搜索

[8901] 2015-05-07_“自爆”病毒Rombertik：多级混淆、高度复杂，遭遇分析自动擦除硬盘

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2015-05-07_“自爆”病毒Rombertik：多级混淆、高度复杂，遭遇分析自动擦除硬盘 “ 自 爆 ” 病 毒 R o m b e r t i k ： 多 级 混 淆 、 高 度 复 杂 ， 遭 遇 分 析 自 动 擦 除 硬 盘 F r e e B u f   2 0 1 5 - 0 5 - 0 7 微 信 号 ： 微 信 号 ： f r e e b u f R o m b e r t i k 是 一 款 高 度 复 杂 的 病 毒 （ 恶 意 软 件 ） ， 它 使 用 了 多 级 混 淆 、 高 度 复 杂 的 逃 避 检 测 技 术 和 反 分 析 技 术 ， 并 且 是 一 款 高 度 复 杂 的 病 毒 （ 恶 意 软 件 ） ， 它 使 用 了 多 级 混 淆 、 高 度 复 杂 的 逃 避 检 测 技 术 和 反 分 析 技 术 ， 并 且 该 恶 意 软 件 能 够 通 过 擦 除 硬 盘 数 据 防 止 被 他 人 分 析 。 此 外 ， 它 能 够 收 集 用 户 浏 览 该 恶 意 软 件 能 够 通 过 擦 除 硬 盘 数 据 防 止 被 他 人 分 析 。 此 外 ， 它 能 够 收 集 用 户 浏 览 W e b 网 站 的 所 有 信 息 ， 并 获 取 用 户 网 站 的 所 有 信 息 ， 并 获 取 用 户 登 录 凭 证 和 其 他 敏 感 数 据 。 登 录 凭 证 和 其 他 敏 感 数 据 。 R o m b e r t i k 原 理 介 绍 原 理 介 绍 近 期 ， 思 科 T a l o s 团 队 的 安 全 专 家 发 现 了 一 款 名 为 R o m b e r t i k 的 新 型 恶 意 软 件 ， 它 实 现 了 高 度 复 杂 的 逃 避 检 测 技 术 和 防 止 分 析 技 术 ， 它 还 能 够 删 除 受 害 者 硬 盘 数 据 ， 以 使 计 算 机 无 法 正 常 使 用 。 该 恶 意 软 件 的 目 的 是 收 集 用 户 浏 览 W e b 网 站 的 所 有 信 息 以 及 用 户 登 录 凭 证 和 其 他 敏 感 数 据 。 根 据 研 究 人 员 消 息 ， R o m b e r t i k 通 过 恶 意 电 子 邮 件 来 感 染 用 户 。
T a l o s 团 队 的 专 家 们 已 经 对 R o m b e r t i k 代 理 进 行 了 逆 向 分 析 ， 并 发 现 了 该 恶 意 软 件 的 行 为 和 目 的 ， 包 括 多 级 混 淆 、 反 恶 意 软 件 分 析 ， 并 且 它 能 够 在 最 后 时 刻 自 我 销 毁 并 擦 除 硬 盘 中 的 所 有 数 据 。 研 究 人 员 解 释 说 ： “ 一 旦 脱 壳 之 后 的 R o m b e r t i k 开 始 执 行 ， 那 么 最 后 的 反 分 析 函 数 将 会 运 行 ， 如 果 检 测 失 败 ， 那 么 将 变 得 尤 其 麻 烦 。 该 函 数 会 对 内 存 中 的 一 个 资 源 计 算 其 3 2 位 的 哈 希 值 ， 并 将 其 与 未 加 壳 样 本 的 P E 文 件 编 译 时 间 戳 进 行 比 较 。 如 果 该 资 源 或 者 编 译 时 间 已 被 修 改 ， 那 么 该 恶 意 软 件 将 会 进 行 破 坏 性 的 行 为 。 首 先 ， 它 试 图 重 写 物 理 硬 盘 P h y s i c a l D i s k 0 的 主 引 导 记 录 （ M B R ） ， 这 将 造 成 计 算 机 无 法 操 作 。 如 果 R o m b e r t i k 没 有 重 写 M B R 的 权 限 ， 那 么 它 将 通 过 使 用 随 机 生 成 的 R C 4 键 加 密 所 有 的 文 件 ， 以 此 销 毁 用 户 主 文 件 夹 （ 例 如 C : D o c u m e n t s   a n d S e t t i n g s A d m i n i s t r a t o r ） 中 的 所 有 文 件 。 在 重 写 M B R 之 后 ， 或 者 主 文 件 夹 中 的 文 件 被 加 密 之 后 ， 计 算 机 将 会 自 动 重 启 。 M B R 开 始 于 一 些 特 定 代 码 ， 这 些 代 码 会 在 操 作 系 统 运 行 之 前 得 到 执 行 。 重 写 之 后 的 M B R 包 含 一 些 打 印 ‘ C a r b o n   c r a c k   a t t e m p t , f a i l e d ’ 的 代 码 ， 然 后 就 会 进 入 一 个 无 限 循 环 ， 以 防 止 系 统 继 续 启 动 。 ” 研 究 人 员 证 实 ， M B R 还 包 含 一 些 与 磁 盘 分 区 相 关 的 数 据 ， 这 意 味 着 当 恶 意 软 件 修 改 M B R 时 ， 它 还 会 将 分 区 字 节 设 置 为 N u l l ， 从 而 使 得 取 证 专 家 很 难 访 问 数 据 。 当 电 脑 重 新 启 动 后 ， 受 害 者 将 会 看 到 下 面 的 屏 幕 显 示 。 “ 实 际 上 ， R o m b e r t i k 刚 开 始 表 现 得 很 像 一 个 擦 除 恶 意 软 件 样 本 ， 如 果 它 检 测 到 自 己 正 在 被 分 析 ， 那 么 将 会 破 坏 用 户 的 计 算 机 。 虽 然 T a l o s 团 队 的 专 家 们 在 以 往 的 恶 意 软 件 样 本 中 都 见 到 过 反 分 析 和 反 调 试 技 术 ， 但 在 这 一 点 上 R o m b e r t i k 比 较 独 特 ， 因 为 当 它 检 测 到 与 软 件 分 析 相 关 的 特 定 属 性 时 ， 它 将 试 图 摧 毁 整 个 计 算 机 。 ” 安 全 措 施 安 全 措 施 可 以 肯 定 的 是 ， R o m b e r t i k 是 一 款 非 常 复 杂 的 恶 意 软 件 。 然 而 ， 针 对 R o m b e r t i k 最 好 的 防 御 措 施 目 前 来 看 只 有 检 查 杀 毒 软 件 是 否 最 新 、 不 要 打 开 不 明 信 息 的 电 子 邮 件 等 等 。 完 整 的 分 析 报 告 点 击 最 下 方 的 “ 阅 读 原 文 ” 查 看 *   参 考 来 源 s e c u r i t y a f f a i r s ， 有 适 当 修 改 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理