搜索

[16194] 2020-12-11_利用VirusTotal跟踪Ryuk攻击行动

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-12-11_利用VirusTotal跟踪Ryuk攻击行动 利 用 V i r u s T o t a l 跟 踪 R y u k 攻 击 行 动 A v e n g e r   F r e e B u f   2 0 2 0 - 1 2 - 1 1 R y u k   是 最 危 险 的 勒 索 软 件 家 族 之 一 。 据 称 由 专 门 的 网 络 犯 罪 参 与 者 运 营 ， 该 勒 索 软 件 家 族 在 过 去 两 年 中 主 要 致 力 于 针 对 企 业 发 动 攻 击 。 勒 索 的 比 特 币 数 量 取 决 于 目 标 的 规 模 ， 该 组 织 用 于 收 集 赎 金 的 一 些 钱 包 在 几 周 内 达 到 了 数 百 万 勒 索 的 比 特 币 数 量 取 决 于 目 标 的 规 模 ， 该 组 织 用 于 收 集 赎 金 的 一 些 钱 包 在 几 周 内 达 到 了 数 百 万 美 元 美 元 。 阻 止 此 类 攻 击 是 安 全 团 队 的 主 要 工 作 之 一 。 在 预 防 此 类 攻 击 方 面 ， 安 全 团 队 可 以 做 什 么 ？ 情 报 就 是 力 量 ， 需 要 做 的 第 一 件 事 就 是 了 解 新 攻 击 行 动 的 运 作 方 式 。 攻 击 是 否 通 过 网 络 钓 鱼 或 利 用 任 何 漏 洞 进 行 传 播 ？ 是 否 使 用 暴 力 破 解 ？ 也 许 攻 击 者 联 合 使 用 二 者 ？ 除 了 上 述 的 除 了 上 述 的   T T P ， 我 们 还 需 要 尽 可 能 多 的 技 术 细 节 。 这 将 产 生 非 常 有 价 值 的 ， 我 们 还 需 要 尽 可 能 多 的 技 术 细 节 。 这 将 产 生 非 常 有 价 值 的   I O C   指 标 ， 指 标 ， 可 以 用 来 阻 止 恶 意 攻 击 、 保 护 基 础 设 施 架 构 可 以 用 来 阻 止 恶 意 攻 击 、 保 护 基 础 设 施 架 构 。 我 们 需 要 快 速 撒 下 渔 网 ， 以 捕 捉 与 新 的 攻 击 行 动 有 关 的 一 切 ！ 然 后 保 持 监 控 ， 以 确 保 随 着 攻 击 者 的 发 展 我 们 不 断 更 新 情 报 信 息 。 本 文 中 ， 我 们 将 描 述 如 何 使 用   V i r u s T o t a l   检 测 和 监 视   R y u k   的 新 攻 击 行 动 。 但 是 ， 这 是 一 个 非 常 特 殊 的 情 况 ， 在 这 里 我 们 想 展 示 我 们 的   I D A   插 件 如 何 在 处 理 样 本 时 为 我 们 节 省 大 量 时 间 。 启 动 调 查 启 动 调 查 两 星 期 前 ， 两 个 恶 意 文 件 上 传 到   V i r u s T o t a l （ 1 ， 2 ） 。 根 据   Y A R A   规 则 的 判 定 ， 这 些 文 件 看 起 来 像 是   R y u k   恶 意 软 件 。 仔 细 观 察 可 以 发 现 ， 这 些 文 件 可 能 是 从 内 存 中 这 些 文 件 可 能 是 从 内 存 中   d u m p   出 来 的 ： 反 汇 编 的 代 码 中 有 大 量 的 内 存 映 射 地 址 ， 并 且 出 来 的 ： 反 汇 编 的 代 码 中 有 大 量 的 内 存 映 射 地 址 ， 并 且 没 有 导 入 表 没 有 导 入 表 。 与 此 同 时 ， 这 些 样 本 在 执 行 时 崩 溃 了 ， 肯 定 是 破 损 的   P E   文 件 。 鉴 于 这 些 都 是 最 新 的 样 本 ， 我 们 想 要 了 解 这 次 攻 击 行 动 的 全 貌 的 话 就 要 寻 找 类 似 的 样 本 。 值 得 注 意 的 是 ， 因 为 内 存 d u m p   的 关 系 ， 某 些 段 和 内 存 映 射 的 地 址 是 特 异 的 、 唯 一 的 ， 如 果 基 于 此 检 索 样 本 ， 无 法 找 到 关 联 的 样 本 。 I D A   上 场 上 场 一 个 选 择 是 复 原 样 本 ， 这 个 工 程 非 常 复 杂 且 耗 时 。 也 可 以 使 用 我 们 的   I D A   插 件 来 检 索 样 本 。 使 用 “ 搜 索 相 似 代 码 ” 功 能 ， 就 可 以 创 建 检 索 查 询 ， 是 解 决 问 题 的 理 想 选 择 。 将 样 本 拖 入   I D A   分 析 后 可 以 发 现 ， 反 汇 编 引 擎 无 法 正 确 识 别 很 多 函 数 。 也 正 是 因 此 ， 是 搜 索 代 码 相 似 度 的 好 选 反 汇 编 引 擎 无 法 正 确 识 别 很 多 函 数 。 也 正 是 因 此 ， 是 搜 索 代 码 相 似 度 的 好 选 择 择 。
查 询 不 考 虑 内 存 映 射 地 址 ， 找 到 文 件 的 列 表 会 按 照 首 次 提 交 时 间 排 序 。 其 中 有 一 些 样 本 带 有 沙 盒 结 果 ， 这 意 味 着 该 样 本 执 行 不 会 崩 溃 。 选 择 一 个 原 始 样 本 ， 再 选 一 个 有 行 为 信 息 的 样 本 ： 在 比 较 这 两 个 样 本 时 ： 相 似 性 搜 索 不 会 显 示 相 似 有 一 部 分 相 同 的 长 字 节 序 列
是 想 要 找 的 样 本 吗 ？ 是 想 要 找 的 样 本 吗 ？ 我 们 对 找 到 新 样 本 充 满 信 心 ， 查 看 该 样 本   0 x 3 5 0 0 8 A 6 0   处 的 函 数 ， 使 用   I D A   插 件 选 择 比 较 长 的 指 令 序 列 重 新 搜 索 。 发 现   4   个 匹 配 的 结 果 文 件 ： 此 前 的 两 个 初 始 样 本 ， 另 一 个 破 损 的 文 件 ， 以 及 沙 盒 可 执 行 的 文 件 。 这 是 我 们 通 过 代 码 相 似 第 二 次 关 联 到 该 文 件 。 可 以 发 现 ， 它 与 两 个 最 初 的 破 损 文 件 都 有 同 样 的   P E   入 口 点 ， 且   W i n M a i n   函 数 也 相 同 。 简 单 来 看 ， 样 本 的 函 数 逻 辑 非 常 简 单 ， 只 有 三 个 代 码 块 。 但 是 将 对 抗 将 对 抗   I D A   反 汇 编 的 混 淆 去 掉 后 ， 可 以 直 接 比 较 两 个 函 数 的 相 似 之 处 ， 可 以 确 反 汇 编 的 混 淆 去 掉 后 ， 可 以 直 接 比 较 两 个 函 数 的 相 似 之 处 ， 可 以 确 定 是 原 始 的 样 本 定 是 原 始 的 样 本 。 怎 么 办 ？ 怎 么 办 ？ 截 止 到 目 前 为 止 ， 还 没 有   Y a r a   规 则 可 以 较 好 地 检 测 原 始 样 本 。 文 件 中 可 以 找 到 加 密 的 字 符 串 ， 这 些 字 符 串 对 发 现 类 这 些 字 符 串 对 发 现 类 似 的 样 本 非 常 有 用 。 这 些 字 符 串 在 破 损 的 文 件 中 也 存 在 ， 存 储 在 似 的 样 本 非 常 有 用 。 这 些 字 符 串 在 破 损 的 文 件 中 也 存 在 ， 存 储 在   . g f i d s   段 中 。 在 这 个 段 表 明 ， 这 些 字 符 串 最 初 段 中 。 在 这 个 段 表 明 ， 这 些 字 符 串 最 初 可 能 被 加 密 ， 执 行 后 被 解 密 可 能 被 加 密 ， 执 行 后 被 解 密 。 这 可 以 作 为 原 始 样 本 的 线 索 ， 使 用   V T - I D A   插 件 ， 检 索 同 类 样 本 文 件 。
不 出 所 料 ， 发 现 了 此 前 找 到 的 四 个 文 件 ， 又 新 发 现 了 两 个 其 他 的 样 本 文 件 在 我 们 发 现 的 文 件 前 三 天 提 交 ， 也 可 以 继 续 扩 展 调 查 。 这 些 字 符 串 都 可 以 用 来 改 进 原 始 的   Y a r a   规 则 ， 将 其 提 交 到   L i v e H u n t   即 可 跟 踪 到 攻 击 者 的 最 新 活 动 。 本 文 中 提 到 的 内 容 也 可 以 在   V T - G r a p h 中 查 看 详 细 信 息 。 参 考 来 源 参 考 来 源 h t t p s : / / b l o g . v i r u s t o t a l . c o m / 2 0 2 0 / 1 0 / t r a c i n g - f r e s h - r y u k - c a m p a i g n s - i t w . h t m l 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理