Scarab勒索病毒最新变种,希特勒“冠名”
2018-10-24 08:44:58来源:红黑联盟 阅读 ()
前言
深信服EDR安全团队跟踪了Scarab勒索病毒的最新变种,该变种文件加密后缀为.hitler,有趣的是,希特勒对应的英文就是hitler,算是莫名躺枪了。
通常,Scarab勒索病毒是利用Necurs僵尸网络进行传播的,Necurs是世界上最大的僵尸网络之一,曾用于传播多个恶意家族样本。最近一段时间,发现Scarab勒索病毒还会通过RDP爆破+人工、捆绑软件的方式进行传播。
下图,是此变种的勒索信息。
一、功能概述
此Scarab变种,其功能流程大致如下,依次分别为伪装录屏、屏幕快照、内存解密、设置启动、自删除、删除卷影、杀进程、遍历加密、勒索弹窗。
伪装录屏,是为了骗过安全软件,让其误以为是一个正常的录屏软件。此外,还截图了屏幕快照。与多数病毒一样,此勒索变种同样会设置启动,做持久化操作,也会做自删除的动作。为了保证数据不可恢复,同时也做了删除卷影的操作。
此外,此勒索病毒会杀掉多数的系统进程、应用进程、杀掉进程,最后遍历文件夹,做加密。所有的文件加密成功后,弹出勒索信息。
二、详细分析
查壳,母体样本使用的是UPX加壳:
样本使用了详细的文件描述信息:
脱壳分析,动态调试:
录制音频:
相应的反汇编代码:
创建窗口:
获取操作系统语言版本:
设置HOOK:
抓屏操作:
启动子进程:
进行持久化操作,拷贝自身到%appdata%目录下:
拷贝之后:
然后启动%appdata%目录下的sevnz.exe程序:
解密内存相应的字符串:
通过执行mshta.exe,删除自身:
相应的命令行,如下:
mshta.exe "javascript:o=new ActiveXObject('Scripting.FileSystemObject');
setInterval(function(){try{o.DeleteFile('Scarab.exe');close()}catch(e){}},10);"
相应的命令行:
mshta.exe "javascript:o=new ActiveXObject('WScript.Shell');
x=new ActiveXObject('Scripting.FileSystemObject');
setInterval(function()
{try
{i=x.GetFile('sevnz.exe').Path;
o.RegWrite('HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce \\iyryCNqPEUF',i);
}catch(e){}
},
10);"
设置完成之后:
通过mshta.exe设置相应的注册表项:
将相应的删除系统备份,磁盘卷影操作的命令行,设置为注册表项:
通过mshta.exe执行命令:
相应的命令行:
o=new ActiveXObject("WScript.Shell");
o.Run("cmd.exe /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0",0);
o.Run("cmd.exe /c wmic SHADOWCOPY DELETE",0);
o.Run("cmd.exe /c vssadmin Delete Shadows /All /Quiet",0);
o.Run("cmd.exe /c bcdedit /set {default} recoveryenabled No",0);
o.Run("cmd.exe /c bcdedit /set {default} bootstatuspolicy ignoreallfailures",0);
遍历进程:
发现相关的进程,则结束进程:
相关进程列表如下:
ccleaner.exe;ccleaner64.exe;tasklist.exe;taskmgr.exe;regedit.exe;anvir.exe;anvir64.exe;cscript.exe;wscript.exe;powershell.exe;procexp.exe;far.exe;agntsvc.exe;agntsvc.exeagntsvc.exe;agntsvc.exeencsvc.exe;agntsvc.exeisqlplussvc.exe;dbeng50.exe;dbsnmp.exe;excel.exe;firefoxconfig.exe;infopath.exe;isqlplussvc.exe;msaccess.exe;msftesql.exe;mspub.exe;mydesktopqos.exe;mydesktopservice.exe;mysqld.exe;mysqld-nt.exe;mysqld-opt.exe;ncsvc.exe;ocautoupds.exe;ocomm.exe;ocssd.exe;onenote.exe;oracle.exe;outlook.exe;powerpnt.exe;sqbcoreservice.exe;sqlagent.exe;sqlbrowser.exe;sqlserver.exe;sqlservr.exe;sqlwriter.exe;steam.exe;synctime.exe;tbirdconfig.exe;thebat.exe;thebat64.exe;thunderbird.exe;visio.exe;winword.exe;wordpad.exe;xfssvccon.exe;
内存解密出相应的加密字符串,然后设置为注册表项:
在内存中解密生成相应的勒索信息,用户的加密ID:
遍历文件,内存中加密相应的文件,文件名随机生成,文件后缀为hitler:
然后替换到原始的文件:
然后设置加密后的文件属性:
遍历文件的时候,会判断是否为加密文件列表中的后缀,相应的后缀列表有二百多种:
部分后缀名列表:
同时会遍历相应的文件目录,排除以下文件目录,相应的文件目录列表如下:
\$RECYCLE.BIN\;
\All Users\;
\AppData\;
\ApplicationData\;
\System Volume Information\;
\Windows\;
\intel\;
\nvidia\;
\Trend Micro\;
在加密文件的目录下,生成对应的勒索信息文本文件,然后将之前内存生成的勒索信息,写入到文件:
勒索信息文本文件HOW TO RECOVER ENCRYPTED FILES.TXT,最后通过执行notepad.exe程序,弹出相应的勒索信息,执行的命令行如下:
notepad.exe "C:\Users\panda\HOW TO RECOVER ENCRYPTED FILES.TXT"
三、解决方案
提醒广大用户做好病毒检测与防御措施,防护勒索病毒攻击。
1、及时给电脑打补丁,修复漏洞。
2、对重要的数据文件定期进行非本地备份。
3、不要点击来源不明的邮件附件,不从不明网站下载软件。
4、尽量关闭不必要的文件共享权限。
5、更改帐号密码,设置强密码,避免使用统一的密码,因为统一的密码会导致一台被攻破,多台遭殃。
6、Scarab勒索病毒最新变种会利用RDP(远程桌面协议),如果业务上无需使用RDP的,建议关闭RDP。当出现此类事件时,推荐使用深信服防火墙,或者终端检测响应平台(EDR)的微隔离功能对3389等端口进行封堵,防止扩散。
标签:
版权申明:本站文章部分自网络,如有侵权,请联系:west999com@outlook.com
特别注意:本站所有转载文章言论不代表本站观点,本站所提供的摄影照片,插画,设计作品,如需使用,请与原作者联系,版权归原作者所有
- Linux系统ETN挖矿病毒实例分析 2019-08-19
- Linux 服务器惊现比特币勒索事件,做好四点可免遭损失 2019-08-19
- 国家计算机病毒应急处理中心监测发现十款违法移动应用 2019-01-21
- Nature新发现:病毒也有性别歧视? 2019-01-10
- 美国勒索邮件包含软件安装程序,攻击者索要比特币 2019-01-01
IDC资讯: 主机资讯 注册资讯 托管资讯 vps资讯 网站建设
网站运营: 建站经验 策划盈利 搜索优化 网站推广 免费资源
网络编程: Asp.Net编程 Asp编程 Php编程 Xml编程 Access Mssql Mysql 其它
服务器技术: Web服务器 Ftp服务器 Mail服务器 Dns服务器 安全防护
软件技巧: 其它软件 Word Excel Powerpoint Ghost Vista QQ空间 QQ FlashGet 迅雷
网页制作: FrontPages Dreamweaver Javascript css photoshop fireworks Flash