状 态 ， 只 有 这 样 才 能 参 与 到 其 发 起 的   D D o S   的 攻 击 。 截 至 这 篇 文 章 发 布 ， 还 没 有 发 现 有 效 方 法 来 恢 复 这 些 被 加 密 的 文 件 。 因 此 ， 一 旦 你 感 染 了 这 种 勒 索 软 件 ， 想 要 在 短 时 间 内 恢 复 文 件 ， 则 可 能 不 得 不 按 要 求 支 付   5 0 0   美 元 美 元   的 赎 金 来 解 锁 。 相 反 ， 如 果 你 实 在 不 愿 意 或 无 力 支 付 这 笔 赎 金 。 那 么 ， 请 务 必 保 留 好 这 些 被 加 密 文 件 的 副 本 ， 或 许 不 久 以 后 就 会 有 人 放 出 它 的 解 密 器 。 定 位 文 件 扩 展 名 ： 定 位 文 件 扩 展 名 ： 与 与   F i r e C r y p t   勒 索 软 件 相 关 联 的 文 件 ： 勒 索 软 件 相 关 联 的 文 件 ： 与 与   F i r e C r y p t   勒 索 软 件 相 关 的 哈 希 值 ： 勒 索 软 件 相 关 的 哈 希 值 ： l e e d G r e e n   构 建 器 （ 当 前   V i r u s T o t a l   扫 描 结 果 显 示 ， 在   5 7   款 杀 毒 软 件 检 测 中 ， 只 有   2   款 杀 毒 软 件 ， 认 为 它 是 恶 意 软 件 ） ： 一 个   F i r e C r y p t   勒 索 软 件 二 进 制 示 例 （ 当 前   V i r u s T o t a l   扫 描 结 果 显 示 ， 在   5 7   款 杀 毒 软 件 检 测 中 ， 只 有   1 3   款 杀 毒 软 件 ， 认 为 它 是 恶 意 软 件 ） ： 电 子 邮 件 地 址 和 付 款 联 系 人 ： 电 子 邮 件 地 址 和 付 款 联 系 人 ： S o u r c e : h t t p s : / / w w w . b l e e p i n g c o m p u t e r . c o m / * 参 考 来 源   s e c u r i t y n e w s p a p e r ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自   F r e e B u f （ F r e e B u f . C O M ） . t x t ,   . j p g ,   . p n g ,   . d o c ,   . d o c x ,   . c s v ,   . s q l ,   . m d b ,   . s l n ,   . p h p ,   . a s p ,   . a s p x ,   . h t m l ,   . h t m ,   . c s x ,   . p s d ,   . a e p ,   . m p 3 ,   . p d f ,   . t o r r e n t % A p p D a t a % M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t u p [ r a n d o m _ c h a r s ] . e x e   -   S t a r t u p   E x e c u t a b l e % D e s k t o p % [ r a n d o m _ c h a r s ] - R E A D _ M E . h t m l   -   R a n s o m   N o t e % A p p D a t a % S y s W i n 3 2 f i l e s . t x t   -   L i s t   o f   E n c r y p t e d   F i l e s % D e s k t o p % r a n d o m _ c h a r s ] - f i l e s e n c r y p t e d . h t m l   -   L i s t   o f   E n c r y p t e d   F i l e s % T e m p % r a n d o m _ c h a r s ] - [ c o n n e c t _ n u m b e r ] . h t m l   -   F i l e s   d o w n l o a d e d   d u r i n g   t h e   D D o S   a t t a c k S H A - 2 5 6 :   e 7 7 d f 2 c e 3 4 9 4 9 e b 1 1 2 9 0 4 4 5 a 4 1 1 a 4 7 f b 9 2 7 e 8 8 7 1 e 2 5 8 0 8 9 7 5 8 1 9 8 1 d 1 7 7 3 0 0 3 2 d S H A - 2 5 6 :   d 4 9 2 4 0 e 3 8 6 0 3 c 2 9 b 3 8 d b 8 6 b 6 c 1 1 7 9 5 f 1 6 6 e 6 3 d 8 3 8 5 e 8 6 2 6 2 3 2 1 3 1 f 7 5 0 c d b 4 3 4 f E M A I L :   g r a v i t y z 3 r 0 @ s i g a i n t . o r g
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理