警惕!你下载的软件可能携带STOP勒索病毒变种!

2018-12-19 4,828

近日,深信服EDR安全团队捕获到一起通过捆绑软件运行勒索病毒的事件。勒索病毒与正常的应用软件捆绑在一起运行,捆绑的勒索病毒为STOP勒索病毒的变种,加密后缀为.djvu

一、勒索病毒母体携带者

cexplorer.exe是被捆绑了恶意软件的安装包,使用Resource Hacker查看其资源,可以发现其中夹藏着两个PE文件。

image.png

 

cexplorer.exe运行会将两个PE文件释放,如下图所示:

image.png

 

image.png

 

随后运行两个PE文件,如下图所示:

45-1024x291.png 

C:\Users\weizhou\AppData\Roaming\cexplorer.exe运行,原来是个Chameleon Explorer的安装包。

53.png 

 

安装成功后,就能使用了,该软件是个文件系统管理软件。

63.png 

 

C:\Users\weizhou\AppData\Roaming\update.exe,就是勒索病毒体,运行后完成勒索。如下图:

73-1024x579.png 

 

 

二、勒索病毒母体

1.勒索病毒母体是一个Loader加载器,如下所示:

8.png 

2.通过调试,在内存中解密出PE,如下所示:

94-1024x514.png 

3.然后加载到00400000内存的位置,然后执行相应的PE代码,如下图所示:

105-1024x513.png 

4.从内存中DUMP出完整的PE文件,是勒索病毒的主体模块,获取主机的地理位置,如下所示:

1110-1024x470.png 

通过访问相应的网站,如果返回包含RU、BY、UA、AZ、AM、TJ、KZ、KG、UZ等国家代码的,则进行自删除操作,如下所示:

124-1024x468.png 

5.拷贝相应的程序到appdata\local目录下的随机目录,如下所示:

134-1024x572.png 

然后创建定时触发任务计划,如下所示:

144-1024x514.png 

相应的触发时间,如下所示:

154-1024x513.png 

相应的计划任务,如下所示:

163-1024x603.png 

6.查询自启动注册表项,如下所示:

173-1024x470.png 

然后设置相应的自启动项注册表项,如下所示:

183-1024x470.png 

7.获取进程运行的参数,如下所示:

192-1024x513.png 

然后设置相应的启动参数,启动进程,如下所示:

202-1024x516.png 

相应的代码,如下所示:

212-1024x429.png 

执行之后,再次判断程序运行的参数,通过相应的判断,调用参数,启动程序,进行勒索加密的过程,如下所示:

221-1024x434.png 

8.如果进程是按上面相应的参数运行的,父进程参数,如下所示:

231-1024x524.png 

则从内存中解密出相应的下载服务器地址列表,如下所示:

241-1024x513.png 

相应的恶意下载链接如下所示:

http://bana911.ru/1.exe$run

http://bana911.ru/2.exe$run

http://bana911.ru/updatewin.exe$run

http://bana911.ru/3.exe$run

分隔$run符号,得到相应的恶意程序下载地址,如下所示:

251-1024x469.png 

然后下载执行恶意程序,如下所示:

261-1024x469.png 

9.获取相应的MAC地址,如下所示:

271-1024x466.png 

然后生成MD5值,如下所示:

28-1024x466.png 

然后追加PID=HASH值方式上传MAC信息,返回相应的数据,如下所示:

29-1024x512.png 

相应的远程服务器网站如下:

http://bana911.ru/323232/get.php?pid=B0ED0332ED2154CB43506063A03AECD3

10.循环遍历磁盘目录,避开以下目录,如下所示:

301-1024x471.png 

相应的目录,如下所示:

C:\\Windows\\

C:\\Program Files (x86)\\Mozilla Firefox\\

C:\\Program Files (x86)\\Internet Explorer\\

C:\\Program Files (x86)\\Google\\

C:\\Program Files\\Mozilla Firefox\\

C:\\Program Files\\Internet Explorer\\

C:\\Program Files\\Google\\

D:\\Windows\\

D:\\Program Files (x86)\\Mozilla Firefox\\

D:\\Program Files (x86)\\Internet Explorer\\

D:\\Program Files (x86)\\Google\\

D:\\Program Files\\Mozilla Firefox\\

D:\\Program Files\\Internet Explorer\\

D:\\Program Files\\Google\\

遍历相应的目录文件,如下所示:

312-1024x469.png 

然后进行加密操作,如下所示:

324-1024x469.png 

整个加密过程,如下所示:

332-1024x469.png 

加密文件函数过程,如下所示:

342-1024x441.png 

11.加密后的文件,如下所示:

352-1024x562.png 

同时在相应的目录下生成_openme.txt的勒索信息文本文件,如下所示:

361-1024x606.png 

 

三、1.exe

该模块通过禁用Windows Defender和任务管理器实现自保护和隐藏。

禁用Windows Defender:

37.jpg 

禁用任务管理器:

38.jpg 

 

 

四、2.exe

2. exe是一个hosts文件修改器,是为了将windows的各种更新站点,各种安全网站的站点的域名重定向127.0.0.1(localhost)

39.png 

 

40.png 

 

 

411.png 

被修改之前的hosts文件

421.png 

431.png 

 

五、3.exe

3.exe其实是一个压缩包,包含被修改的TeamViewer。修改后的TeamViewer运行无界面,攻击者可通过它控制受害者主机。

44.jpg 

六、updatewin.exe

为了防止加密过程中受害者发现异常并重启系统,该模块伪装成Windows update的界面,制造正在进行系统升级的假象,以迷惑受害者。

45.jpg 

解决方案

针对已经出现勒索现象的用户,由于暂时没有解密工具,建议尽快对感染主机进行断网隔离。

深信服提醒广大用户尽快做好病毒检测与防御措施,防范此次勒索攻击。

 

病毒检测查杀

1、深信服为广大用户免费提供查杀工具,可下载如下工具,进行检测查杀。

 http://edr.sangfor.com.cn/tool/SfabAntiBot.zip

46.png 

 

2、深信服EDR产品及防火墙等安全产品均具备病毒检测能力,部署相关产品用户可进行病毒检测。

47.png 

 

病毒防御

1、及时给电脑打补丁,修复漏洞。

2、对重要的数据文件定期进行非本地备份。

3、不要点击来源不明的邮件附件,不从不明网站下载软件。

4、尽量关闭不必要的文件共享权限。

5、更改账户密码,设置强密码,避免使用统一的密码,因为统一的密码会导致一台被攻破,多台遭殃。

最后,建议企业对全网进行一次安全检查和杀毒扫描,加强防护工作。推荐使用深信服安全感知+防火墙+EDR,对内网进行感知、查杀和防护。


本文作者:Further_eye

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/93476.html

Tags:
评论  (0)
快来写下你的想法吧!

Further_eye

文章数:208 积分: 1680

深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号