搜索

[14439] 2019-08-06_警惕新型勒索病毒来袭，勒索提示信息使用德语！

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2019-08-06_警惕新型勒索病毒来袭，勒索提示信息使用德语！ 警 惕 新 型 勒 索 病 毒 来 袭 ， 勒 索 提 示 信 息 使 用 德 语 ！ F r e e B u f   2 0 1 9 - 0 8 - 0 6 以 下 文 章 来 源 于 安 全 分 析 与 研 究   ， 作 者 p a n d a z h e n g z h e n g 近 日 国 外 某 独 立 安 全 研 究 员 近 日 国 外 某 独 立 安 全 研 究 员 ( 专 门 从 事 恶 意 样 本 分 析 工 作 专 门 从 事 恶 意 样 本 分 析 工 作 ) ， 发 现 了 一 款 新 型 的 勒 索 病 毒 ， 这 款 勒 索 病 毒 使 用 了 高 强 度 代 码 混 淆 手 段 ， 会 修 改 ， 发 现 了 一 款 新 型 的 勒 索 病 毒 ， 这 款 勒 索 病 毒 使 用 了 高 强 度 代 码 混 淆 手 段 ， 会 修 改 桌 面 背 景 ， 这 种 手 法 与 之 前 的 桌 面 背 景 ， 这 种 手 法 与 之 前 的 G a n d C r a b 和 和 S o d i n o k i b i 两 款 勒 索 病 毒 非 常 类 似 ， 这 款 勒 索 病 毒 的 勒 索 提 示 信 息 使 用 了 德 语 ， 这 种 使 用 德 语 提 两 款 勒 索 病 毒 非 常 类 似 ， 这 款 勒 索 病 毒 的 勒 索 提 示 信 息 使 用 了 德 语 ， 这 种 使 用 德 语 提 示 信 息 的 勒 索 病 毒 在 之 前 发 现 的 勒 索 病 毒 家 族 中 是 比 较 少 见 的 ， 之 前 报 告 我 就 说 过 ， 示 信 息 的 勒 索 病 毒 在 之 前 发 现 的 勒 索 病 毒 家 族 中 是 比 较 少 见 的 ， 之 前 报 告 我 就 说 过 ， G a n d C r a b 勒 索 病 毒 的 故 事 虽 然 结 束 了 ， 但 后 面 会 有 越 勒 索 病 毒 的 故 事 虽 然 结 束 了 ， 但 后 面 会 有 越 来 越 多 的 像 来 越 多 的 像 G a n d C r a b 的 黑 产 团 伙 出 现 ， 因 为 只 要 有 利 益 的 地 方 ， 就 会 有 黑 产 。 的 黑 产 团 伙 出 现 ， 因 为 只 要 有 利 益 的 地 方 ， 就 会 有 黑 产 。 G a n d C r a b 让 做 黑 产 的 看 到 了 巨 大 的 利 益 ， 未 来 新 型 勒 索 病 毒 还 会 增 加 ， 虽 然 总 体 数 量 可 能 会 减 少 ， 但 针 对 企 业 的 勒 索 攻 击 会 越 来 越 多 ， 流 行 的 勒 索 病 毒 家 族 会 增 多 ， 使 用 技 术 手 段 也 会 不 断 变 化 ， 这 些 针 对 企 业 的 勒 索 病 毒 背 后 都 会 有 一 个 像 G a n d C r a b 黑 产 运 营 团 队 那 样 的 团 队 ， 他 们 分 工 协 作 ， 在 背 后 操 控 运 营 着 这 些 流 行 的 勒 索 病 毒 ， 专 门 针 对 特 定 企 业 进 行 勒 索 攻 击 ， 然 后 从 中 获 取 巨 大 的 利 润 ， 这 款 勒 索 病 毒 未 来 可 能 会 爆 发 ， 请 各 安 全 厂 商 密 切 关 注 此 勒 索 病 毒 的 活 跃 情 况 ， 即 时 预 警 ， 国 外 独 立 恶 意 软 件 安 全 研 究 人 员 曝 光 此 勒 索 病 毒 的 信 息 ， 如 下 所 示 ： 勒 索 病 毒 样 本 已 经 被 人 上 传 到 了 在 a p p . a n y . r u n 网 站 ， 这 个 在 线 的 分 析 网 站 做 的 不 错 ， 很 适 合 一 些 新 手 ， 在 我 的 知 识 星 球 写 了 一 篇 对 这 个 网 站 的 详 细 介 绍 ， 加 入 去 知 识 星 球 学 习 ， 到 目 前 为 止 这 个 网 站 已 经 收 集 了 很 多 最 新 的 病 毒 样 本 ， 估 计 都 是 国 内 外 一 些 客 户 发 现 病 毒 样 本 之 后 ， 然 后 上 传 到 这 个 网 站 的 ， 这 种 在 线 沙 箱 网 站 是 一 种 很 好 的 收 集 最 新 病 毒 样 本 的 方 式 ， 如 下 所 示 ： 安 全 分 析 与 研 究 安 全 分 析 与 研 究   . 专 注 于 全 球 恶 意 软 件 的 分 析 与 研 究 ， 追 踪 全 球 黑 客 组 织 攻 击 活 动
此 勒 索 病 毒 运 行 之 后 ， 加 密 后 的 文 件 后 缀 为 随 机 名 ， 如 下 所 示 ： 会 修 改 桌 面 的 背 景 ， 如 下 所 示 ： 同 时 会 在 桌 面 生 成 一 个 勒 索 提 示 文 件 ， 文 件 名 ： [ 加 密 后 缀 ] _ E n t s c h l u e s s e l u n g s _ A n l e i t u n g . h t m l ， 内 容 为 德 语 ， 如 下 所 示 ：
交 付 赎 金 的 B T C 地 址 ： 1 9 D 4 i U q Y Y d 1 y 3 H n 2 9 5 y f s a c X U y k W w q Z a o v ， 需 要 支 付 0 . 1 5 个 左 右 B T C 勒 索 病 毒 核 心 技 术 剖 析 勒 索 病 毒 核 心 技 术 剖 析 1 . 此 勒 索 病 毒 母 体 使 用 了 高 强 度 的 混 淆 代 码 ， 以 逃 避 杀 毒 软 件 的 检 测 ， 外 壳 采 用 V C 编 写 ， 如 下 所 示 ：
该 样 本 的 时 间 戳 为 2 0 1 9 年 8 月 1 日 ， 如 下 所 示 ： 2 . 获 取 函 数 地 址 ， 并 分 配 相 应 的 内 存 空 间 ， 如 下 所 示 ： 3 . 在 内 存 中 解 密 出 代 码 ， 然 后 跳 转 执 行 ， 如 下 所 示 ： 4 . 解 密 执 行 内 层 的 P a y l o a d 代 码 ， 如 下 所 示 ：
5 . 从 内 存 中 D U M P 出 P a y l o a d 核 心 ， 是 一 个 D e l p h i 语 言 编 写 的 勒 索 病 毒 ， 如 下 所 示 ： 6 . 创 建 一 个 互 斥 变 量 H S D F S D - H F S D - 3 2 4 1 - 9 1 E 7 - A S D G S D G H H ， 如 下 所 示 ： 7 . 遍 历 进 程 ， 结 束 相 关 进 程 ， 如 下 所 示 ：
结 束 相 关 进 程 n o t e p a d . e x e , d b e n g 5 0 . e x e , s q b c o r e s e r v i c e . e x e , e n c s v c . e x e , m y d e s k t i o p s e r v i c e . e x e , i s q l p l u s s v c . e x e , a g n t s v c . e x e , s q l . e x e , s q l d . e x e , m y s q l . e x e , m y s q l d . e x e , o r a c l e . e x e 如 下 所 示 ： 8 . 创 建 互 斥 变 量 c F g x T E R N W E V h M 2 V ， 获 取 主 机 磁 盘 目 录 ， 如 下 所 示 ： 9 . 遍 历 磁 盘 目 录 文 件 ， 然 后 加 密 ， 此 勒 索 病 毒 加 密 后 的 文 件 全 填 充 为 零 ， 如 下 所 示 ：
1 0 . 生 成 勒 索 信 息 文 件 [ 加 密 后 缀 ] +   _ E n t s c h l u e s s e l u n g s _ A n l e i t u n g . h t m l , 如 下 所 示 ： 1 1 . 生 成 桌 面 背 景 ， 修 改 桌 面 背 景 ， 如 下 所 示 ： 1 2 . 调 用 c m d 命 令 删 除 磁 盘 卷 影 等 操 作 ， 如 下 所 示 ： 最 近 几 年 勒 索 病 毒 爆 发 ， 尤 其 是 针 对 企 业 的 勒 索 病 毒 攻 击 越 来 越 多 ， 关 于 勒 索 病 毒 的 防 护 ， 给 大 家 分 享 几 个 简 单 的 方 法 ， 通 过 这 些 方 法 可 以 有 效 的 防 御 部 分 勒 索 病 毒 ： 1 、 及 时 给 电 脑 打 补 丁 ， 修 复 漏 洞 2 、 谨 慎 打 开 来 历 不 明 的 邮 件 ， 点 击 其 中 链 接 或 下 载 附 件 ， 防 止 网 络 挂 马 和 邮 件 附 件 攻 击 3 、 尽 量 不 要 点 击 o f f i c e 宏 运 行 提 示 ， 避 免 来 自 o f f i c e 组 件 的 病 毒 感 染 4 、 需 要 的 软 件 从 正 规 （ 官 网 ） 途 径 下 载 ， 不 要 用 双 击 方 式 打 开 . j s 、 . v b s 、 . b a t 等 后 缀 名 的 脚 本 文 件 5 、 升 级 防 病 毒 软 件 到 最 新 的 防 病 毒 库 ， 阻 止 已 知 病 毒 样 本 的 攻 击 6 、 开 启 W i n d o w s   U p d a t e 自 动 更 新 设 置 ， 定 期 对 系 统 进 行 升 级
7 、 养 成 良 好 的 备 份 习 惯 ， 对 重 要 的 数 据 文 件 定 期 进 行 非 本 地 备 份 ， 及 时 使 用 网 盘 或 移 动 硬 盘 备 份 个 人 重 要 文 件 8 、 更 改 账 户 密 码 ， 设 置 强 密 码 ， 避 免 使 用 统 一 的 密 码 ， 因 为 统 一 的 密 码 会 导 致 一 台 被 攻 破 ， 多 台 遭 殃 ， 黑 客 会 通 过 相 同 的 弱 密 码 攻 击 其 它 主 机 9 、 如 果 业 务 上 无 需 使 用 R D P 的 ， 建 议 关 闭 R D P ， 以 防 被 黑 客 R D P 爆 破 攻 击 * 本 文 作 者 ： 本 文 作 者 ： 熊 猫 正 正 ， 转 载 请 注 明 来 自 熊 猫 正 正 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理