搜索

[572] 2017-10-27_勒索软件原理简述之Locky

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-10-27_勒索软件原理简述之Locky 勒 索 软 件 原 理 简 述 之 L o c k y A r k T e a m   2 0 1 7 - 1 0 - 2 7 作 者 ： { W Z } @ A r k T e a m 勒 索 软 件 是 一 种 以 勒 索 为 目 的 的 恶 意 软 件 。 攻 击 者 通 过 技 术 手 段 劫 持 用 户 设 备 或 资 产 ， 并 以 此 为 条 件 向 用 户 勒 索 钱 财 。 勒 索 攻 击 分 三 阶 段 ： 1 .   传 播 感 染 阶 段 ， 主 要 通 过 邮 件 、 水 坑 网 站 等 将 恶 意 程 序 投 递 到 目 标 机 ； 2 .   本 地 攻 击 阶 段 ， 将 用 户 文 件 、 磁 盘 、 数 据 库 等 进 行 加 密 ， 或 将 用 户 设 备 锁 定 ， 使 得 用 户 无 法 正 常 使 用 3 .   勒 索 支 付 阶 段 ， 受 害 者 根 据 勒 索 信 息 提 示 按 黑 客 要 求 支 付 赎 金 来 获 取 秘 钥 或 口 令 。 图 1   L o c k y 感 染 过 程 2 0 1 6 年 发 现 一 款 名 为 L o c k y 的 勒 索 软 件 ， 主 要 通 过 钓 鱼 邮 件 传 播 。 钓 鱼 邮 件 通 常 伪 造 成 付 款 记 录 或 发 票 等 ， 并 携 带 包 含 恶 意 宏 的 M i c r o s o f t   W o r d 文 档 附 件 。 L o c k y 恶 意 宏 代 码 用 于 下 载 、 执 行 恶 意 加 密 程 序 ， 当 用 户 打 开 文 档 时 ， 直 接 下 载 并 运 行 勒 索 软 件 程 序 ， 并 加 密 与 特 定 扩 展 名 匹 配 的 所 有 文 件 。 L o c k y 和 服 务 器 通 信 采 用 H T T P 协 议 ， 以 P O S T 方 式 提 交 数 据 。 并 且 具 有 加 密 混 淆 和 差 错 验 证 机 制 ： 发 送 数 据 前 ， 先 计 算 要 发 送 数 据 的 M D 5 值 ， 然 后 把 这 个 M D 5 值 和 要 发 送 的 数 据 拼 接 成 新 数 据 块 并 加 密 发 送 。 接 收 过 程 则 与 之 相 反 ， 分 为 数 据 接 收 ， 解 密 ， 校 验 三 步 。 L o c k y 有 众 多 变 种 的 不 同 版 本 ， 有 . l o c k y . z e p t o   . o s i r i s 等 多 种 类 型 的 加 密 后 缀 ， . l o c k y 类 型 的 样 本 是 最 初 2 0 1 6 年 3 月 份 刚 出 现 时 用 的 后 缀 ， 需 要 连 接 C & C 服 务 器 获 取 R S A 公 钥 。 但 在 第 二 代 中 z e p t o 就 已 经 具 备 了 硬 编 码 的 公 钥 ， 以 防 止 不 能 链 接 c & c 服 务 器 时 的 情 况 。 联 网 情 况 下 可 以 通 过 网 络 抓 包 查 看 可 疑 链 接 地 址 。 图 2   网 络 抓 包 分 析 可 疑 地 址 L o c k y 对 每 个 文 件 都 随 机 生 成 1 6 字 节 二 进 制 数 据 ， 作 为 A E S 1 2 8 密 钥 , 使 用 A E S 1 2 8 将 文 件 加 密 后 ， 用 R S A 公 钥 再 将 A E S 1 2 8 的 秘 钥 进 行 加 密 ， 并 存 储 到 被 加 密 文 件 的 数 据 后 。
图 3   L o c k y 加 密 过 程 加 密 完 成 后 ， L o c k y 通 过 修 改 桌 面 壁 纸 ， 网 页 和 图 片 弹 窗 等 方 式 向 用 户 勒 索 赎 金 。 图 4   L o c k y 桌 面 勒 索 提 示 指 示 用 户 下 载 T o r 浏 览 器 并 访 问 特 定 的 网 站 ， 以 获 取 更 多 的 支 付 信 息 。 图 5   L o c k y 支 付 过 程 提 示 第 一 代 l o c k y 勒 索 软 件 加 密 完 成 后 ， 需 要 将 用 户 信 息 和 加 密 信 息 传 回 c & c 服 务 器 ， 以 便 用 户 付 款 时 ， 可 以 为 用 户 解 密 。
图 6   支 付 前 输 入 本 机 信 息 断 网 也 能 加 密 的 勒 索 软 件 变 种 ， 由 于 断 网 时 不 能 将 加 密 信 息 传 回 c & c 服 务 器 ， 一 般 有 以 下 几 种 可 能 ： 1 . 有 可 能 导 致 用 户 付 款 了 也 不 能 解 密 的 流 氓 行 为 。 2 . 可 能 使 用 同 一 个 硬 编 码 公 钥 ， 解 密 秘 钥 相 同 。 3 . 也 可 能 会 通 过 用 户 提 交 本 地 的 相 关 生 成 文 件 和 支 付 信 息 ， 来 给 受 害 者 生 成 相 关 工 具 来 解 密 。 近 距 离 观 察 学 习 L o c k y 从 传 播 感 染 到 通 过 加 密 文 件 勒 索 赎 金 的 攻 击 过 程 ， 请 访 问 合 天 网 安 实 验 室 实 验 — — L o c k y 勒 索 软 件 攻 击 过 程 （ 上 ） ， 实 验 地 址 如 下 ， 点 击 左 下 角 “ 阅 读 原 文 ” 可 直 接 进 入 实 验 页 面 ： h t t p : / / w w w . h e t i a n l a b . c o m / e x p c . d o ? e c = E C I D e e 9 3 2 0 a d e a 6 e 0 6 2 0 1 7 1 0 1 7 1 7 2 7 1 9 0 0 0 0 1 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理