搜索

[9977] 2016-04-04_美丽又危险的勒索软件MaktubLocker

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-04-04_美丽又危险的勒索软件MaktubLocker 美 丽 又 危 险 的 勒 索 软 件 M a k t u b   L o c k e r 老 往 隔 壁 的 白 帽 子   F r e e B u f   2 0 1 6 - 0 4 - 0 4 M a k t u b   L o c k e r 是 一 款 勒 索 软 件 ， 是 一 款 勒 索 软 件 ， G U I 界 面 设 计 的 很 漂 亮 ， 并 且 有 着 一 些 有 趣 的 特 征 。 勒 索 软 件 的 原 始 名 字 来 源 于 阿 界 面 设 计 的 很 漂 亮 ， 并 且 有 着 一 些 有 趣 的 特 征 。 勒 索 软 件 的 原 始 名 字 来 源 于 阿 拉 伯 语 言 拉 伯 语 言 ” m a k t u b ” ， 意 思 是 ， 意 思 是 “ 这 是 写 好 的 这 是 写 好 的 ” 或 者 或 者 ” 这 是 命 运 这 是 命 运 ” 。 作 者 很 可 能 想 通 过 这 样 的 引 用 来 描 述 勒 索 软 件 的 行 为 ， 。 作 者 很 可 能 想 通 过 这 样 的 引 用 来 描 述 勒 索 软 件 的 行 为 ， 暗 示 这 是 不 可 避 免 的 ， 就 像 命 运 一 样 。 暗 示 这 是 不 可 避 免 的 ， 就 像 命 运 一 样 。 0 x 0 1   分 析 样 本 分 析 样 本   7 4 a d d 6 5 3 6 c d c f b 8 b 7 7 d 1 0 a 1 e 7 b e 6 b 9 e f   b 2 4 9 5 2 8 5 7 f f 5 c b 2 6 b 2 e 9 7 3 3 1 8 0 0 f a 1 4 2   < -   主 要 分 析 这 个 样 本 3 8 e f f 2 f 7 c 6 c 8 8 1 0 a 0 5 5 c a 1 4 6 2 8 a 3 7 8 e 7   –   p a y l o a d   ( C . d l l ) 特 别 感 谢   M a l w a r e H u n t e r T e a m   和   Y o n a t h a n   K l i j n s m a   提 供 的 样 本 0 x 0 2   行 为 分 析 行 为 分 析 勒 索 软 件 通 过 邮 件 钓 鱼 活 动 ， 伪 装 成 一 个 服 务 更 新 的 文 档 文 件 。 这 次 文 档 的 主 题 很 完 整 ： 附 件 的 名 字 类 似 于 (   “ T O S - u p d a t e - [ … ] . s c r ” ,   “ 2 0 1 6 0 3 2 1 _ t o s . s c r ” ) ， 而 且 图 标 也 类 似 于 文 档 图 标 ： 勒 索 软 件 使 用 的 一 个 欺 骗 技 巧 是 释 放 一 个 真 正 的 文 档 ， 而 且 是 一 个 T O S 的 更 新 说 明 ， . r t f 格 式 ：
当 用 户 正 在 忙 于 阅 读 文 档 时 ， 恶 意 程 序 就 开 始 在 后 台 运 行 ， 同 时 加 密 受 害 人 的 文 件 。 加 密 进 程 加 密 进 程 M a k t u b   L o c k e r 不 需 要 从 C n C 服 务 器 上 下 载 密 钥 ， 数 据 可 以 在 线 下 加 密 。 加 密 文 件 的 扩 展 名 是 随 机 的 ， 在 运 行 时 生 成 ， 模 式 为 ： [ a - z ] { 4 , 6 } 比 较 新 奇 有 趣 的 是 ， 加 密 后 的 文 件 比 原 始 文 件 更 小 。 似 乎 勒 索 软 件 不 仅 仅 加 密 而 且 还 压 缩 。 原 始 文 件 和 大 小 ： 加 密 后 的 文 件 ：  
压 缩 文 件 的 原 因 之 一 可 能 是 加 速 文 件 加 密 过 程 。 不 同 的 样 本 加 密 后 的 文 件 内 容 是 不 同 的 。 然 而 ， 相 同 的 文 件 加 密 后 的 文 件 是 相 同 的 。 我 们 可 以 得 出 结 论 ， 程 序 运 行 一 次 随 机 密 钥 只 会 生 成 一 次 。 之 后 ， 每 个 文 件 都 会 使 用 这 个 相 同 的 密 钥 加 密 。 加 密 完 成 之 后 ， 就 会 弹 出 如 下 窗 口 ： 提 供 给 受 害 人 指 定 格 式 的 k e y ： 8 2 个 ， 每 个 单 元 5 个 字 符 （ 单 元 格 式 ： [ A - Z 0 - 9 ] { 5 } ） 。 样 本 文 件 再 次 运 行 时 ， k e y 也 会 重 新 生 成 。 样 本 的 信 息 也 可 以 在 一 个 H T M L 文 件 ( _ D E C R Y P T _ I N F O _ [ $ E X T E N S I O N ] . h t m l ) 中 找 到 。 这 个 文 件 在 每 个 目 录 中 都 会 被 释 放 。 为 受 害 人 准 备 的 网 址 为 受 害 人 准 备 的 网 址 M a k t u b   L o c k e r 和 其 他 勒 索 软 件 一 样 ， 都 会 提 供 一 个 T O R 网 址 。 和 勒 索 软 件 描 述 的 一 样 ， 网 址 只 提 供 英 文 版 的 。 为 了 让 受 害 人 能 够 访 问 到 网 站 ， 需 要 在 一 个 文 档 输 入 框 内 输 入 上 述 8 2 单 元 块 内 的 k e y ：
之 后 就 会 重 新 连 接 到 主 站 。 和 其 他 勒 索 软 件 对 比 ， M a k t u b   L o c k e r 的 网 站 设 计 的 很 好 看 ， 而 且 网 站 说 明 用 辞 很 文 明 礼 貌 ： 在 d e m o 中 可 以 选 择 解 密 两 个 文 件 ： 解 密 价 格 最 低 1 . 4 B T C ， 并 且 随 着 时 间 的 推 移 ， 价 格 也 不 断 攀 升 。 作 者 也 会 提 示 ， 如 果 太 久 不 付 款 可 能 会 导 致 文 件 永 不 恢 复 ：
0 x 0 3   内 部 构 造 内 部 构 造 M a k t u b   L o c k e r 是 通 过 c r y p t e r / F U D 编 写 的 ， 因 此 代 码 不 可 读 。 并 且 ， 由 于 F U D 的 功 能 ， 将 会 导 致 样 本 的 检 测 变 得 更 加 困 难 ， 同 时 检 测 率 在 刚 开 始 的 一 段 时 间 内 很 低 。 解 压 解 压 执 行 F U D 的 起 始 代 码 。 首 先 我 们 会 看 到 大 量 的 无 用 A P I 的 调 用 和 随 机 字 符 串 ： 这 段 代 码 用 于 绕 过 检 测 恶 意 病 毒 行 为 的 工 具 。 随 后 将 会 被 新 的 代 码 重 写 。 然 而 ， 这 里 依 旧 不 是 恶 意 代 码 ， 而 是 其 他 的 绕 过 检 测 技 术 的 代 码 。 下 面 是 解 压 T O S 更 新 服 务 的 代 码 （ 首 先 解 压 文 件 然 后 释 放 到 % T E M P % 文 件 夹 中 ） ： 真 正 的 恶 意 代 码 在 另 一 个 模 块 当 中 ， 解 压 到 一 个 动 态 分 配 的 内 存 中 ： 可 以 看 到 2 个 线 程 入 口 ： 0 x 1 0 0 0 1 2 3 0 。 他 们 都 属 于 恶 意 代 码 的 模 块 。 D u m p 下 数 据 ， 可 以 看 到 一 个 新 的 P E 文 件 ：
这 个 P E 文 件 动 态 分 配 在 一 个 连 续 的 内 存 区 域 ， 在 一 个 虚 拟 节 区 被 使 用 。 不 幸 的 是 ， d u m p 下 来 的 并 不 是 一 个 独 立 的 p a y l o a d ， 文 件 头 是 无 效 的 ： 这 是 为 了 防 止 p a y l o a d 被 自 动 d u m p 的 工 具 d u m p 下 来 的 技 术 。 然 而 ， 如 果 我 们 在 正 确 的 时 刻 解 压 ， 在 文 件 头 被 重 写 前 ， 我 们 可 以 恢 复 p a y l o a d 。 显 示 的 是 一 个 D L L 文 件 ( u p x 加 壳 ) ： 加 密 文 件 的 代 码 是 在 一 个 叫 做 ” o n e ” 的 函 数 中 。 D L L 文 件 是 被 U P X 加 壳 的 ， 因 此 可 以 容 易 的 脱 壳 ， 脱 壳 后 的 D L L 文 件 的 布 局 如 下 （ 脱 壳 后 的 D L L ： 3 8 e f f 2 f 7 c 6 c 8 8 1 0 a 0 5 5 c a 1 4 6 2 8 a 3 7 8 e 7   ） ：
但 是 依 旧 看 不 到 有 效 字 符 串 。 导 入 表 看 起 来 也 是 毫 不 相 关 的 （ 我 们 找 不 到 类 似 W i n d o w s   C r y p t o   A P I 的 函 数 名 ） 。 这 是 由 于 导 入 表 被 动 态 的 解 析 了 。 程 序 刚 开 始 执 行 时 ， 函 数 ” o n e ” 自 动 加 载 导 入 表 ， 解 密 文 件 名 : 之 后 ， 通 过 动 态 加 载 的 句 柄 访 问 。 执 行 流 程 恶 意 软 件 首 先 将 所 有 的 文 件 进 行 列 表 。 同 时 解 压 内 置 的 配 置 与 限 制 的 路 径 列 表 并 攻 击 可 执 行 文 件 。 每 个 处 理 路 径 首 先 核 对 这 个 列 表 。 下 面 你 可 以 看 到 ， 选 择 要 加 密 的 代 码 的 片 段 打 开 文 件 。 通 过 句 柄 调 用 函 数 C r e a t e F i l e A ， 动 态 加 载 到 E A X 寄 存 器 ： 随 后 ， 新 的 文 件 创 建 ， 添 加 一 个 扩 展 名 ： 起 初 ， 这 两 个 文 件 共 存 于 系 统   -   新 创 建 的 文 件 大 小 为 0   。 当 加 密 的 内 容 填 充 后 ， 原 始 文 件 被 删 除 。
加 密 过 程 完 成 之 后 ， 该 恶 意 软 件 创 建 并 弹 出 对 话 框 。 下 面 是 与 勒 索 相 关 的 G U I ： 哪 些 文 件 被 袭 击 哪 些 文 件 被 袭 击 有 选 择 行 的 攻 击 不 同 的 国 家 。 本 例 中 ， 在 加 密 文 件 前 ， 程 序 会 检 测 区 域 语 言 设 置 列 表 ， 如 果 发 现 是 俄 罗 斯 语 言 （ 俄 罗 斯 语 言 的 值 是 ： 0 x 4 1 9 = 1 0 4 9 ） ， 那 么 程 序 将 自 动 退 出 ： 加 密 的 文 件 也 是 预 先 定 义 的 文 件 目 录 ： " i n t e r n e t   e x p l o r e r ; h i s t o r y ; m o z i l l a ; c h r o m e ; t e m p ; p r o g r a m   f i l e s ; p r o g r a m   f i l e s ( x 8 6 ) ; m i c r o s o f t ; c h a c h e ; c h a c h e s ; a p p d a t a ; " 内 置 的 配 置 还 指 定 了 哪 些 扩 展 攻 击 像 其 他 勒 索 软 件 ， 它 的 攻 击 不 仅 在 本 地 磁 盘 ， 而 且 包 括 安 装 到 虚 拟 环 境 的 网 络 共 享 以 及 外 部 硬 盘 驱 动 器 的 磁 盘 。
加 密 过 程 加 密 过 程 M a k t u b   L o c k e r 使 用 w i n d o w s   C r y p t o   A P I 。 但 是 ， 当 我 们 从 分 析 结 果 得 出 结 论 是 ， 它 不 为 每 个 文 件 都 生 成 随 机 密 钥 。 让 我 们 来 看 看 它 使 用 什 么 样 的 技 术 来 获 得 k e y . . . 本 次 为 用 户 生 成 的 k y e 是 ： X 2 5 H E - J 5 3 Z U - Q E R D Z - Z N U J 3 - S E R J 6 - J 6 1 7 E - U U A S Z - A F G 2 G - 8 3 B 0 8 - 2 S H C 1 - A U Y F Z - G J H F 2 - W 7 3 2 1 - 1 4 4 T M V K F K R - 6 T K R V - S T G 4 B - C E 5 M Z - T A H 4 W - M P 5 4 1 - G D 3 S B - H E 4 3 J - Z F 4 T K - Z N Z T G - R 7 Z B Z - A K M 2 U - T 6 T Y N - 5 3 J 7 H M U 6 J 6 - B T S J C - F Q V Q R - E H 7 5 5 - C 1 W C J - 7 S N P T - M H F B S - Q 6 3 8 V - M A S E B - R 1 6 H W - P 8 4 P 2 - 7 E E X 8 - K X A H B - D 1 0 F 7 G F 0 7 1 - U 3 7 K 3 - G J 5 Q 5 - W D 0 P D - 2 E G 1 6 - K M C 5 R - R P C B X - R 8 E V 3 - Z P X Q V - T D V X M - S E E F X - X K 2 3 J - F C H 4 Z - R N B P N X E 6 X 5 - 4 W 8 C T - W J Q J U - 0 7 1 T 5 - D S U Z W - J G S Z A - K F K Z 6 - 4 D U 0 S - 8 0 H 1 H - C E P 2 J - P D S K A - U X B R 8 - 8 C 1 B B - S D Q N C 1 C 8 F 7 - H P Z 2 G - Q 5 J V N - F 6 W X H - P M U S R - 8 G 4 H T - R N Y V W - D Z N Q 3 - Y 8 K Z J - N Y C 1 G - S P R 3 T - U 5 G D 5 让 我 们 研 究 一 下 这 个 密 钥 和 用 于 加 密 文 件 之 间 的 关 系 。 到 目 前 为 止 ， 我 们 知 道 ， 它 必 须 在 本 地 生 成 。 首 先 ， 它 初 始 化 的 两 个 加 密 文 本   -   两 者 均 具 有 相 同 的 设 置 ， 使 用 提 供 程 序 类 型 ： 获 得 3 2 位 随 机 数 ， 使 用 函 数 C r y p t G e n R a n d o m ： 创 建 随 机 数 的 M D 5 （ 使 用   C r y p t C r e a t e H a s h ,   C r y p t H a s h D a t a ） 。 接 着 使 用 函 数 C r y p t d e r i v e K e y ， 将 M D 5 值 转 化 为 2 5 6 b i t 的 A E S k e y （ A l g I D = 0 x 6 6 1 0 - > C A L G _ A E S _ 2 5 6 ） 。
  导 入 R S A 公 钥 ( 2 0 4 8 b i t ) 。 这 个 K e y 硬 编 码 在 二 进 制 文 件 中 。 3 2 b y t e 随 机 数 （ 基 于 A E S   k e y ） ， 通 过 R S A 加 密 b u f f e r ： 输 出 使 用 预 定 义 的 字 符 集 转 化 为 受 害 人 使 用 的 可 视 化 I D :
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理