搜索

[13807] 2019-02-27_注入型勒索病毒Ryuk，伸向x64系统的魔爪

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-02-27_注入型勒索病毒Ryuk，伸向x64系统的魔爪 注 入 型 勒 索 病 毒 R y u k ， 伸 向 x 6 4 系 统 的 魔 爪 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 2 - 2 7 一 、 一 、 背 景 介 绍 背 景 介 绍 R y u k 是 一 款 通 过 垃 圾 邮 件 和 漏 洞 利 用 工 具 包 传 播 的 勒 索 病 毒 ， 最 早 在 是 一 款 通 过 垃 圾 邮 件 和 漏 洞 利 用 工 具 包 传 播 的 勒 索 病 毒 ， 最 早 在 2 0 1 8 年 年 8 月 由 国 外 某 安 全 公 司 报 道 ， 其 代 月 由 国 外 某 安 全 公 司 报 道 ， 其 代 码 结 构 与 码 结 构 与 H E R M E S 勒 索 病 毒 十 分 相 似 ； 早 前 ， 深 信 服 安 全 团 队 针 对 勒 索 病 毒 十 分 相 似 ； 早 前 ， 深 信 服 安 全 团 队 针 对 3 2 位 的 位 的 R y u k 勒 索 病 毒 进 行 了 详 细 的 技 术 分 勒 索 病 毒 进 行 了 详 细 的 技 术 分 析 ， 并 密 切 关 注 该 勒 索 家 族 的 发 展 动 向 ， 对 捕 获 的 针 对 析 ， 并 密 切 关 注 该 勒 索 家 族 的 发 展 动 向 ， 对 捕 获 的 针 对 6 4 位 系 统 版 本 的 位 系 统 版 本 的 R y u k 勒 索 病 毒 进 行 了 详 细 的 技 术 分 析 。 勒 索 病 毒 进 行 了 详 细 的 技 术 分 析 。 二 、 二 、 信 息 概 述 信 息 概 述 1 . 勒 索 病 毒 的 运 行 流 程 如 图 ： 2 . 勒 索 信 息 如 图 ：
3 . 加 密 后 文 件 如 图 ： 三 、 三 、 详 细 分 析 详 细 分 析 1 . 获 取 系 统 版 本 进 行 判 断 ： 2 . 线 程 功 能 - 终 止 x c h a n g e 相 关 进 程 ：
3 . 线 程 功 能 - 查 找 s p o o l e r 相 关 服 务 进 行 删 除 ：
4 . 提 升 进 程 权 限 ：
5 . 获 取 进 程 的 登 录 用 户 信 息 ： 6 . 查 找 " c s r s s . e x e " 、 " e x p l o r e r . e x e " 、 " l s a a s . e x e " 进 程 中 的 一 个 进 行 注 入 ： 7 . 执 行 注 入 进 程 的 代 码 ， 根 据 系 统 版 本 在 系 统 目 录 下 创 建 文 件 夹 ：
8 . 获 取 A P I 地 址 ：
9 . 提 升 注 入 进 程 的 权 限 ： 1 0 . 生 成 A E S 密 钥 并 使 用 R S A 公 钥 进 行 加 密 ： 1 1 . 解 密 出 勒 索 文 件 信 息 ：
1 2 . 遍 历 磁 盘 ， 对 文 件 进 行 加 密 ： 1 3 . 在 根 目 录 释 放 勒 索 文 件 “ R y u k R e a d M e . t x t ” ：
1 4 . 排 除 ” $ R e c y c l e . B i n ” 、 ” A h n L a b ” 、 ” C h r o m e ” 、 ” M o z i l l a ” 、 ” W I N D O W S ” 、 " R y u k R e a d M e . t x t " 、 " U N I Q U E I D D O N O T R E M O V E " 、 " P U B L I C " 目 录 或 文 件 ， 以 及 ” d l l / D l l / h r m l o g / e x e / E X E ” 类 型 的 文 件 ： 1 5 . 加 密 满 足 条 件 的 文 件 ：
1 6 . 对 加 密 文 件 设 置 已 加 密 标 识 ： 1 7 . 重 命 名 加 密 后 的 文 件 ， 添 加 ” . R Y K ” 后 缀 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理