ndscibahs的博客

响尾蛇APT组织的攻击样本分析 该样本伪装成pdf其实是一个lnk,与新冠肺炎相关，诱惑用户点击成功运行后会弹出一个疫情期间课程相关的pdf文档，来迷惑用户。 样本分析 样本信息如下 Policy Guidelines for Online Classes.pdf.lnk 快捷方式所指 %windir%\system32\cftmo.exe http://www.au-edu.km01s.net/images/E2BC769A/16914/11662/84c7b244/3387c59 详细分析 hta分析

今天分析的是GrandCrab 5.2勒索病毒，虽然已经有人分析过了，但是抱着学习的态度，自己还是来分析一遍。 一、样本详情 PE: packer: UPX(3.95)[NRV,best] PE: compiler: Microsoft Visual C/C++(2008)[-] PE: linker: Microsoft Linker(9.0)[EXE32] 二、行为分析 遍历目录创建勒索信，加密文件，删除卷影卷轴还原点。 后缀被改成 .khxrp 三、详细分析 外层loader分析 接着申请内存空