搜索

[13328] 2018-10-21_逃避沙箱并滥用WMI：新型勒索软件PyLocky分析

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2018-10-21_逃避沙箱并滥用WMI：新型勒索软件PyLocky分析 逃 避 沙 箱 并 滥 用 W M I ： 新 型 勒 索 软 件 P y L o c k y 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 0 - 2 1 毫 无 疑 问 ， 在 目 前 的 网 络 威 胁 领 域 中 ， 勒 索 软 件 仍 然 扮 演 着 十 分 重 要 的 角 色 。 实 际 上 ， 在 毫 无 疑 问 ， 在 目 前 的 网 络 威 胁 领 域 中 ， 勒 索 软 件 仍 然 扮 演 着 十 分 重 要 的 角 色 。 实 际 上 ， 在 2 0 1 8 年 上 半 年 勒 索 软 年 上 半 年 勒 索 软 件 的 活 动 还 有 所 增 加 ， 并 且 相 关 勒 索 软 件 还 通 过 各 种 升 级 更 新 来 尝 试 避 开 现 有 的 安 全 解 决 方 案 ， 比 如 说 件 的 活 动 还 有 所 增 加 ， 并 且 相 关 勒 索 软 件 还 通 过 各 种 升 级 更 新 来 尝 试 避 开 现 有 的 安 全 解 决 方 案 ， 比 如 说 P y L o c k y （ 趋 势 科 技 将 其 标 记 为 （ 趋 势 科 技 将 其 标 记 为 R A N S O M _ P Y L O C K Y . A ） 就 是 一 个 很 好 的 例 子 。 ） 就 是 一 个 很 好 的 例 子 。 在 7 月 下 旬 和 整 个 8 月 份 ， 研 究 人 员 发 现 了 一 个 通 过 垃 圾 邮 件 来 传 播 P y L o c k y 勒 索 软 件 的 攻 击 活 动 。 虽 然 P y L o c k y 的 勒 索 信 息 风 格 跟 L o c k y 非 常 相 似 ， 但 是 P y L o c k y 跟 L o c k y 并 没 有 什 么 关 系 。 P y L o c k y 采 用 P y t h o n 编 写 ， 并 采 用 P y I n s t a l l e r 封 装 。 实 际 上 ， 采 用 P y t h o n 来 开 发 的 勒 索 软 件 并 不 是 什 么 新 鲜 事 了 ， 比 如 说 2 0 1 6 年 的 C r y P y （ R A N S O M _ C R Y P Y . A ） ， 和 2 0 1 7 年 的 P y l 3 3 t   ( R A N S O M _ C R Y P P Y T . A ) ， 但 是 P y L o c k y 具 备 了 反 机 器 学 习 的 能 力 ， 这 也 是 它 的 “ 闪 光 点 ” 之 一 。 它 同 时 使 用 了 I n n o   S e t u p   I n s t a l l e r （ 一 款 基 于 开 源 脚 本 的 安 装 器 ） 和 P y I n s t a l l e r ， 因 此 这 样 会 增 加 静 态 分 析 方 法 的 检 测 难 度 ， 其 中 就 包 括 了 基 于 机 器 学 习 的 解 决 方 案 。 需 要 注 意 的 是 ， P y L o c k y 的 传 播 地 区 也 比 较 集 中 ， 我 们 发 现 该 活 动 主 要 针 对 的 是 欧 洲 地 区 的 用 户 ， 尤 其 是 法 国 。 感 染 链 感 染 链 8 月 2 日 ， 我 们 检 测 到 了 一 波 针 对 法 国 企 业 的 P y L o c k y 攻 击 活 动 ， 该 活 动 中 攻 击 者 主 要 通 过 以 发 票 为 主 题 的 垃 圾 邮 件 来 引 诱 目 标 用 户 感 染 勒 索 软 件 。 在 电 子 邮 件 中 ， 攻 击 者 使 用 了 社 会 工 程 学 技 术 来 诱 使 用 户 点 击 恶 意 链 接 ， 而 恶 意 链 接 会
将 用 户 重 定 向 到 包 含 了 P y L o c k y 勒 索 软 件 的 恶 意 U R L 。 恶 意 U R L 指 向 的 是 一 个 包 含 了 已 签 名 可 执 行 文 件 ( F a c t u r e _ 2 3 1 0 0 . 3 1 . 0 7 . 2 0 1 8 . e x e ) 的 Z I P 文 件 ( F a c t u r e _ 2 3 1 0 0 . 3 1 . 0 7 . 2 0 1 8 . z i p ) 。 成 功 运 行 之 后 ， F a c t u r e _ 2 3 1 0 0 . 3 1 . 0 7 . 2 0 1 8 . e x e 会 让 目 标 主 机 感 染 恶 意 组 件 （ 一 些 C + + 文 件 、 P y t h o n 库 和 P y t h o n   2 . 7 核 心 动 态 链 接 库 D L L ） ， 以 及 主 要 的 勒 索 程 序 （ l o c k y f u d . e x e ， 通 过 P y I n s t a l l e r 创 建 ， 存 放 目 录 为 C : U s e r s { u s e r } A p p D a t a L o c a l T e m p i s - { r a n d o m } . t m p ） 。
P y L o c k y 能 够 加 密 图 片 、 视 频 、 文 档 、 音 频 、 程 序 、 游 戏 、 数 据 库 文 件 和 压 缩 文 档 等 等 。 下 面 给 出 的 是 P y L o c k y 可 加 密 的 文 件 类 型 ： 加 密 程 序 加 密 程 序
P y L o c k y 支 持 加 密 的 文 件 类 型 是 硬 编 码 在 配 置 文 件 中 的 ， 并 且 利 用 了 W i n d o w s 管 理 规 范 ( W M I ) 来 收 集 受 感 染 设 备 的 系 统 信 息 。 如 果 受 感 染 系 统 的 可 见 内 存 大 小 小 于 4 G B 的 话 ， P y L o c k y 还 可 以 通 过 休 眠 9 9 9 9 9 9 秒 （ 1 1 . 5 天 ） 来 躲 避 沙 盒 环 境 。 如 果 内 存 大 小 大 于 或 等 于 4 G B 的 话 ， P y L o c k y 将 会 直 接 执 行 文 件 加 密 程 序 。 加 密 完 成 之 后 ， P y L o c k y 将 会 与 远 程 命 令 控 制 服 务 器 建 立 通 信 连 接 。 P y L o c k y 使 用 P y C r y p t o 库 来 实 现 加 密 ， 这 里 利 用 的 是 3 D E S 加 密 算 法 。 P y L o c k y 首 先 会 枚 举 逻 辑 驱 动 器 ， 并 在 调 用 ‘ e f i l e ’ 方 法 之 前 生 成 一 份 文 件 列 表 ， 而 这 个 方 法 会 用 已 加 密 的 文 件 内 容 覆 盖 原 始 的 文 件 内 容 ， 然 后 发 送 勒 索 消 息 。 P y L o c k y 的 勒 索 信 息 采 用 了 英 语 、 法 语 、 韩 语 和 意 大 利 语 编 写 ， 这 也 表 明 韩 国 和 意 大 利 地 区 的 用 户 可 能 也 会 受 到 影 响 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C R A N S O M _ P Y L O C K Y . A ( S H A - 2 5 6 ) ：
相 关 哈 希 ( S H A - 2 5 6 ) ： 相 关 恶 意 U R L ： * 参 考 来 源 ： t r e n d m i c r o ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理