样本分析（TeslaCrypt，AES）

最新推荐文章于 2022-01-26 17:22:10 发布
最新推荐文章于 2022-01-26 17:22:10 发布
阅读量1.6k 收藏 1
点赞数 1
分类专栏： 样本分析 文章标签： 样本分析 AES勒索病毒 TeslaCrypt
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44156885/article/details/100713607
版权

文章目录

基本信息

FileNameFileTypeFileSizepackerMD5
tfukrc.exe勒索病毒235kbno72CCC18F3038E19273010D45AC2142CE

一，概述

​ 该样本是一个使用AES CBC模式进行数据加密的勒索病毒，其除了具有加密文件的功能外还具有检测沙箱和简单的对抗功能，在其开始成功运行后，会拷贝自身到用户文档目录下隐蔽运行，然后开启六个线程分别执行不同的操作。第一个线程的功能是杀死相关进程查看工具的进程，第二个和第五个线程的功能是删除卷影，第三个和第六个线程的功能是向指定服务器发送数据，第四个线程的功能是向每个文件夹下写入勒索信息并加密数据。病毒在加密完成后会弹出一个窗口告知受害者自己的数据被加密，让用户登录指定的网址寻求解密。由于其加密秘钥又被加密，而可以给加过密的秘钥进行解密的私钥保存在黑客手里，所以加密完成后在黑客不公布秘钥的情况下不存在自行解密的可能。幸运的是现在秘钥已经公布，恢复文件的工具也已出现。

二，流程图

在这里插入图片描述

三，技术细节详细分析

详细分析

​ 放入die中查看，发现样本无壳，使用C语言编写
在这里插入图片描述

WinMain()

​ 将样本放入IDA中查看，找到main函数，下面仔细分析其中的比较重要的函数的作用。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
​ CoCreateInstance（）函数，用指定的类标识符创建一个未初始化的COM对象，这里被用来调用DirectShow处理音视频数据。在这里使用的真实目的是检查音视频设备是否存在，而且还可以验证api是否完全可操作（用来过滤掉api模拟），执行这些动作是为了确保样本是在真实的系统上运行，而不是在沙盒运行。

​ DeleteFileW()函数，在这里的作用是删除掉xxx:Zone.Identifier文件，每当在IE6.0或以上版本的浏览器上下载一个文件file_name.extention到本地，就会自动生成一个file_name.extention:Zone.Identifier格式的文件，这个附属文件就是除了描述对应文件的元信息，比如来源信息，还用来弹出安全警告弹窗。这里将其删除掉的原因就是避免用户第二次打开时还出现安全警告弹窗。

​ Release_Decrypted_402170（）函数，其功能是解密数据。
在这里插入图片描述
​ 其中值得注意的是其中的Release_403EB0()函数，使用OD查看其具体功能，对应的tfukrc.00403EB0函数执行了解密操作，
​ 执行第一次解密操作后，查看其解密后数据的结果如下，应该是会被加密的文件类型
在这里插入图片描述
​ 执行第二次解密操作后，查看其解密出来的数据是一些字符
在这里插入图片描述
​ 执行第三次解密操作后，查看其解密出来的数据包括cmd命令，删除卷影的命令，和注册表启动项。
在这里插入图片描述
​ 执行第四次解密操作后，查看其解密出来的数据包括6个URL和浏览器的版本信息
在这里插入图片描述
​ 执行第五次解密，查看解密的数据是勒索信息
在这里插入图片描述
​ GetTokenLevel_410750（）函数，用来查看当前进程的访问令牌信息
在这里插入图片描述
​ copy_del_runself_407360（）函数，其功能是判断自己是不是在用户的文档目录下运行，如果不是会将自身拷贝到用户的文档目录下，并将名字改为随机的6个字符，还把其设置为隐藏属性，拷贝完成后运行该文件，然后删除自身，删除自身后程序就结束了，OD就无法调试下面的代码，如果将其创建新进程，删除自身的代码nop掉，还是会是这种情况。解决这种情况的方法就是直接将样本文件放入用户的文档目录下（或者在其启动新进程之前使用镜像劫持），就可以继续调试下面的代码了。

​ copy_del_runself_407360函数
在这里插入图片描述
​ PrivilegeUP_4108F0（）函数内部，用于提升进程权限
在这里插入图片描述

线程1

​ 创建第一个线程Processkiller_406EBO（）,执行的是杀死指定进程的操作，调用TerminateProcess（）函数杀死进程名中包含taskmg,regedi,procex,msconfi,cmd字符串的进程。
在这里插入图片描述

线程2

​ 创建第二个线程shellExecute_4072A0（），执行的是删除卷影的操作，创建第二个线程之前会判断运行环境是否是WINXP，如果是就创建第二个线程。
在这里插入图片描述
在这里插入图片描述
​ 创建第二个线程后调用了6个函数
在这里插入图片描述
​ 第一个函数getSomePath_40FB60（)，功能获得系统上特殊的文件夹路径，查看其内部功能
在这里插入图片描述
​ 使用OD跟踪的结果
在这里插入图片描述在这里插入图片描述在这里插入图片描述
​ 第二个函数RegSet_402940（），功能是计算出受害者的ID并将其在注册表中设置为键值，然后随机生成一个32位的加密秘钥，并把此秘钥使用椭圆曲线生成的秘钥加密。
在这里插入图片描述
​ CopyData_402CB0（）函数就是用来生成秘钥和加密秘钥。
在这里插入图片描述
在这里插入图片描述
​ 第三个函数autorun_sharenet_40FF10()函数，功能是设置自启和访问当前登录资源管理器进程的网络共享
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
​ 设置后的结果
在这里插入图片描述
在这里插入图片描述
​ 第四个函数writefile_40FBE0（），功能是在用户的文档目录下写入勒索文件，其中含有一小段加密信息。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
​ 第五个函数PrintfID_402430（）
在这里插入图片描述
在这里插入图片描述
​ 第六个函数InitGDI_40FE60（）就是初始化GDI库
在这里插入图片描述

线程3

​ 创建的第三个线程SendHttpRequest_403180（），功能是将先前写入内存中的URL获取到了，然后将一些数据（如受害者ID和计算机信息）加密发送出去。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
​ 发送数据
在这里插入图片描述

线程4

​ 创建的第四个线程Write_Encryption_401710（），功能是遍历系统中的文件夹与文件（除了C:\windiws,C:\program files,C:\programdata三个系统关键文件夹），在每个文件夹下写入包含勒索信息的+recover+file.txt与+recover+file.png文件，然后加密在加密范围中的文件。
在这里插入图片描述
在这里插入图片描述
​ 线程中的For_401920()函数比较重要，查看其内部，发现其会遍历系统中的文件夹与文件，遇到文件夹时就调用WriteMess_410150()函数在文件夹下写入含有勒索信息的文件，遇到具有可加密后缀的文件时就调用Encryption_401CD0（）函数将文件加密

在这里插入图片描述
在这里插入图片描述
​ 再看For_401920()内部的Encryption_401CD0（）函数，该函数的加密逻辑就是先将文件中的数据整体读取到内存中，然后使用EncryptFUNC_403AB0（）函数每次读取内存中文件数据的一部分，再使用KeyGen_411960（）函数生成的密钥进行加密，最后使用WriteFile()函数将加密后的数据回写到文件中，这种加密流程符合AEC CBC加密模式。
在这里插入图片描述
在这里插入图片描述
​ EncryptFUNC_403AB0（）函数中的AES算法函数Encrypt_AES_410D61（）
在这里插入图片描述
​ 其汇编代码特征符合AES算法
在这里插入图片描述
​ 加密前的文件
在这里插入图片描述
​ 加密后的文件
在这里插入图片描述
​ 包含勒索信息的文件
在这里插入图片描述

线程5

​ 创建第五个线程，判断自己是否在Windows XP环境中，如果是就开启第五个线程，其功能是删除卷影

在这里插入图片描述

线程6

​ 创建第六个线程，在文件加密结束后将受害者信息发送到指定服务器

在这里插入图片描述
​ 最后一步执行DelSelf_410990（）函数删除自己的操作

在这里插入图片描述

进程行为

​ 首先是tfukrc.exe进程，其开始运行后会将自身拷贝到用户的文档目录下（C:\users\xxx\Documents…)，并改名为xxxxxx.exe，在成功生成xxxxxx.exe后，其会开启新exe，然后调用cmd.exe执行删除命令删除自身，但是不知什么原因在本机上并没有删除成功。

​ 然后是用户文档目录下的xxxxxx.exe进程，其会开启四个线程，第一个线程会杀死进程名称中包含taskmg,regedi,procex,msconfi,cmd字符串的进程。第二个线程会使用系统的vssadmin.exe执行删除卷影的操作。第三线程会将受害者的信息发送到指定的服务器。第四个线程除了会在每个文件夹下（除了系统的三个重要的文件夹）写入包含勒索信息的文件（+REcovER+sehxi+.png和+REcovER+sehxi+.txt），其中的内容就是告知受害者计算机上的数据被RSA-4096加密算法加密了，需要下载Tor浏览器访问下面的网址寻求解密，还会使用AES算法生成的秘钥对在加密范围内的文件进行加密。在开启第三个线程之前会通过在注册表HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run的位置写入键值的方式将自己加入自启动项（键+++fduw,值C:\windows\SYSTEM32\CMD.EXE /C START “C:\users\xxx\Documentshcrcxe.exe”），勒索信息中让受害者访问的网址。

http://uj5nj.onawhit.com/d4c685d901ec945
http://2gdb4.leorage.at/d4c685d901ec945
http://9hrds.wolfcrap.at/d4c685d901ec945

注册表行为

​ tfukrc.exe和xxxxxx.exe进程都会访问注册表中的，改写其中的值，降低internet安全设置

HKCU\software\microsoft\windows\\current\version\internet setting\zonemap\proxybypass
HKCU\software\microsoft\windows\\current\version\internet setting\zonemap\intranetname
HKCU\software\microsoft\windows\\current\version\internet setting\zonemap\UNCasintranet
HKCU\software\microsoft\windows\\current\version\internet setting\zonemap\autodetect

​ xxxxxx.exe进程,会在注册表HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run的位置写入键值，将自己加入自启动项，键：+++xxxx，值：C:\windows\SYSTEM32\CMD.EXE /C START “C:\users\xxx\Documentshcrcxe.exe”

网络行为

​ xxxxxx.exe进程会访问，如下VT报毒的URL。

http://videoaminproduktion.de/plugins/binstr.php
http://clubsaintandre.fr/images/binstr.php
http://affiliateproductes.com/binstr.php
http://ptgp.pl/tmp/binstr.php
http://strategicdisaster.info/wordpress/wp-content/plugins/binstr.php
http://minteee.com/images/binstr.php[]

四，查杀&恢复方案

删除病毒文件

进入C:\Users\用户名\Documents删除xxxxxx.exe文件

修复注册表

删除HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run下的+++xxxx键值

恢复文件

工具

ESETTeslaCryptDecryptor.exe

（下载地址http://download.eset.com/special/ESETTeslaCryptDecryptor.exe）

使用方法

在命令中输入命令

1，cd 工具所在位置

2，ESETTeslaCryptDecryptor.exe 文件名\目录

3，Y

五，防护建议

1，及时备份重要文件，对重要的数据进行非本地备份

2，不要点击来源不明的邮件附件，不从非官方的网站上下载软件

3，关闭不必要的文件共享权限

4，个人电脑，服务器及时打补丁，修复漏洞

5，经常更换账户密码，设置强密码，避免使用同一个密码

浪里个浪...
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
DDG最新变种3014样本分析
12-20
DDG最新变种3014样本分析
(转载)解密 [Dekrypt24@tutanota.com].mkp 病毒
08-29 4223
最近几年勒索病毒太猖獗，变种也多，中招的机器也越来越多样化。信息安全的重要性也越来越凸显出来。数据信息化程度越高，其实对电脑服务器的使用要求会越来越高，希望借此能提醒大家，安全第一，数据多备份。...
感染性的木马病毒分析之样本KWSUpreport.exe
Fly20141201. 的专栏
05-23 3087
一、病毒样本简述 初次拿到样本 KWSUpreport_感染.exe.v 文件，通过使用PE工具，并不能辨别出该样本是那种感染类型，使用了一个比较直接的方法，从网上查资料，获取到了该样本的正常EXE文件的一些信息，资料表明：KWSUpreport.exe 是2009年版金山网盾程序的一个上传用户报告的程序模块，因此从网上下载了该版本的金山网盾程序，获取到了正常的KWSUpreport.
小样本分析（三）
axuanwu的专栏
10-07 4487
虔诚的我提出一个问题，希望知识能给我答案，然而他以一个新的问题作为回答。 导读： 这篇是继前两篇小概率估算的后续，很多地方没有说，建议先粗略看一下前面的，了解一下估算的思路。由于公式较多直接从word截图偷个闲。 条件极值： 【注：拉格朗日乘数法我也忘记得差不多了，在网上找到的例子也主要是只有一个约束条件，这里到两个约束的拓展有点不确定，但是先做了】 不难发现在 al
样本特征分析
qq_16032927的博客
09-02 2321
为便于实现分类或识别任务，需要对样品的特征分析
NIPT样本分析题目
kai_hui’ blog
08-04 1300
题目1： step1: 安装R程序： 下载地址：https://cloud.r-project.org/bin/windows/base/R-3.5.1-win.exe 记住安装位置，默认安装位置C:\Program Files\R\R-3.5.1 step2:打开终端， win+R键，输入cmd，确定，进入终端 step3：打开R程序（下面是默认安装位置的进入方法） 在终端输入 ...
网站诊断分析报告样本.doc
07-07
网站诊断分析报告样本
大数据网络日志数据分析样本
03-10
网络日志的样本，可用于hadoop进行分析联系，对于练习hive、mapreduce等，可以方便的作为原数据
大数据分析解决方案样本.docx
11-23
"大数据分析解决方案样本" 大数据分析解决方案样本是指通过使用大数据分析技术来解决实际问题的解决方案。该解决方案通常包括三个技巧：①理解大数据平台框架，②精通大数据平台支持编程语言，③具备纯熟数据库知识...
通信网分析与设计样本.doc
11-21
通信网分析与设计样本.doc
cisco-teslacryptolocker:由Cisco提供的样本cryptolocker
05-01
特斯拉解密 TeslaCrypt勒索软件的解密工具。 有关详细信息，请访问 本软件工具和相关数据（以下简称“工具”）及其任何更改，修改，增强和改进以及技术支持（如果有）均按“原样”提供给您，不作任何明示或暗示的担保，包括但不限于针对特定目的的适销性或适用性的任何暗示保证。 您独自使用工具所带来的全部风险。 您承认并同意，仅由您自己承担使用该工具的风险。 在任何情况下，由于您使用工具而导致的任何直接或间接损害，CISCO或其许可方均不承担任何责任，包括但不限于营业利润的损失，业务中断，数据丢失或其他由此引起的损失即使已向思科告知已发生此类损害的可能性，也可能是您被告知或基于第三方索赔，否则已使用或无法使用该工具。
TeslaCrypt 3勒索病毒的解密工具
06-12
TeslaCrypt 3勒索病毒的解密工具，扩展名例如： .xxx, .ttt., .micro, .mp3
incaseformat样本详细分析（附样本下载）
Just for funnnnnnnnnnnn
01-16 3826
incaseformat样本详细分析 注：本文首发于我的博客：http://www.hupeiwei.com incaseformat病毒近日爆发，影响了不少主机。这么一个古老的病毒能够造成这么大的影响，令人感到意外。我从微步在线上下载了样本进行分析。需要注意的是，incaseformat有两个在野版本，详见https://www.52pojie.cn/thread-1351233-1-1.html。我分析的应该是原始版本，但是两个版本除了Sysutils::DateTimeToTimeStamp库函数所使
小样本分析
axuanwu的专栏
02-07 7995
投石问路：我们先从简单问题开始。有一个袋子里面有2个球，随机拿出一个来，是红球（不放回），那么再拿出一个，这个球还是红球的概率是多少？请读者们仔细想想怎么回答这个概率问题。
SPSS独立样本t检验结果分析
热门推荐
aurorayqz的博客
04-09 16万+
SPSS独立样本t检验结果分析 上图为独立样本T检验。 由下图的基本参数设置生成 结果解读：三步法 第一步：拿到两组核心基本统计量，对于数值变量，核心基本统计量就三个，样本量N，均值，标准差。然后产生主观意识，发现男生肺活量是3887.16，女生肺活量是2522.57，给人男生肺活量可能比女生高的主观感受 第二步：“大同小异”，即sig大于0.05则看“假设方差相等”这一
病毒样本分析小结
星焱宖
05-27 3166
这是笔者跟从具有多年反病毒引擎开发人员学习感悟的一些知识点，希望与大家一同交流
一个恶意样本的分析
信息安全
08-09 4175
1.1样本信息1．样本概况 病毒名称：bea213f1c932455aee8ff6fde346b1d1960d57ff MD5: 6E4B0A001C493F0FCF8C5E9020958F38 SHA1: BEA213F1C932455AEE8FF6FDE346B1D1960D57FF CRC32: 1CD8074D 1.2测试环境及工具 2.1.1 测试环境 Windows ...
介绍数种病毒样本分析格式归纳分析策略
KD的疯狂实验室
07-17 2169
对几种经典的病毒样本分析格式进行了介绍,并试图归纳出
[样本分析] 海莲花CS样本
qq_42814021的博客
01-26 518
文章目录样本信息样本行为详细分析DllMain挂起其他线程劫持宿主进程，覆盖.text节ShellCode1Resource365_100019D0ShellCode3创建傀儡进程注入ShellCode4ShellCode4Sleep调用内置DLL，回连C2_executeDllEntryPoint总结分析 样本信息 MD5：3c0533706f1f2f9ce1d46658bbc2aa16 样本类型：DLL32 分析工具：DIE、OD、IDA 样本行为 该样本是个loader类型的DLL，其运行后回挟持宿主
根据样本数据分析分布规律
最新发布
09-09
根据样本数据分析分布规律可以使用多种方法。其中一种是频率分布分析，该方法可以计算样本数据中各个取值出现的频率。这可以帮助我们了解哪些取值出现的次数较多，哪些取值出现的次数较少，从而揭示出样本数据的分布规律。 另一种方法是对比分析，通过比较不同取值之间的差异来分析分布规律。比如，我们可以将样本数据分成不同的组，然后比较每组之间的差异，看看是否存在明显的分布规律。 还有一种方法是帕累托分析，该方法可以帮助我们找到对业务影响最大的几个取值。帕累托分析的原理是根据二八定律，即80%的结果是由20%的原因造成的。通过帕累托分析，我们可以找到具有重要影响的取值，从而提供决策依据。 周期性分析也是一种常用的方法，它可以帮助我们发现数据中是否存在周期性的变化。通过分析数据的周期性变化，我们可以了解数据的季节性规律，从而更好地预测未来的趋势。 此外，相关性分析也是一种重要的方法。通过计算不同变量之间的相关系数，我们可以判断它们之间的关系强度和方向。相关性分析可以帮助我们了解数据之间的相互依赖关系，从而更好地理解数据的分布规律。 综上所述，通过频率分布分析、对比分析、帕累托分析、周期性分析和相关性分析等方法，我们可以全面了解样本数据的分布规律。每种方法都有其独特的优势和适用场景，可以根据具体情况选择合适的方法进行分析。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值