搜索

[4365] 2017-09-26_小心！RebBoot可能是披着勒索软件外衣的删除工具

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-09-26_小心！RebBoot可能是披着勒索软件外衣的删除工具 小 心 ！ R e b B o o t 可 能 是 披 着 勒 索 软 件 外 衣 的 删 除 工 具 原 创   E 小 编   E 安 全   2 0 1 7 - 0 9 - 2 6 E 安 全 9 月 2 6 日 讯   M a l w a r e   B l o c k e r 研 究 人 员 发 现 新 型 B o o t l o c k e r （ 引 导 锁 定 ） 勒 索 软 件 ， 名 为 “ R e d B o o t ” 。 这 款 勒 索 软 件 会 加 密 被 感 染 电 脑 上 的 文 件 ， 替 换 系 统 驱 动 器 的 主 引 导 记 录 （ M B R ） ， 之 后 修 改 分 区 表 。 主 引 导 记 录 （ 主 引 导 记 录 （ M B R ） ） : 主 引 导 记 录 （ M B R ， M a i n   B o o t   R e c o r d ） 是 位 于 磁 盘 最 前 边 的 一 段 引 导 （ L o a d e r ） 代 码 。 它 负 责 磁 盘 操 作 系 统 ( D O S ) 对 磁 盘 进 行 读 写 时 分 区 合 法 性 的 判 别 、 分 区 引 导 信 息 的 定 位 ， 它 由 磁 盘 操 作 系 统 ( D O S ) 在 对 硬 盘 进 行 初 始 化 时 产 生 的 。 研 究 人 员 注 意 到 ， 没 有 办 法 通 过 解 密 密 钥 恢 复 主 引 导 记 录 和 分 区 表 ， 由 此 判 断 这 款 软 件 可 能 是 删 除 软 件 。 R e d B o o t 勒 索 软 件 的 作 用 过 程 勒 索 软 件 的 作 用 过 程 当 受 害 者 执 行 R e d B o o t 勒 索 软 件 时 会 提 取 5 个 文 件 到 含 启 动 器 目 录 的 随 机 文 件 夹 中 。 这 5 个 文 件 如 下 ： b o o t . a s m .   – 编 译 成 新 主 引 导 记 录 的 汇 编 文 件 。 当 b o o t . a s m 被 编 译 时 ， 它 会 生 成 b o o t . b i n 文 件 。
a s s e m b l e r . e x e   – n a s m . e x e 的 重 命 名 副 本 ， 用 来 将 b o o t . a s m 汇 编 文 件 编 译 成 主 引 导 记 录 b o o t . b i n 文 件 。 m a i n . e x e   – 用 户 模 式 加 密 器 ， 负 责 加 密 计 算 机 上 的 文 件 。 o v e r w r i t e . e x e .   – 使 用 新 编 译 的 b o o t . b i n 文 件 重 写 主 引 导 记 录 。 p r o t e c t . e x e   – 可 执 行 文 件 ， 终 止 并 防 止 程 序 运 行 ， 例 如 任 务 管 理 器 和 进 程 管 理 器 P r o c e s s   H a c k e r 。 一 旦 提 取 文 件 ， 主 启 动 器 将 会 编 译 b o o t . a s m 文 件 生 成 b o o t . b i n 。 启 动 器 负 责 执 行 如 下 命 令 ： [ D o w n l o a d e d _ F o l d e r ] 7 0 2 8 1 2 5 1 a s s e m b l e r . e x e "   - f   b i n   " [ D o w n l o a d e d _ F o l d e r ] 7 0 2 8 1 2 5 1 b o o t . a s m "   - o   " [ D o w n l o a d e d _ F o l d e r ] 7 0 2 8 1 2 5 1 b o o t . b i n 一 旦 完 成 b o o t . b i n 的 编 译 ， 启 动 器 将 删 除 b o o t . a s m 和 a s s e m b l y . e x e 文 件 ， 之 后 利 用 o v e r w r i t e . e x e 程 序 借 助 编 译 过 的 b o o t . b i n ， 使 用 如 下 命 令 重 写 当 前 主 引 导 记 录 。 " [ D o w n l o a d e d _ F o l d e r ] 7 0 9 4 5 8 3 6 o v e r w r i t e . e x e "   " [ D o w n l o a d e d _ F o l d e r ] 7 0 9 4 5 8 3 6 b o o t . b i n " 接 下 来 ， 这 款 恶 意 软 件 开 始 启 动 加 密 进 程 ， 启 动 器 将 启 动 m a i n . e x e ， 扫 描 设 备 上 的 文 件 ， 将 . l o c k e d 扩 展 名 附 加 到 每 个 加 密 文 件 。 m a i n . e x e 还 将 执 行 p r o t e c t . e x e 组 件 ， 以 阻 止 任 何 以 停 止 感 染 的 软 件 执 行 。 加 密 所 有 文 件 后 ， R e d B o o t 勒 索 软 件 将 重 启 电 脑 ， 并 显 示 勒 索 信 。 勒 索 信 会 指 引 受 害 者 将 I D 密 钥 发 送 至 电 子 邮 件 收 件 人 r e d b o o t @ m e m e w a r e . n e t ， 从 而 了 解 支 付 指 南 。 R e d B o o t 勒 索 软 件 或 是 删 除 软 件 勒 索 软 件 或 是 删 除 软 件 然 而 ， 遗 憾 的 是 ， 即 使 受 害 者 联 系 了 恶 意 软 件 开 发 人 员 并 支 付 了 赎 金 ， 硬 盘 驱 动 器 仍 可 能 无 法 恢 复 ， 因 为 R e d B o o t 勒 索 软 件 会 永 久 修 改 分 区 表 。
L a w r e n c e   A b r a m s （ 劳 伦 斯 · 爱 不 拉 姆 斯 ） 发 布 的 分 析 报 告 指 出 ， 虽 然 这 是 一 款 全 新 的 勒 索 软 件 ， 目 前 仍 在 研 究 当 中 。 但 初 步 分 析 表 明 ， 除 了 除 了 加 密 文 件 和 重 写 的 主 引 导 记 录 ， 这 款 勒 索 软 件 还 可 能 修 改 分 区 表 ， 而 攻 击 者 不 会 提 供 任 何 恢 复 方 法 。 A b r a m s 总 结 称 ， 虽 然 这 款 勒 索 软 件 执 行 标 准 的 用 户 模 式 加 密 ， 修 改 分 区 表 ， 再 加 上 无 法 通 过 解 密 密 钥 恢 复 ， 这 些 特 征 可 能 表 明 这 是 一 款 披 着 勒 索 软 件 外 衣 的 删 除 软 件 。 由 于 开 发 者 使 用 脚 本 语 言 （ 例 如 A u t o I T ） 开 发 这 款 软 件 ， 目 前 仍 无 法 排 除 这 只 是 开 发 人 员 在 开 发 期 间 犯 下 的 错 误 的 可 能 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 4 1 9 3 2 3 9 5 9 . s h t m l 相 关 阅 读 ： L o c k y 勒 索 软 件 传 播 新 方 式 ： 关 闭 W o r d 文 档 会 感 染 电 脑 韩 国 L G 服 务 中 心 遭 遇 勒 索 软 件 攻 击 预 警 ！ 危 险 勒 索 软 件 卷 土 重 来 ， 请 提 前 做 好 预 防 措 施 N o t P e t y a 勒 索 病 毒 席 卷 全 球   传 播 者 竟 是 名 5 1 岁 男 子 警 惕 Q Q 群 里 “ 王 者 荣 耀 ” 外 挂   可 能 是 新 型 勒 索 病 毒 伪 装 ！ 一 台 智 能 咖 啡 机 是 如 何 让 工 厂 控 制 系 统 遭 遇 勒 索 软 件 感 染 ？ 安 卓 勒 索 软 件 S L o c k e r 源 码 现 身 G i t H u b
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理