勒索病毒-特洛伊木马变种

​一、病毒简介

文件名称：
457d9e4773f45954449ee5913d068fdbb3d8e5689019688e7bce901467e5473a
文件类型(Magic)：
PE32 executable (GUI) Intel 80386, for MS Windows, UPX compressed
文件大小：
410.00KB
SHA256：
457d9e4773f45954449ee5913d068fdbb3d8e5689019688e7bce901467e5473a
SHA1：
eef83497e8aa02d644b7d071be81a678e1611aa6
MD5：
adfacb09ceb60e6410e014275145b5a9
CRC32：
5BA85BCD
SSDEEP：
6144:aR1d1ciOX8NFu7wOh06Y7/36SnEP9+xYzWVv/4oTQl+ds9qat4oCNGpLP/C7bIi:afd6iOMS7wOh0606j9iYz7fqAZp+E
ImpHash：
6adb831a5884f7e68176214cc4749075
Tags：
PE32,section_name_exception,encrypt_algorithm

二、环境准备

系统版本
win7x86

三、行为分析

在火绒里面添加信任区，然后打开火绒剑，开启监控：

 

简单做一下过滤：

 

首先看行为监控，有一个修改自启动项：

 

路径：“C:\Users\rkvir\AppData\Local\710d60a1-9877-43e7-a996-439fa0482755\病毒样本.exe”
这里是文件创建：

 

这里是网络链接发包收包操作：

 

 

接下来这一块基本属于目录遍历，在每个文件夹下面生成readme.txt：

 

接下来是把很多文件后缀名加上了.litar：

 

当然还有设置文件安全属性为不可修改：

 

readme内容：

ATTENTION!

Don't worry, you can return all your files!
All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://we.tl/t-514KtsAKtH
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.


To get this software you need write on our e-mail:
gorentos@bitmessage.ch

Reserve e-mail address to contact us:
varasto@firemail.cc

Our Telegram account:
@datarestore

Your personal ID:
109AJsd73yiu3hjdfgiagsMxds3LxpDLrrIrIVlqmVQ2P4y09QCIrzCYt1

一个勒索病毒。

四、静态分析

首先拖入PEID，有UPX壳，先脱：

 

esp定律，这里不再多说。脱壳后拖入PEID查看：

 

随后拖入IDA中，开始分析：

 

捣鼓了半天，没找到病毒代码，动态调试一下。

五、动态分析

可以看到我们病毒样本都被修改，加了后缀名切无法恢复：

 

恢复快照，OD附加，顺带打开火绒剑监控：

 

前面和IDA中对照分析就好，到GetCommandLineA()这个函数的时候获取的是病毒路径：

 

从这里分析开始：

 

发现这里是关键函数：