搜索

[15385] 2020-05-17_手撕伪YARRAQ勒索病毒

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-05-17_手撕伪YARRAQ勒索病毒 手 撕 伪 Y A R R A Q 勒 索 病 毒 l a n g y a j i e k o u   F r e e B u f   2 0 2 0 - 0 5 - 1 7 2 0 2 0   年 的 勒 索 病 毒 愈 加 猖 狂 ， 各 种 变 种 层 出 不 穷 ， 对 一 般 企 业 的 威 胁 非 常 之 大 ， 尤 其 是 现 在 的 定 点 投 放 勒 索 已 年 的 勒 索 病 毒 愈 加 猖 狂 ， 各 种 变 种 层 出 不 穷 ， 对 一 般 企 业 的 威 胁 非 常 之 大 ， 尤 其 是 现 在 的 定 点 投 放 勒 索 已 经 不 再 局 限 于 之 前 的 盲 打 ， 除 了 勒 索 还 泄 露 资 料 外 ， 功 利 性 也 愈 加 明 显 ， 企 业 在 没 有 做 好 基 础 架 构 的 基 础 上 也 经 不 再 局 限 于 之 前 的 盲 打 ， 除 了 勒 索 还 泄 露 资 料 外 ， 功 利 性 也 愈 加 明 显 ， 企 业 在 没 有 做 好 基 础 架 构 的 基 础 上 也 是 防 不 胜 防 。 疫 情 期 间 为 了 业 务 运 行 也 是 被 迫 临 时 开 了 很 多 后 门 和 小 道 ， 所 以 怪 不 得 有 文 章 说 暴 露 在 公 网 的 是 防 不 胜 防 。 疫 情 期 间 为 了 业 务 运 行 也 是 被 迫 临 时 开 了 很 多 后 门 和 小 道 ， 所 以 怪 不 得 有 文 章 说 暴 露 在 公 网 的 R D P   是 迅 猛 剧 增 ， 给 勒 索 病 毒 提 供 了 更 多 的 突 破 口 。 最 近 ， 一 个 勒 索 病 毒 的 对 抗 个 人 觉 得 挺 有 意 思 ， 权 且 记 是 迅 猛 剧 增 ， 给 勒 索 病 毒 提 供 了 更 多 的 突 破 口 。 最 近 ， 一 个 勒 索 病 毒 的 对 抗 个 人 觉 得 挺 有 意 思 ， 权 且 记 记 。 且 先 让 我 们 想 象 一 个 场 景 ， 一 台 工 作 站 感 染 了 勒 索 病 毒 ， 电 脑 里 面 有 很 多 重 要 的 文 件 ， 现 在 全 被 加 密 了 ， 记 。 且 先 让 我 们 想 象 一 个 场 景 ， 一 台 工 作 站 感 染 了 勒 索 病 毒 ， 电 脑 里 面 有 很 多 重 要 的 文 件 ， 现 在 全 被 加 密 了 ， 客 户 无 法 承 受 付 钱 的 痛 苦 ， 太 痛 了 ， 于 是 打 电 话 找 应 急 ， 故 事 也 就 开 始 了 。 客 户 无 法 承 受 付 钱 的 痛 苦 ， 太 痛 了 ， 于 是 打 电 话 找 应 急 ， 故 事 也 就 开 始 了 。 其 实 没 什 么 好 说 的 ， 如 果 真 的 有 客 户 打 电 话 给 你 说 文 件 被 加 密 了 ， 怎 么 办 ？ 真 的 能 说 的 就 是 除 了 恢 复 备 份 就 是 凉 拌 了 。 当 然 也 可 以 先 看 下   3 6 0   安 全 卫 士 ， h t t p s : / / l e s u o b i n g d u . 3 6 0 . c n /   或 者   h t t p s : / / w w w . n o m o r e r a n s o m . o r g /
如 果 运 气 好 ， 中 的 勒 索 病 毒 变 种 是 过 去 式 ， 且 已 经 有 释 放 解 密 工 具 的 话 可 以 碰 碰 运 气 ， 但 是 老 实 说 ， 如 果 你 连 过 去 式 的 勒 索 病 毒 在 现 在 进 行 时 依 然 中 招 ， 只 能 说 四 个 字 ， 没 得 救 了 ！ 为 什 么 ？ 你 连 基 础 的 防 病 毒 软 件 都 不 装 都 不 维 护 都 不 更 新 的 话 ， 就 不 要 说 好 可 怜 好 可 怜 。 目 前 勒 索 病 毒 的 数 量 那 是 层 出 不 穷 ， 变 种 不 停 更 新 ， 现 阶 段 破 解 的 工 具 真 的 只 能 说 是 杯 水 车 薪 ， 远 水 也 救 不 了 近 火 。 至 于 网 上 还 有 一 些 说   1 0 0 %   帮 你 解 勒 索 的 ， 我 只 能 说 天 真 又 好 看 ， 要 么 是 合 伙 ， 对 ， 就 是 承 包 商 ， 跟 勒 索 病 毒 作 者 合 作 的 承 包 商 ； 要 么 是 掮 客 ， 作 为 中 间 人 跟 受 害 者 和 黑 客 沟 通 ， 而 他 的 主 要 职 责 是 主 动 说 服 说 服 受 害 人 给 钱 ， 次 要 职 责 才 是 跟 黑 客 沟 通 降 价 。 只 有 受 害 人 给 了 钱 ， 他 才 能 拿 到 佣 金 ， 就 这 么 两 个 事 实 。 看 了 下 文 件 和 勒 索 信 ， 后 缀 是   y a r r a q ， 顺 手 试 了 试   3 6 0 ， 很 遗 憾 ， 目 前 暂 时 没 有 解 密 工 具 ，
关 于   C y b r o g   勒 索 病 毒 家 族 详 情 可 参 考 ： h t t p : / / b b s . 3 6 0 . c n / t h r e a d - 1 5 8 2 4 3 7 4 - 1 - 1 . h t m l 说 实 话 ， 真 的 没 什 么 救 的 。 。 。 但 好 歹 也 看 看 ， 到 底 是 什 么 文 件 感 染 了 ， 回 溯 看 看 有 没 有 样 本 吧 。 嗯 嗯 ， 客 户 这 边 正 好 部 署 了 摩 罗 神 （ M o l o c h ） ， 我 习 惯 叫 猫 头 鹰 。 。 。 具 体 文 章 可 以 看 看   F r e e b u f   的 介 绍 ， 如 果 你 有 S e c u r i t y O n i o n   那 也 行 ， 态 势 感 知 平 台 不 行 ， 态 感 不 做 全 流 量 监 控 ， 仅 对 识 别 的 流 量 进 行 抓 包 ， 抓 了 的 包 用   W i r e s h a r k   打 开 来 看 看 ， 噪 音 太 多 ， 所 以 一 般 上 手 就 是 一 招 鲜 ， 看 看 有 没 有 什 么   H T T P   对 象 在 里 面 。
运 气 不 错 ， 发 现 一 个 可 疑 目 标 ， S a l a r y - 2 0 1 9 . e x e ， 一 看 名 字 就 知 道 这 种 东 东   1 0 0 %   都 是 有 问 题 的 ， 绝 不 例 外 。 查 查 邮 件 服 务 器 日 志 ， 翻 翻 上 网 日 志 ， 就 大 概 率 可 疑 追 溯 到 来 源 并 加 以 阻 止 了 ， 此 为 题 外 话 ， 就 不 说 了 。 导 出 目 标 ， 用   s h a s u m   看 看 。 接 下 来 跑 跑   v i r u s t o t a l 。 哇 ， 万 里 江 山 一 片 红 。 6 2 / 7 3   的 检 出 率 。 看 看   D E T A I L S   是 啥 玩 意 ？ 咦 ， 是   H i d d e n - t e a r 。 注 意 ： y a r r a q   隶 属 于   C y b r o g   家 族 ， 属 于 标 准 的   A E S + R S A   加 密 ， 本 文 是 无 法 用 于   y a r r a q   解 密 ， 请 不 要 套 路 ！
关 于   H i d d e n - T e a r   的 介 绍 可 以 查 阅   F r e e b u f ， 属 于 一 款 开 源 的 勒 索 软 件 ， 一 看 到 这 个 精 神 顿 时 兴 奋 了 ， H i d d e n - T e a r   作 为 一 款   A E S   加 密 的 勒 索 ， 会 将   A E S   秘 钥 明 文 发 送 到 服 务 端 ， 这 样 通 过 流 量 监 控 是 很 有 可 能 拦 截 到 秘 钥 的 ， 这 样 一 来 ， 解 密 就 不 是 事 了 。 为 了 节 省 篇 幅 ， 有 兴 趣 的 可 以 自 由 阅 览 h t t p s : / / g i t h u b . c o m / g o l i a t e / h i d d e n - t e a r 重 点 在 于 ： 秘 钥 明 文 传 输 ： 那 转 头 来 看   W i r e s h a r k ， F o l l o w   一 下 看 看 有 没 有 奇 遇 ， 结 果 并 没 有 。 。 。 S i g h 。
翻 了 几 个 钟 头 ， 确 实 没 有 ， 真 的 没 有 ， 兄 弟 ， 不 要 浪 费 时 间 了 。 。 。 客 户 这 时 候 贼 兮 兮 地 说 ， 胸 逮 ， 这 里 有 个 内 存   d u m p   文 件 ， 你 看 有 没 有 用 ？ 哦 。 那 就 翻 翻 ， 翻 翻 ， 再 翻 翻 吧 ， 结 果   K a l i 2 0 1 9 v 4   不 争 气 ， v o l a t i l i t y   竟 然 不 标 配 了 。 。 。 买 车 不 配 轮 子 ， 还 要 自 己 装 轱 辘 。 呃 ， 这 个 难 不 倒 我 ， 噼 里 啪 啦 装 了 就 不 打 命 令 了 ， 这 个 简 单 就 不 说 了 。 接 着 ， 一 个 命 令 怼 怼 看 看 ： v o l a t i l i t y   - f   s a l a r y . d m p   i m a g e i n f o ， 具 体 的   v o l a t i l i t y   的 用 法 可 以 参 考 官 方 文 档 ， 我 这 里 就 不 再 详 述 。 h t t p s : / / g i t h u b . c o m / v o l a t i l i t y f o u n d a t i o n / v o l a t i l i t y 如 果 真 没 有 怎 么 用 过 ， 可 以 参 考   f r e e b u f   的 文 章 ， 这 里 就 不 贴 了 ， 不 过 ， 不 管 怎 样 ， 第 一 道 命 令 百 分 百 是   i m a g e i n f o   或 者   k d b g s c a n   查 看 内 存 镜 像 配 置 ， 必 须 采 用 正 确 的 内 存 配 置 文 件 才 能 够 正 确 解 析 相 关 内 容 。 嗯 嗯 ， 太 小 太 小 ， 害 我 截 个 图 都 那 么 （ m o ） 长
来 看 看 内 存 里 面 有 没 有 ： 也 是 太 长 。 。 还 是 木 有 的 样 子 。 好 ， 是 不 是 已 经 隐 藏 了 ？ 翻 了 翻 也 没 有 什 么 特 殊 情 况 ， 所 以 就 不 截 全 图 了 。 不 过 还 是 提 一 嘴 ， 这 个 插 件 可 以 通 过 比 较   P s A c t i v e P r o c e s s H e a d   所 包 含 的 内 容 和 其 他 不 同 来 源 的 进 程 列 表 所 报 告 的 内 容 来 帮 助 你 检 测 隐 藏 的 进 程 。 它 可 以 比 较 以 下 内 容 ： P s A c t i v e P r o c e s s H e a d   链 接 列 表 E P R O C E S S   池 扫 描
E T H R E A D   池 扫 描 （ 然 后 引 用 拥 有 的   E P R O C E S S ） 。 P s p C i d T a b l e C s r s s . e x e   处 理 表 C s r s s . e x e   内 部 链 接 列 表 下 面 是 用   p s x v i e w   检 测   P r o l a c o   恶 意 软 件 的 一 个 例 子 。 任 何 一 列 中 的 ” F a l s e   “ 都 表 示 相 应 的 进 程 丢 失 了 。 你 可 以 知 道 ” 1 _ d o c _ R C D a t a _ 6 1   “ 是 可 疑 的 ， 因 为 除 了   p s l i s t ( P s A c t i v e P r o c e s s H e a d )   之 外 ， 它 在 其 他 列 中 均 出 现 。 关 于 v o l a t i l i t y   的 用 法 ， F r e e b u f   已 经 很 多 了 ， 我 就 不 再 提 了 ， 也 可 以 参 考 ： h t t p s : / / g i t h u b . c o m / v o l a t i l i t y f o u n d a t i o n / v o l a t i l i t y / w i k i / C o m m a n d - R e f e r e n c e - M a l 网 络 连 接 太 长 ， 导 出 仔 细 分 析 了 下 ， 也 没 有 发 现 相 关   D N S   解 析 的 情 况 。 再 接 着 用   m a l f i n d   也 没 有 发 现   H o l l o w P r o c e s s   插 入 的 情 况
V o l a t i l i t y   有 几 个 内 置 的 扫 描 引 擎 ， 可 以 帮 助 找 到 简 单 的 模 组 ， 比 如 物 理 或 虚 拟 地 址 空 间 中 的 池 标 记 。 如 果 需 要 扫 描 更 复 杂 的 东 西 ， 如 正 则 表 达 式 或 复 合 规 则 （ 即 搜 索 ” t h i s   “ 而 不 是 ” t h a t ” ） ， 则 可 以 使 用   y a r a s c a n   命 令 。 这 个 插 件 可 以 帮 助 找 到 用 户 模 式 或 内 核 内 存 中 的 任 何 字 节 序 列 、 正 则 表 达 式 、 A N S I   字 符 串 或   U n i c o d e   字 符 串 。 我 们 在 之 前 的 文 档 中 已 经 知 道 会 传 递   i n f o   信 息 ， 所 以 我 们 来 搜 索 下 内 存 空 间 是 否 存 在 相 关 关 键 字 那 我 们 就 用   y a r a s c a n   来 扫 扫 看 看 B i n g o ! ! ! 看 到   A E S   的 密 码 了 ！ 接 下 来 就 简 单 了 ， 用   h i d d e n - t e a r - d e c r y p t e r   尝 试 解 密 即 获 成 功 ！
故 事 讲 完 了 ， 就 到 这 吧 ！ 防 护 建 议 ： 防 护 建 议 ： 1 . 多 台 机 器 ， 不 要 使 用 相 同 的 账 号 和 口 令 2 . 登 录 口 令 要 有 足 够 的 长 度 和 复 杂 性 ， 并 定 期 更 换 登 录 口 令 3 . 重 要 资 料 的 共 享 文 件 夹 应 设 置 访 问 权 限 控 制 ， 并 进 行 定 期 备 份 定 期 备 份 4 . 定 期 检 测 系 统 和 软 件 中 的 安 全 漏 洞 ， 及 时 打 上 补 丁 。 5 . 定 期 到 服 务 器 检 查 是 否 存 在 异 常 ， 查 看 范 围 包 括 ： a . 是 否 有 新 增 账 户 b . G u e s t   是 否 被 启 用 c . W i n d o w s   系 统 日 志 是 否 存 在 异 常 d . 杀 毒 软 件 是 否 存 在 异 常 拦 截 情 况 e . 安 装 安 全 防 护 软 件 ， 并 确 保 其 正 常 运 行 。 f . 从 正 规 渠 道 下 载 安 装 软 件 。 g . 对 不 熟 悉 的 软 件 ， 如 果 已 经 被 杀 毒 软 件 拦 截 查 杀 ， 不 要 添 加 信 任 继 续 运 行 。 * 本 文 作 者 ： 本 文 作 者 ： l a n g y a j i e k o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理