搜索

[16523] 2021-03-07_Avaddon勒索病毒解密工具及原理

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-07_Avaddon勒索病毒解密工具及原理 A v a d d o n 勒 索 病 毒 解 密 工 具 及 原 理 p a n d a z h e n g z h e n g   F r e e B u f   2 0 2 1 - 0 3 - 0 7 简 介 简 介 A v a d d o n 勒 索 病 毒 被 笔 者 称 为 2 0 2 0 年 全 球 十 大 流 行 勒 索 病 毒 之 一 ， 其 首 次 出 现 于 2 0 2 0 年 6 月 在 俄 罗 斯 某 地 下 黑 客 论 坛 开 始 出 售 ， 该 勒 索 病 毒 使 用 C + + 语 言 进 行 编 写 ， 采 用 R S A - 2 0 4 8 和 A E S - 2 5 6 加 密 算 法 对 文 件 进 行 加 密 ， 该 勒 索 病 毒 的 传 播 方 式 多 种 多 样 ， 前 期 主 要 通 过 垃 圾 邮 件 附 件 J S / P o w e r S h e l l 恶 意 脚 本 等 无 文 件 技 术 进 行 传 播 ， 免 杀 效 果 非 常 好 ， 发 展 到 后 面 通 过 P h o r p i e x 僵 尸 网 络 进 行 传 播 ， 同 时 还 发 现 该 勒 索 病 毒 通 过 垃 圾 邮 件 附 带 E x c e l 4 . 0 宏 恶 意 代 码 进 行 传 播 。 该 勒 索 病 毒 最 新 变 种 加 密 后 的 文 件 ， 如 下 所 示 ： 勒 索 提 示 信 息 文 件 内 容 ， 如 下 所 示 ： 通 过 a v a d d o n b o t r x m u y l . o n i o n 打 开 勒 索 解 密 网 站 ， 如 下 所 示 ：
输 入 用 户 I D 数 据 ， 如 下 所 示 ： 解 密 工 具 解 密 工 具 国 外 安 全 研 究 人 员 发 布 了 一 款 A v a d d o n 勒 索 病 毒 解 密 工 具 ， 解 密 工 具 源 代 码 地 址 （ 点 击 文 末 “ 阅 读 原 文 ” 获 取 链 接 ） 。 笔 者 下 载 了 此 勒 索 病 毒 的 解 密 工 具 ， 通 过 A v a d d o n 勒 索 病 毒 的 病 毒 样 本 进 行 测 试 ， 发 现 确 实 可 以 解 密 A v a d d o n 勒 索 病 毒 ， 解 密 步 骤 ： 1 . 以 管 理 员 身 份 打 开 P r o c E x p 工 具 ， 找 到 A v a d d o n 勒 索 病 毒 进 程 ， 然 后 挂 起 进 程 ， 并 记 下 该 进 程 的 P I D ， 如 下 所 示 ： 2 . 以 管 理 员 身 份 打 开 c m d ， 使 用 p r o c d u m p 工 具 ， 转 储 A v a d d o n 勒 索 病 毒 进 程 内 存 数 据 ， 如 下 所 示 ：
3 . 以 管 理 员 身 份 打 开 c m d ， 运 行 如 下 解 密 命 令 ， 调 用 解 密 脚 本 m a i n . p y ， 如 下 所 示 ： 4 . 解 密 完 成 之 后 ， 如 下 所 示 ： 解 密 原 理 解 密 原 理 笔 者 深 入 研 究 这 款 勒 索 病 毒 解 密 工 具 的 源 码 ， 其 原 理 就 是 通 过 暴 力 破 解 的 方 式 ， 从 内 存 中 暴 力 搜 寻 解 密 的 K e y ， 然 后 通 过 搜 索 到 的 K e y 解 密 文 件 ， 详 细 过 程 如 下 ： 1 . 暴 力 搜 索 匹 配 D U M P 文 件 中 的 k e y 数 据 ， 如 下 所 示 ：
2 . 通 过 搜 索 到 的 k e y 解 密 文 件 ， 然 后 与 原 文 件 进 行 对 比 ， 如 果 匹 配 成 功 ， 则 说 明 找 到 了 解 密 的 k e y ， 如 下 所 示 ： 3 . 然 后 通 过 上 面 找 到 的 k e y 解 密 文 件 ， 如 下 所 示 ： 4 . 解 密 整 个 系 统 文 件 的 函 数 如 下 所 示 ： 5 . 去 除 最 后 的 2 4 个 字 节 + 5 1 2 个 字 节 的 特 征 数 据 ， 如 下 所 示 ：
6 . 利 用 解 密 k e y ， 调 用 D e c r y p t . e x e 解 密 文 件 程 序 解 密 文 件 ， 如 下 所 示 ： 这 款 勒 索 病 毒 的 解 密 方 式 与 此 前 L o o C i p h e r 勒 索 病 毒 的 解 密 工 具 使 用 的 解 密 方 式 基 本 一 样 ， 都 是 通 过 暴 力 搜 索 D U M P 文 件 中 可 能 的 k e y ， 然 后 再 使 用 A E S 算 法 解 密 文 件 。 总 结 总 结 目 前 大 部 分 主 流 的 勒 索 病 毒 都 是 无 法 解 密 的 ， 一 些 企 业 在 中 了 勒 索 病 毒 之 后 ， 为 了 解 密 重 要 数 据 ， 保 证 业 务 的 正 常 运 行 ， 会 选 择 向 勒 索 病 毒 黑 客 组 织 交 纳 赎 金 ， 此 前 有 报 道 指 出 勒 索 病 毒 黑 客 组 织 在 2 0 2 0 年 至 少 赚 取 了 3 . 5 亿 美 元 的 赎 金 ， 这 个 赎 金 金 额 相 比 2 0 1 9 年 增 长 了 3 1 1 % ， 2 0 2 0 年 勒 索 病 毒 的 暴 利 让 更 多 黑 客 组 织 开 始 使 用 勒 索 病 毒 进 行 攻 击 ， 以 前 大 多 数 勒 索 病 毒 主 要 通 过 R D P 爆 破 等 方 式 进 行 传 播 ， 现 在 大 部 分 勒 索 病 毒 开 始 使 用 各 种 不 同 类 型 的 恶 意 软 件 进 行 传 播 ， 所 以 企 业 中 了 任 何 一 款 流 行 的 恶 意 软 件 之 后 ， 黑 客 组 织 都 有 可 能 通 过 这 些 流 行 的 恶 意 软 件 来 传 播 勒 索 病 毒 ， 都 有 中 勒 索 病 毒 的 可 能 ， 通 过 数 据 可 以 预 见 2 0 2 1 年 勒 索 病 毒 会 变 的 更 加 流 行 ， 并 且 会 更 加 具 有 针 对 性 ， 由 于 勒 索 病 毒 的 暴 利 ， 勒 索 病 毒 攻 击 活 动 在 未 来 几 年 仍 然 是 企 业 面 临 的 最 大 的 网 络 安 全 威 胁 之 一 ， 勒 索 病 毒 的 攻 击 手 法 也 会 越 来 越 多 ， 攻 击 方 式 也 会 越 来 越 复 杂 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理