搜索

[12663] 2018-05-04_XiaoBa勒索病毒变种分析简报

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-05-04_XiaoBa勒索病毒变种分析简报 X i a o B a 勒 索 病 毒 变 种 分 析 简 报 J u s t P l a y   F r e e B u f   2 0 1 8 - 0 5 - 0 4 概 述 概 述 X i a o B a 勒 索 病 毒 ， 是 一 种 新 型 电 脑 病 毒 ， 是 一 款 国 产 化 水 平 极 高 的 勒 索 病 毒 ， 主 要 以 邮 件 ， 程 序 木 马 ， 网 页 挂 马 的 形 式 进 勒 索 病 毒 ， 是 一 种 新 型 电 脑 病 毒 ， 是 一 款 国 产 化 水 平 极 高 的 勒 索 病 毒 ， 主 要 以 邮 件 ， 程 序 木 马 ， 网 页 挂 马 的 形 式 进 行 传 播 。 这 种 病 毒 利 用 各 种 加 密 算 法 对 文 件 进 行 加 密 ， 被 感 染 者 一 般 无 法 解 密 ， 必 须 拿 到 解 密 的 私 钥 才 有 可 能 破 解 。 倒 计 行 传 播 。 这 种 病 毒 利 用 各 种 加 密 算 法 对 文 件 进 行 加 密 ， 被 感 染 者 一 般 无 法 解 密 ， 必 须 拿 到 解 密 的 私 钥 才 有 可 能 破 解 。 倒 计 时 时 2 0 0 秒 还 不 缴 赎 金 ， 被 加 密 的 文 件 就 会 被 全 部 销 毁 。 秒 还 不 缴 赎 金 ， 被 加 密 的 文 件 就 会 被 全 部 销 毁 。 以 上 说 明 摘 自 百 度 百 科 ， 但 是 我 分 析 的 这 个 X i a o B a 变 种 并 没 有 以 上 行 为 特 征 ， 不 过 它 拥 有 很 强 的 隐 蔽 性 和 感 染 性 ， 并 且 具 有 文 件 加 密 ， 文 件 删 除 和 挖 矿 三 项 主 要 功 能 。 样 本 分 析 样 本 分 析 此 样 本 经 过 微 步 云 沙 箱 分 析 （ 相 关 链 接 请 参 见 《 参 考 链 接 》 ） ， 确 认 为 恶 意 样 本 行 为 简 图 行 为 简 图
权 限 调 整 权 限 调 整 样 本 运 行 之 后 ， 首 先 调 整 进 程 权 限 ， 确 保 自 己 有 足 够 的 权 限 进 行 后 续 的 操 作
路 径 判 断 ： 样 本 会 判 断 当 前 的 执 行 路 径 是 否 在 % s y s t e m r o o t % 3 6 0 3 6 0 S a f e d e e p s c a n 目 录 下 ， 如 果 不 在 此 目 录 下 则 拷 贝 自 身 到 此 目 录 并 执 行 。 如 果 在 此 路 径 下 ， 将 会 首 先 进 行 一 些 修 改 系 统 设 置 相 关 的 操 作 ： 修 改 文 件 属 性 修 改 文 件 属 性 将 文 件 属 性 设 置 为 受 保 护 的 系 统 文 件 ， 需 要 在 “ 文 件 夹 和 搜 索 选 项 ” 中 取 消 “ 隐 藏 受 保 护 的 操 作 系 统 文 件 （ 推 荐 ） ” 选 项 才 可 看 到 禁 用 禁 用 U A C 设 置 自 启 动 ， 创 建 快 捷 方 式 设 置 自 启 动 ， 创 建 快 捷 方 式 禁 用 注 册 表 禁 用 注 册 表 不 显 示 隐 藏 的 文 件 不 显 示 隐 藏 的 文 件 禁 用 文 件 夹 和 搜 素 选 项 禁 用 文 件 夹 和 搜 素 选 项 创 建 自 启 动 创 建 自 启 动
删 除 删 除 S a f e B o o t 选 项 选 项 磁 盘 遍 历 磁 盘 遍 历 遍 历 磁 盘 ， 在 磁 盘 根 目 录 下 创 建 a u t o r u n . i n f 文 件 ， 写 入 如 下 数 据 ， 尝 试 进 行 U 盘 感 染 ， 并 且 少 不 了 的 将 此 文 件 设 置 为 隐 藏 创 建 文 件 夹 R E C Y C L E R S - 5 - 4 - 6 2 - 7 5 8 1 0 3 2 7 7 6 - 5 3 7 7 5 0 5 5 3 0 - 5 6 2 8 2 2 3 6 6 - 6 5 8 8 ， 并 且 将 自 身 文 件 拷 贝 进 来 重 写 h o s t s 文 件 ， 重 定 向 安 全 厂 商 网 址 正 题 正 题 最 后 创 建 线 程 ， 在 线 程 函 数 中 ， X i a o B a 会 遍 历 所 有 文 件 ， 查 找 扩 展 名 为 . e x e ， . c o m ， . s c r ， . p i f ， . h t m l ， . h t m ， . g h o ， . i s o 的 文 件 ， 针 对 不 同 的 扩 展 名 执 行 不 同 的 操 作 . e x e ， . c o m ， . s c r ， . p i f 重 写 这 些 文 件 ， 将 自 身 文 件 写 入 这 些 文 件 的 开 头 ， 后 期 如 果 再 运 行 这 些 文 件 的 话 ， 就 会 运 行 Z h u D o n g F a n g Y u . e x e . h t m l ， . h t m 在 这 些 文 件 的 末 尾 添 加 挖 矿 脚 本 . g h o ， . i s o 对 于 这 些 文 件 ， 直 接 删 除 一 个 有 意 思 的 点 是 这 个 样 本 的 图 标 是 3 6 0 杀 毒 的 图 标 ， 创 建 的 文 件 夹 名 也 是 3 6 0 ， 而 且 经 过 它 重 写 的 可 执 行 程 序 的 图 标 都 换 成 了 3 6 0 的 图 标 … …
参 考 链 接 参 考 链 接 h t t p s : / / s . t h r e a t b o o k . c n / r e p o r t / w i n 7 _ s p 1 _ e n x 8 6 _ o f f i c e 2 0 1 3 / 1 1 a b b 4 4 d e 5 3 8 0 7 e 3 2 9 8 0 a 0 1 0 a 4 7 3 5 1 4 6 9 4 f 9 0 1 8 4 1 e 6 3 a b 3 3 f 5 e 0 f f 8 7 5 4 0 0 9 b 4 7 / ? s i g n = h i s t o r y * 本 文 作 者 ： ， 转 载 请 注 明 来 自 本 文 作 者 ： ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理