搜索

[15655] 2020-07-27_Try2Cry：使用蠕虫技术传播的勒索软件

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-07-27_Try2Cry：使用蠕虫技术传播的勒索软件 T r y 2 C r y ： 使 用 蠕 虫 技 术 传 播 的 勒 索 软 件 A v e n g e r   F r e e B u f   2 0 2 0 - 0 7 - 2 7 T r y 2 C r y   勒 索 软 件 通 过   L N K   文 件 使 用   U S B   驱 动 器 传 播 ， 上 一 个 使 用 该 方 式 传 播 的 勒 索 软 件 是   S p o r a 。 我 们 的   U S B   蠕 虫 检 测 规 则 日 常 会 命 中 很 多 样 本 ， 如 基 于   . N E T   的   R A T   变 种 （ n j R A T   和   B l a c k N e t   R A T ） 。 近 日 我 们 发 现 了 一 个 未 知 的 样 本 命 中 了 该 规 则 ， 似 乎 是 一 个   . N E T   的 勒 索 软 件 ， 对 此 展 开 了 分 析 。 初 始 静 态 分 析 初 始 静 态 分 析 勒 索 软 件 在 资 源 中 包 含 以 下 图 像 ： 在 字 符 串 列 表 中 包 含 勒 索 信 息 注 释 ：
从 字 符 串 中 可 以 发 现 ： 样 本 使 用   D N G u a r d   进 行 保 护 加 密 文 件 扩 展 名 为   . T r y 2 C r y 联 系 人 邮 件 地 址 为   T r y 2 C r y @ I n d e a . i n f o 样 本 使 用 的 似 乎 是   D N G u a r d   的 试 用 版 ， 并 且 在 运 行 时 会 发 生 崩 溃 。 针 对 该 样 本 编 写 了   Y a r a   规 则 在   V i r u s T o t a l   上 检 索 不 受 保 护 的 样 本 。 之 后 就 在   V i r u s T o t a l   上 发 现 了 另 外   1 0   个   T r y 2 C r y   样 本 ， 这 些 样 本 都 没 有   D N G u a r d   保 护 。 样 本 中 有 些 具 有 蠕 虫 传 播 的 功 能 ， 有 些 没 有 。 与 此 同 时 ， 有 些 样 本 的 勒 索 信 息 是 阿 拉   伯 语 的 ， 但 是 所 有 的 加 密 文 件 扩 展 名 都 是   . T r y 2 C r y 。 识 别 家 族 识 别 家 族 M i c h a e l   G i l l e s p i e   认 为 该 样 本 是     勒 索 软 件 的 变 种 。 S t u p i d   勒 索 软 件 的 代 码 在   G i t H u b   上 开 源 了 ， 后 续 演 变 出 多 种 变 种 。 后 续 分 析 了 两 个 典 型 样 本 ， 一 个 有 轻 度 混 淆 ， 另 一 个 没 有 混 淆 也 没 有 提 供 蠕 虫 传 播 功 能 。 后 者 使 用 阿 拉   伯 语 提 供 的 勒 索 信 息 ， 并 且 邮 箱 地 址 为   。 加 密 加 密 T r y 2 C r y   的 目 标 文 件 如 下 所 示 ： 加 密 算 法 使 用 的 是   A E S   的 前 身   R i j n d a e l ， 加 密 密 码 硬 编 码 在 样 本 中 。 通 过 计 算 密 码 的   S H A 5 1 2   哈 希 值 ， 使 用 哈 希 的 前   3 2   位 创 建 加 密 密 钥 。 S t u p i d i n f o @ r u s s i a n v i p . i o * . d o c , * . p p t , * . j p g , * . x l s , * . p d f , * . d o c x , * . p p t x , * . x l s , * x l s x
算 法 中   I V   的 构 建 方 法 几 乎 与 密 钥 相 同 ， 区 别 在 于 使 用 了   S H A 5 1 2   哈 希 值 的 后   1 6   位 。 加 密 时 ， 设 备 名 称 为     与     的 机 器 可 以 免 于 加 密 。 这 可 能 是 恶 意 软 件 开 发 者 的 计 算 机 名 称 ， 便 于 在 测 试 时 提 供 保 护 。 蠕 虫 功 能 蠕 虫 功 能 蠕 虫 功 能 部 分 使 用 与   S p o r a 、 D i n i h o u   和   G a m a r u e   类 似 的 技 术 。 样 本 搜 索 可 移 动 设 备 ， 将 自 身 的 副 本   U p d a t e . e x e   放 置 在 设 备 的 根 目 录 下 。 设 备 中 的 文 件 都 会 被 隐 藏 ， 然 后 使 用 相 同 的 图 标 替 换 为 非 隐 藏 的   W i n d o w s   快 捷 方 式 。 这 些 快 捷 方 式 将 会 运 行 隐 藏 文 件   U p d a t e . e x e   以 及 原 始 文 件 。 D E S K T O P - P Q 6 N S M 4 I K - P C 2
样 本 还 释 放 了 文 件 夹 图 标 和 阿 拉   伯 名 称 的 可 见 副 本 。 G o o g l e   对 这 些 阿 拉   伯 文 的 翻 译 是 ： 非 常 特 别 重 要 密 码 一 个 陌 生 人 五 个 起 源
T r y 2 C r y   尝 试 尝 试 与   S p o r a   不 同 的 是 ， 它   U S B   驱 动 器 的 感 染 迹 象 十 分 明 显 ， 快 捷 方 式 和 阿 拉   伯 语 等 可 执 行 文 件 。 与   S t u p i d   勒 索 软 件 的 其 他 变 种 一 样 ， 该 勒 索 软 是 可 以 解 密 的 。 该 开 发 者 几 乎 没 有 很 多 额 外 的 功 能 添 加 ， 如 果   G i t H u b 能 够 对 开 源 恶 意 软 件 的 删 除 更 为 积 极 ， 会 对 这 类 问 题 起 到 更 好 的 效 果 。 H a s h f 6 5 2 1 e 2 9 8 c 8 4 9 c 1 4 c d 0 a 4 d 0 e 8 9 4 7 f a 2 d 9 9 0 e 0 6 d 9 7 8 e 8 9 a 2 6 2 e 6 2 c 9 6 8 c e f d 9 b 8 f 3 7 8 6 a d 0 8 d 8 d a c f a 8 4 a 0 c 5 7 b 4 8 d f a 8 9 2 1 4 3 5 f 5 5 7 9 2 3 5 d 1 7 e d c 0 0 1 6 0 e 7 a 8 6 a e 1 c 5 5 9 0 8 8 5 b 5 a f c 3 a a 1 d 3 4 7 2 0 b b 7 5 8 f b 2 8 6 8 b b 0 8 7 0 5 5 7 d b 2 1 1 0 e 6 1 3 9 7 a 5 3 6 4 c 7 f 8 b 3
2 c 5 f 3 9 2 7 6 7 f e c e d 7 7 0 b 3 7 f c e 6 b 6 6 c 1 8 6 3 d a a b 3 6 a 7 1 6 b 0 7 f 2 5 c 5 b e f 0 e e a f c 0 b 2 6 3 b 6 5 d b d 9 b 0 5 0 1 9 a a e 6 5 8 c 2 1 f 7 f c b 1 8 d d 2 9 e e a 1 5 5 5 c c 2 6 c 3 f a 1 2 b 9 a a 7 4 e a 5 5 b 8 8 8 5 9 4 5 3 3 a 7 5 4 4 f a 4 7 7 e 5 7 1 1 d 2 3 7 c c a c 7 f 4 a 6 2 c 2 c 8 4 7 4 6 5 c c e a 3 c f d b 4 1 4 a 0 0 a 3 9 7 c e f b 7 2 6 2 2 2 9 b 0 0 5 3 d a f 3 2 0 8 f 7 a d c 7 d 4 f b 4 e d a f 0 8 9 4 4 a 9 b 6 5 d 7 e b 1 e f a a 3 1 2 8 2 9 6 d d 0 3 6 0 8 5 f 8 2 2 0 d 1 3 c 6 0 f 8 7 9 f f 4 8 c c f 6 c 7 d 6 0 8 9 3 2 1 7 f c 9 8 8 a e 6 4 d 2 e e 6 a 4 e b 3 2 4 1 f b 6 2 1 d 2 c 9 4 b 9 8 0 d 8 7 a 8 a a 3 2 3 9 e b e d a 8 5 7 a 2 f c b 2 9 f 5 a a c 0 8 f a c a c d c 8 7 9 f 9 c e 7 8 4 f d 2 4 3 6 7 e 7 a 7 1 b c e 4 4 3 5 f b 8 0 8 f 4 8 3 e 0 4 6 6 d f 6 0 e 8 5 1 f d 0 5 e e d 9 c 2 f d 8 3 8 4 0 4 e 7 a 9 d 参 考 链 接 参 考 链 接 h t t p s : / / w w w . g d a t a s o f t w a r e . c o m / b l o g / 2 0 2 0 / 0 7 / 3 6 2 0 0 - r a n s o m w a r e - t r i e s - t o - w o r m 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理