搜索

[8648] 2015-02-02_最新传入国内的Virlock“敲诈者”病毒完整技术分析

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-17
2015-02-02_最新传入国内的Virlock“敲诈者”病毒完整技术分析 最 新 传 入 国 内 的 V i r l o c k “ 敲 诈 者 ” 病 毒 完 整 技 术 分 析 F r e e B u f   2 0 1 5 - 0 2 - 0 2 近 日 ， 近 日 ， 3 6 0 Q V M 发 现 一 款 名 为 发 现 一 款 名 为 V i r L o c k 的 的 “ 敲 诈 者 敲 诈 者 ” 病 毒 开 始 在 国 内 出 现 ， 此 病 毒 与 刚 传 入 中 国 的 病 毒 开 始 在 国 内 出 现 ， 此 病 毒 与 刚 传 入 中 国 的 C T B - L o c k e r “ 敲 诈 敲 诈 者 者 ” 病 毒 如 出 一 辙 ， 均 通 过 强 锁 电 脑 里 的 文 档 、 图 片 等 重 要 资 料 ， 借 机 敲 诈 用 户 赎 金 病 毒 如 出 一 辙 ， 均 通 过 强 锁 电 脑 里 的 文 档 、 图 片 等 重 要 资 料 ， 借 机 敲 诈 用 户 赎 金 0 . 7 1 比 特 币 （ 约 比 特 币 （ 约 1 0 0 0 元 人 民 元 人 民 币 ） 。 币 ） 。 V i r L o c k 敲 诈 者 病 毒 最 早 在 国 外 流 行 ， 比 敲 诈 者 病 毒 最 早 在 国 外 流 行 ， 比 C T B - L o c k e r “ 敲 诈 者 敲 诈 者 ” 病 毒 感 染 的 文 件 类 型 更 多 ， 包 括 了 常 见 的 病 毒 感 染 的 文 件 类 型 更 多 ， 包 括 了 常 见 的 M P 3 和 和 M P G 等 影 音 文 件 ， 这 意 味 着 受 影 响 的 用 户 范 围 会 更 大 ， 传 播 也 会 更 广 。 目 前 ， 等 影 音 文 件 ， 这 意 味 着 受 影 响 的 用 户 范 围 会 更 大 ， 传 播 也 会 更 广 。 目 前 ， 3 6 0 是 全 球 唯 一 可 以 成 功 修 复 还 原 是 全 球 唯 一 可 以 成 功 修 复 还 原 V i r L o c k 感 染 文 件 的 安 全 软 件 。 感 染 文 件 的 安 全 软 件 。 3 6 0 Q V M 团 队 第 一 时 间 对 V i r L o c k “ 敲 诈 者 ” 病 毒 进 行 了 技 术 分 析 ： V i r L o c k 详 细 分 析 报 告 ： 详 细 分 析 报 告 ： 近 期 3 6 0 安 全 中 心 检 测 到 大 量 文 件 被 一 种 叫 做 V i r L o c k 的 敲 诈 病 毒 感 染 病 毒 会 全 盘 遍 历 硬 盘 中 的 可 执 行 文 件 及 文 档 、 图 片 等 文 件 ， 并 将 其 加 密 ， 锁 住 用 户 的 w i n d o w s 帐 号 ， 并 弹 框 威 胁 用 户 付 费 解 密 文 件 。 此 为 3 6 0 安 全 中 心 首 次 截 获 具 有 感 染 能 力 的 敲 诈 病 毒 ， 传 播 能 力 较 强 ， 具 有 多 态 变 形 能 力 ， 危 害 极 大 ， 请 用 户 提 高 警 惕 。 目 前 使 用 目 前 使 用 3 6 0 全 线 产 品 可 以 完 美 修 复 系 统 中 被 感 染 的 文 件 。 全 线 产 品 可 以 完 美 修 复 系 统 中 被 感 染 的 文 件 。 样 本 信 息 ： 样 本 信 息 ： 1 . 3 6 0 云 安 全 中 心 已 捕 获 V i r l o c k 相 关 样 本 近 8 万 个 ； 2 . 国 外 最 早 发 现 此 病 毒 的 为 E S E T （ 2 0 1 4 年 1 2 月 ） 。 目 前 ， 3 6 0 是 全 球 唯 一 可 成 功 修 复 V i r l o c k 变 种 感 染 文 件 的 安 全 软 件 。 病 毒 描 述 ： 病 毒 描 述 ： 攻 击 行 为 一 ： 攻 击 行 为 一 ： 感 染 用 户 数 据 文 件 及 可 执 行 文 件 感 染 文 件 类 型 ， 包 括 但 不 限 于 ： 被 感 染 的 文 件 与 原 文 件 图 标 一 致 ， 但 是 被 感 染 文 件 是 一 个 可 执 行 病 毒 文 件 ， 结 构 大 致 如 下 ： 病 毒 会 遍 历 所 有 的 磁 盘 ， 网 络 共 享 路 径 。 加 密 感 染 之 后 ， 病 毒 会 记 录 一 个 文 件 列 表 在 % u s e r p r o f i l e % ? ? ? ? . t x t 中 （ ? 为 随 机 字 母 ） 如 下 图 所 示 。
攻 击 行 为 二 ： 攻 击 行 为 二 ： 加 密 用 户 登 陆 密 码 加 密 当 前 用 户 账 户 ， 并 创 建 一 个 新 的 账 户 ： 用 户 重 新 登 录 时 ， 进 入 的 桌 面 环 境 为 全 新 的 用 户 环 境 ， 包 括 我 的 文 档 ， 桌 面 等 文 件 路 径 均 与 之 前 的 环 境 不 同 。 如 图 ： 用 户 感 染 此 病 毒 之 后 ， 登 录 界 面 会 多 出 一 个 用 户 （ 用 户 名 随 机 ） ， 且 都 需 要 密 码 才 可 以 进 入 。   攻 击 行 为 三 ： 攻 击 行 为 三 ： 关 闭 系 统 安 全 功 能 禁 用 U A C ， 使 用 户 账 户 控 制 功 能 失 效 。
攻 击 行 为 四 ： 攻 击 行 为 四 ： 实 现 自 启 动 实 现 自 启 动 项 ： 会 释 放 文 件 到 % u s e r p r o f i l e % 中 ， 创 建 随 机 文 件 夹 ， 文 件 夹 设 为 隐 藏 属 性 ， 以 及 随 机 文 件 名 。 释 放 文 件 ： 写 入 垃 圾 数 据 ， 长 度 0 x 2 0 0 字 节 （ 以 对 抗 杀 软 检 测 ） ：
使 用 N T F S 系 统 的 权 限 特 性 ， 对 文 件 夹 进 行 锁 定 ， 用 户 无 法 打 开 ， 删 除 文 件 夹 。 （ 注 ： X P   P r o f e s s i o n a l 中 ， 需 要 在 文 件 夹 选 项 中 关 闭 “ 简 单 文 件 共 享 ” ， 才 可 以 看 到 安 全 选 项 卡 ， X P   H o m e 版 无 此 功 能 。 ） 攻 击 行 为 五 ： 攻 击 行 为 五 ： 隐 藏 病 毒 体 文 件 病 毒 会 修 改 注 册 表 ， 以 隐 藏 文 件 扩 展 名 及 相 关 文 件 ：
攻 击 行 为 六 ： 攻 击 行 为 六 ： 弹 出 勒 索 提 示 病 毒 全 盘 感 染 完 毕 之 后 ， 会 弹 出 勒 索 提 示 框 进 行 警 告 ， 病 毒 会 勒 索 0 . 7 1   B T C ( 约 合 人 民 币 1 0 0 0 元 ) 。 如 下 图 所 示 ： 安 全 建 议 ： 安 全 建 议 ： 1 . 不 要 随 意 点 击 或 运 行 未 经 过 确 认 对 方 身 份 的 邮 件 附 件 。 特 别 注 意 的 是 . s c r   . e x e   等 可 执 行 文 件 。 2 . 更 新 电 脑 中 的 安 全 软 件 ， 目 前 3 6 0 系 统 急 救 箱 可 以 检 测 并 修 复 被 感 染 文 件 ， 随 后 3 6 0 全 线 安 全 产 品 将 支 持 被 感 染 文 件 修 复 。 3 . 选 择 单 独 硬 盘 对 电 脑 中 重 要 的 数 据 资 料 进 行 日 常 备 份 ， 防 止 数 据 被 加 密 等 意 外 状 况 。 V i r L o c k 技 术 细 节 ： 技 术 细 节 ： 1 . 恢 复 原 始 文 件 ： 恢 复 原 始 文 件 ：
由 于 病 毒 将 原 始 数 据 包 含 在 自 身 之 中 ，   所 以 病 毒 首 先 需 要 将 原 始 数 据 解 密 ， 然 后 执 行 之 ， 然 后 运 行 ， 文 件 恢 复 的 流 程 如 下 ： 解 密 方 式 较 为 复 杂 ， 有 三 层 解 密 。 解 密 方 式 较 为 复 杂 ， 有 三 层 解 密 。 第 一 层 解 密 ： 第 一 层 解 密 ： 主 要 是 为 了 解 密 第 二 层 ， 解 密 算 法 为 循 环 左 移 操 作 ： 第 二 层 解 密 ： 第 二 层 解 密 ： 其 目 的 是 为 了 解 密 第 三 层 的 解 密 代 码 ， 解 密 算 法 为 异 或 操 作 。 第 三 层 解 密 ： 第 三 层 解 密 ： 解 密 原 始 文 件 名 ， 原 始 数 据 等 关 键 数 据 。 解 密 方 式 为 异 或 与 循 环 右 移 相 结 合 。 如 图 ： 解 密 出 来 的 原 始 文 件 名 为 2 0 0 9   & 1 0   0 1 5 . j p g ： 解 密 出 来 的 原 始 数 据 ：
2 . 代 码 对 抗 代 码 对 抗 ( 1 ) 对 抗 虚 拟 机 病 毒 采 用 多 态 变 形 技 术 ， 从 入 口 开 始 随 机 调 用 A P I ， 和 虚 拟 机 进 行 对 抗 ， 增 加 分 析 难 度 。 ( 2 ) 对 抗 静 态 分 析 病 毒 在 解 密 之 后 ， 采 用 了 大 量 成 对 的 ” X C H G   E A X , E B X ” ， 使 代 码 易 读 性 降 低 ， 增 加 分 析 难 度 ：
( 3 ) 对 抗 动 态 分 析 在 运 行 的 过 程 中 ， 采 用 了 大 量 的 r d t s c 进 行 时 间 判 断 ， 用 于 检 测 是 否 处 于 调 试 状 态 ， 如 果 调 试 则 执 行 不 同 分 支 ， 增 加 调 试 复 杂 度 。 ( 4 ) 对 抗 手 动 清 除 病 毒 会 创 建 多 个 进 程 ， 且 互 相 看 护 ， 如 果 其 中 任 何 一 个 进 程 结 束 ， 则 会 重 新 创 建 一 个 新 的 实 例 ， 死 而 复 生 ， 永 无 休 止 。 如 图 ： 框 中 的 三 个 进 程 互 为 守 护 进 程 。 [ 作 者 作 者 / 3 6 0 安 全 卫 士 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 安 全 卫 士 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理