搜索

[10978] 2017-01-30_MBR勒索木马再度来袭：GoldenEye分析

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2017-01-30_MBR勒索木马再度来袭：GoldenEye分析 M B R 勒 索 木 马 再 度 来 袭 ： G o l d e n E y e 分 析 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 0 1 - 3 0 早 在 今 年 上 半 年 ， 破 坏 力 极 强 的 修 改 早 在 今 年 上 半 年 ， 破 坏 力 极 强 的 修 改 M B R 并 加 密 并 加 密 M F T   ( M a s t e r   F i l e   T a b l e ) 的 勒 索 木 马 的 勒 索 木 马 P e t y a 就 引 起 了 杀 毒 厂 商 的 高 度 关 注 ， 就 引 起 了 杀 毒 厂 商 的 高 度 关 注 ， 然 而 在 今 年 下 半 年 然 而 在 今 年 下 半 年 3 6 0 白 名 单 分 析 组 又 捕 获 了 该 作 者 最 新 的 勒 索 木 马 白 名 单 分 析 组 又 捕 获 了 该 作 者 最 新 的 勒 索 木 马 “ G o l d e n E y e ” 。 。   半 年 以 来 该 木 马 作 者 与 杀 毒 软 件 的 对 抗 半 年 以 来 该 木 马 作 者 与 杀 毒 软 件 的 对 抗 持 续 升 级 ， 新 的 勒 索 木 马 的 查 杀 难 度 显 著 增 强 。 持 续 升 级 ， 新 的 勒 索 木 马 的 查 杀 难 度 显 著 增 强 。   一 、 一 、   主 要 流 程 主 要 流 程 图 1     G o l d e n E y e 木 马 流 程 图 二 、 二 、   S h e l l c o d e 部 分 部 分 G o l d e n E y e 为 了 伪 装 自 己 , 在 微 软 的 开 源 代 码 Z o o m I t 中 嵌 入 了 恶 意 的 S h e l l C o d e 。 图 2     G o l d e n E y e 中 微 软 开 源 的 Z o o m I t 相 关 字 符 串 S h e l l C o d e 经 过 多 层 S M C 解 密 出 G o l d e n E y e 主 体 , 并 P E   L o a d e r 执 行 。 图 3     S h e l l C o d e 解 密 出 G o l d e n E y e 的 代 码 接 着 解 密 L o a d e r 的 x x x x 区 段 ， 里 面 包 含 P e t y a 以 及 提 权 D L L （ e l e v a t e _ x 8 6 . d l l / e l e v a t e _ x 6 4 . d l l ） ， 并 动 态 载 入 A P I 。
图 4     解 密 L o a d e r 的 x x x x 区 段 三 、 三 、   伪 装 功 能 伪 装 功 能 如 果 主 程 序 不 处 于 % A p p D a t a % 目 录 下 , 则 执 行 伪 装 功 能 , 否 则 执 行 加 密 功 能 。 图 5     判 断 程 序 路 径 执 行 不 同 功 能 通 过 将 自 己 伪 装 成 系 统 文 件 来 迷 惑 用 户 。 图 6     将 自 身 复 制 到 % a p p d a t a % U U I D r s v p . e x e 中 其 中 r s v p . e x e 是 由 F i n d F i r s t F i l e A 匹 配 以 下 模 式 来 获 得 的 任 一 系 统 文 件 名 ： s y s t e m 3 2 w * w . e x e 、   l * x . e x e 、 m * p . e x e 、 l * h . e x e 、 a * r . e x e 、 g * d . e x e 、 f * i . e x e 、 a * v . e x e 、 o * i . e x e 、 y * n . e x e 、 l * h . e x e 、 h * q . e x e 、 p * b . e x e 、 m * d . e x e 图 7     F i n d F i r s t F i l e A 查 找 匹 配 的 任 一 系 统 文 件 U u i d C r e a t e 创 建 随 机 U u i d ， 如 图 6 中 的 { 0 a 9 9 3 d 8 1 - 1 6 e f - 4 5 4 e - 8 4 a 0 - 4 c f 1 8 2 e 6 7 1 5 9 } 。
图 8     U u i d C r e a t e 创 建 随 机 U U I D 调 用 U p d a t e R e s o u r s e 将 正 常 系 统 文 件 版 本 资 源 数 据 替 换 给 G o l d e n E y e ， 设 置 G o l d e n E y e 文 件 时 间 和 k e r n e l 3 2 . d l l 一 致 。 图 9     G o l d e n E y e 获 取 正 常 系 统 文 件 版 本 资 源 更 新 到 拷 贝 的 文 件 创 建 进 程 执 行 伪 装 后 的 G o l d e n E y e 。 图 1 0     调 用 伪 装 后 的 G o l d e n E y e 四 、 四 、   选 择 选 择 P a y l o a d   首 先 解 密 出 暗 网 的 网 址 以 及 用 户 标 识 K E Y , 暗 网 网 址 + 用 户 标 识 H a s h 的 前 8 位 就 是 用 户 支 付 赎 金 的 网 址 。 图 1 1     G o l d e n E y e 暗 网 网 址 的 相 关 生 成 算 法 然 后 通 过 V e r i f y V e r s i o n I n f o W ( 系 统 版 本 ) 以 及 G e t T o k e n I n f o r m a t i o n ( 管 理 员 权 限 ) 来 决 定 执 行 流 程 , 如 果 拥 有 管 理 员 权 限 则 执 行 P e t y a , 否 则
执 行 M i s c h a 。 通 过 硬 盘 物 理 序 列 会 生 成 两 个 h a s h 字 符 串 , 作 为 互 斥 量 的 名 称 。 互 斥 量 的 作 用 是 为 了 防 止 同 一 加 密 流 程 被 重 复 执 行 。 图 1 2     判 断 执 行 流 程 五 、 五 、   P e t y a 模 块 模 块   图 1 3     P e t y a 执 行 流 程 P e t y a 通 过 向 M B R 写 入 数 据 并 调 用 N t R a i s e H a r d E r r o r 强 制 重 启 来 触 发 加 密 流 程 。 图 1 4     P e t y a 部 分 写 入 M B R 以 及 强 制 重 启 的 关 键 代 码 p e t y a 感 染 之 后 恶 意 数 据 在 系 统 磁 盘 的 分 布 如 下 ：
图 1 5     P e t y a 感 染 后 扇 区 布 局 其 中 0 × 2 0 扇 区 写 入 的 是 配 置 文 件 , 里 面 包 含 S a l s a 2 0 的 相 关 密 钥 。 图 1 6     P e t y a 配 置 信 息 其 中 S a l s a 2 0 的 加 密 K e y 会 在 加 密 后 抹 去 , I V 向 量 保 持 不 变 。 图 1 7     清 除 S a l s a 2 0 的 加 密 K e y 0 × 2 2 保 存 着 是 加 密 过 的 原 始 M B R , P e t y a 会 通 过 其 定 位 M F T 表 , 然 后 进 行 加 密 , 每 次 加 密 2 个 扇 区 , 并 且 每 加 密 0 × 4 0 个 扇 区 时 会 更 新 进 度 条 。
图 1 8     加 密 M F T 关 键 代 码 老 版 本 的 P e t y a 使 用 了 简 化 的 S a l s a 2 0 算 法 来 加 密 M F T ( 主 文 件 表 ) , 存 在 暴 力 破 解 密 钥 的 漏 洞 , 所 以 新 版 本 的 P e t y a 修 复 暴 力 破 解 的 漏 洞 ， 并 提 升 了 S a l s a 2 0 的 算 法 强 度 ， 密 码 的 长 度 验 证 扩 充 为 3 2 字 节 。 图 1 9     密 码 的 长 度 验 证 S a l s a 2 0 用 输 入 的 k e y 对 0 × 2 1 扇 区 进 行 解 密 后 ， 如 果 解 密 后 的 数 据 都 为 0 × 7 则 表 示 验 证 通 过 。 图 2 0     对 0 × 2 1 扇 区 数 据 进 行 验 证
P e t y a 只 会 针 对 分 区 格 式 为 M B R 且 文 件 系 统 为 N T F S 的 M F T ( 主 文 件 表 ) 进 行 加 密 , 否 则 只 修 改 M B R , 显 示 黄 色 骷 髅 头 ， 这 就 意 味 着 我 们 可 以 通 过 直 接 修 复 M B R 来 恢 复 系 统 。 因 为 P e t y a 只 对 M F T 表 进 行 加 密 , 并 不 加 密 文 件 内 容 , 所 以 我 们 也 可 以 直 接 通 过 相 关 的 分 区 工 具 直 接 对 文 件 进 行 恢 复 。 图 2 1     判 断 磁 盘 分 区 格 式 图 2 2     判 断 文 件 系 统 格 式 六 、 六 、   M i s c h a 模 块 模 块 图 2 3     M i s c h a 模 块 基 本 流 程 图 从 代 码 中 我 们 可 以 看 出 M i s c h a 能 够 加 密 硬 盘 以 及 可 移 动 磁 盘 。 图 2 4 遍 历 硬 盘 和 可 移 动 磁 盘 加 密 以 下 固 定 后 缀 的 文 件 ：
图 2 5     加 密 文 件 的 后 缀 M i s C h a 会 对 文 件 大 小 进 行 判 断 , 如 果 文 件 大 于 3 2 M B ， 只 加 密 5 M B 大 小 的 数 据 。 图 2 6     判 断 文 件 大 小 M i s c h a 的 文 件 名 由 原 始 文 件 名 和 用 户 标 识 K e y 的 前 8 位 组 成 ： 图 2 7     修 改 文 件 名 M i s c h a 使 用 A E S 2 5 6 算 法 对 文 件 内 容 进 行 加 密 , 每 次 加 密 0 × 4 0 0 字 节 。 对 于 每 一 个 需 要 加 密 的 文 件 来 说 , A E S 2 5 6 的 K E Y 是 固 定 不 变 的 , 唯 一 不 同 的 是 随 机 生 成 的 I V 向 量 。
图 2 8     加 密 文 件 内 容 对 文 件 加 密 完 成 后 , 会 在 文 件 末 尾 写 入 长 度 为 0 × 7 6 字 节 的 解 密 相 关 的 配 置 信 息 。 图 2 9 配 置 信 息 的 内 存 布 局 最 后 释 放 Y O U R _ F I L E S _ A R E _ E N C R Y P T E D . T X T , 提 醒 用 户 文 件 已 被 加 密 。 值 的 一 提 的 是 , 当 M i s c h a 加 密 完 成 之 后 ,   G o l d e n E y e 并 没 有 善 罢 甘 休 , 重 新 执 行 P e t y a 流 程 ， 对 M F T 进 行 加 密 。 在 高 版 本 的 系 统 中 , 读 写 M B R 需 要 管 理 员 权 限 , 所 以 G o l d e n E y e 就 会 利 用 x x x x 区 段 解 密 出 的 e l e v a t e _ x 8 6 . d l l / e l e v a t e _ x 6 4 . d l l 进 行 提 权 , 从 而 顺 利 的 执 行 P e t y a 。 提 权 的 原 理 主 要 是 通 过 查 找 系 统 白 名 单 文 件 , 对 其 进 行 d l l 劫 持 实 现 的 。
图 3 0     D L L 劫 持 后 的 入 口 点 代 码 图 3 1   重 新 执 行 G o l d e n E y e 七 、 七 、   G o l d e n E y e 勒 索 提 示 勒 索 提 示 恶 意 代 码 执 行 完 之 后 就 开 始 强 制 重 启 电 脑 ， 进 行 勒 索 提 示 : 图 3 2     G o l d e n E y e 木 马 勒 索 提 示 画 面 G o l d e n E y e 木 马 的 赎 金 为 1 . 3 个 比 特 币 ， 且 勒 索 方 式 相 比 P e t y a 显 得 温 和 的 多 ， 不 再 因 错 过 截 止 时 间 就 翻 倍 赎 金 。 G o l d e n E y e 木 马 会 对 输 入 的 加 密 串 进 行 简 单 的 校 验 ， 如 果 出 现 大 小 写 错 误 或 者 其 他 错 误 都 会 提 示 ， 直 至 输 入 正 确 的 数 据 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理