搜索

[14012] 2019-04-20_新型Anatova恶意软件分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-04-20_新型Anatova恶意软件分析 新 型 A n a t o v a 恶 意 软 件 分 析 A l p h a _ h a c k   F r e e B u f   2 0 1 9 - 0 4 - 2 0 近 期 ， 我 们 发 现 了 一 种 新 型 的 勒 索 软 件 家 族 近 期 ， 我 们 发 现 了 一 种 新 型 的 勒 索 软 件 家 族 - A n a t o v a 。 。 A n a t o v a 发 现 于 一 个 私 人 的 点 对 点 （ 发 现 于 一 个 私 人 的 点 对 点 （ p 2 p ） 网 络 中 ， 目 前 我 们 已 经 确 保 客 户 得 到 了 有 效 的 安 全 保 护 ， 并 打 算 在 这 篇 ） 网 络 中 ， 目 前 我 们 已 经 确 保 客 户 得 到 了 有 效 的 安 全 保 护 ， 并 打 算 在 这 篇 文 章 中 公 开 我 们 的 研 究 成 果 。 文 章 中 公 开 我 们 的 研 究 成 果 。 考 虑 到 A n a t o v a 是 以 模 块 化 扩 展 的 形 式 开 发 的 ， 因 此 我 们 认 为 它 将 会 发 展 成 为 非 常 严 重 的 安 全 威 胁 。 除 此 之 外 ， 它 还 会 检 查 目 标 设 备 是 否 连 接 了 网 络 共 享 ， 并 加 密 所 有 的 共 享 文 件 。 根 据 我 们 的 分 析 ， A n a t o v a 背 后 的 开 发 者 技 术 水 平 非 常 高 ， 因 为 我 们 捕 捉 到 的 每 一 个 样 本 都 拥 有 唯 一 的 密 钥 和 不 同 的 功 能 ， 这 在 勒 索 软 件 领 域 中 很 少 见 。 在 这 篇 文 章 中 ， 我 们 将 讨 论 A n a t o v a 的 技 术 细 节 ， 以 及 关 于 这 个 新 型 勒 索 软 件 家 族 其 他 的 一 些 有 意 思 的 东 西 。 分 析 样 本 h a s h ： A n a t o v a 的 主 要 目 的 是 加 密 目 标 设 备 上 的 所 有 文 件 ， 并 向 目 标 用 户 勒 索 数 据 赎 金 。 A n a t o v a 概 述 概 述 A n a t o v a 一 般 会 使 用 游 戏 或 者 常 见 应 用 的 图 标 来 欺 骗 用 户 下 载 恶 意 软 件 ， 然 后 请 求 获 取 管 理 员 权 限 ： A n a t o v a 勒 索 软 件 是 一 款 6 4 位 应 用 程 序 ， 编 译 日 期 为 2 0 1 9 年 1 月 1 日 。 我 们 的 样 本 文 件 大 小 为 3 0 7 k b ， 但 具 体 会 根 据 样 本 使 用 的 资 源 发 生 变 化 。 如 果 我 们 移 除 所 有 资 源 ， A n a t o v a 的 大 小 仅 为 3 2 k b 。 对 于 一 款 拥 有 如 此 强 大 机 制 的 勒 索 软 件 来 说 ， 这 个 体 积 确 实 非 常 小 。 A n a t o v a 还 拥 有 强 大 的 保 护 机 制 来 对 抗 静 态 分 析 ： 1 、   大 多 数 字 符 串 都 使 用 了 U n i c o d e 或 A S C I I 进 行 加 密 ， 使 用 了 不 同 的 解 密 密 钥 ， 数 据 全 部 嵌 入 在 可 执 行 文 件 中 。 2 、   9 0 % 都 是 动 态 调 用 ， 只 使 用 了 常 见 W i n d o w s   A P I 的 标 准 库 （ C 语 言 ） ： G e t M o d u l e H a n d l e W 、 L o a d L i b r a r y W 、 G e t P r o c A d d r e s s 、 E x i t P r o c e s s 和 M e s s a g e B o x A 。 3 、   当 我 们 在 I D A   P r o 中 查 看 代 码 并 对 功 能 函 数 进 行 分 析 时 ， I D A   P r o 一 直 报 错 ， 我 们 不 确 定 这 是 I D A   P r o 的 B u g 还 是 恶 意 软 件 开 发 者 有 意 而 为 之 的 。 V 1 . 0 亮 点 亮 点 因 为 这 是 一 款 新 型 的 勒 索 软 件 ， 所 以 我 们 暂 且 将 其 归 为 v 1 . 0 版 本 。 恶 意 软 件 首 先 会 获 取 “ k e r n e l 3 2 . d l l ” 来 作 为 模 块 处 理 库 ， 并 使 用 函 数 “ G e t P r o c A d d r e s s ” 来 从 处 理 库 中 获 取 2 9 个 功 能 函 数 。 1 7 0 f b 7 4 3 8 3 1 6 f 7 3 3 5 f 3 4 f a 1 a 4 3 1 a f c 1 6 7 6 a 7 8 6 f 1 a d 9 d e e 6 3 d 7 8 c 3 f 5 e f d 3 a 0 a c 0
如 果 恶 意 软 件 无 法 获 取 k e r n e l 3 2 模 块 处 理 库 ， 而 且 也 无 法 获 取 其 他 的 功 能 函 数 ， 它 将 会 退 出 执 行 。 接 下 来 ， 恶 意 软 件 会 尝 试 使 用 硬 编 码 名 称 （ 6 a 8 c 9 9 3 7 z F I w H P Z 3 0 9 U Z M Z Y V n w S c P B 2 p R 2 M E x 5 S Y 7 B 1 x g b r u o O ） 来 创 建 原 语 ， 但 不 同 样 本 中 的 原 语 名 称 也 不 同 。 创 建 完 成 并 获 取 到 处 理 库 后 ， 它 会 调 用 “ G e t L a s t E r r o r ” 函 数 ， 并 判 断 最 后 一 条 错 误 信 息 是 否 为 E R R O R _ A L R E A D Y _ E X I S T S 或 E R R O R _ A C C E S S _ D E N I E D 。 这 两 条 错 误 信 息 指 的 是 “ 之 前 的 原 语 对 象 实 例 已 存 在 ” 。 如 果 出 现 这 样 的 情 况 ， 恶 意 软 件 会 清 空 内 存 ， 我 们 之 后 会 详 细 介 绍 这 部 分 。 通 过 这 项 检 测 后 ， A n a t o a 会 使 用 相 同 的 机 制 从 “ a d v a p i 3 2 . d l l ” 、 “ C r y p t 3 2 . d l l ” 和 “ S h e l l 3 2 . d l l ” 库 中 获 取 某 些 功 能 函 数 。 所 有 的 文 本 都 经 过 了 加 密 处 理 ， 并 且 挨 个 进 行 解 密 ， 然 后 获 取 函 数 ， 释 放 内 存 ， 然 后 处 理 下 一 个 请 求 。 如 果 无 法 获 取 到 必 要 模 块 或 函 数 ， 它 将 会 运 行 清 理 工 具 并 退 出 运 行 。 有 意 思 的 是 ， A n a t o a 还 会 获 取 已 登 陆 / 活 动 用 户 的 用 户 名 并 搜 索 比 对 一 个 加 密 用 户 名 列 表 ： 很 明 显 这 是 一 种 躲 避 虚 拟 机 和 沙 盒 的 方 法 。 接 下 来 ， A n a t o v a 还 会 检 测 目 标 系 统 的 语 言 ， 即 系 统 使 用 的 区 域 语 言 选 项 ， 这 样 是 为 了 确 保 用 户 无 法 通 过 屏 蔽 某 种 语 言 来 绕 过 文 件 加 密 。 下 面 的 国 家 不 会 受 到 A n a t o v a 的 影 响 ： 独 联 体 国 家 被 排 除 在 攻 击 名 单 外 的 情 况 很 常 见 ， 这 也 表 明 攻 击 者 很 有 可 能 来 自 于 其 中 的 一 个 国 家 。 但 是 ， 有 多 个 国 家 被 排 除 在 外 就 有 些 奇 怪 了 。 L a V i r u l e r a t e s t e r T e s t e r a n a l y s t A n a l y s t l a b L a b M a l w a r e M a l w a r e 所 有 独 联 体 国 家 叙 利 亚 埃 及 摩 洛 哥 伊 拉 克 印 度
语 言 检 测 完 成 后 ， A n a t o v a 会 寻 找 一 个 标 记 （ 该 标 记 在 所 有 样 本 中 的 值 都 为 0 ） ， 如 果 这 个 标 记 值 变 成 了 1 ， 它 将 会 加 载 两 个 D L L 文 件 ： “ e x t r a 1 . d l l ” 和 “ e x t r a 2 . d l l ” 。 这 也 表 明 ， A n a t o v a 是 以 模 块 化 的 形 式 开 发 的 ， 并 且 将 来 会 实 现 更 多 的 功 能 扩 展 。 接 下 来 ， A n a t o v a 会 使 用 加 密 A P I 来 生 成 R S A 密 钥 对 。 它 会 使 用 加 密 A P I “ C r y p t G e n R a n d o m ” （ S a l s a 2 0 算 法 ） 来 创 建 一 个 3 2 位 的 随 机 密 钥 以 及 一 个 8 字 节 值 。 文 件 加 密 过 程 中 ， 它 还 会 解 码 样 本 中 的 主 R S A 公 钥 ： 用 于 实 现 文 件 加 密 功 能 的 部 分 代 码 如 下 ：
下 面 给 出 的 是 A n a t o v a 显 示 给 目 标 用 户 的 勒 索 信 息 ： 文 件 加 密 完 成 后 ， A n a t o v a 还 会 删 除 目 标 设 备 上 的 卷 硬 拷 贝 ， 跟 其 他 勒 索 软 件 一 样 ， 这 里 A n a t o v a 同 样 会 使 用 v s s a d m i n 程 序 ： 所 有 的 操 作 步 骤 都 完 成 后 ， 勒 索 软 件 会 进 入 代 码 清 洁 流 程 ， 也 就 是 清 除 内 存 中 的 代 码 以 防 止 用 户 创 建 解 密 工 具 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C 样 本 使 用 了 下 列 攻 击 技 术 ： 1 、   通 过 A P I 执 行 ； 2 、   应 用 进 程 发 现 ； 3 、   文 件 和 目 录 发 现 ： 搜 索 文 件 进 行 加 密 ； 4 、   加 密 文 件 ； 5 、   进 程 发 现 ： 枚 举 终 端 设 备 上 的 所 有 进 程 ， 并 终 止 特 定 进 程 ； 6 、   创 建 文 件 ； 7 、   权 限 提 升 ； 哈 希 ： 哈 希 ： *   参 考 来 源 ： s e c u r i n g t o m o r r o w ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读 2 a 0 d a 5 6 3 f 5 b 8 8 c 4 d 6 3 0 a e f b c d 2 1 2 a 3 5 e 3 6 6 7 7 0 e b f d 0 9 6 b 6 9 e 5 0 1 7 a 3 e 3 3 5 7 7 a 9 4 9 d 8 4 4 d 5 4 8 0 e e c 1 7 1 5 b 1 8 e 3 f 6 4 7 2 6 1 8 a a 6 1 1 3 9 d b 0 b b e 4 9 3 7 c d 1 a f c 0 b 8 1 8 0 4 9 8 9 1 5 9 6 e b e 2 2 7 d c d 0 3 8 6 3 e 0 a 7 4 0 b 6 c 6 0 5 9 2 4
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理