RSA-4096勒索病毒分析

最新推荐文章于 2022-04-06 10:17:13 发布
最新推荐文章于 2022-04-06 10:17:13 发布
阅读量2.1k 收藏 5
点赞数 3
分类专栏： 病毒分析 文章标签： 勒索病毒 网络安全 二进制 病毒分析 逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yan_star/article/details/90145562
版权

文章目录

说明：

  萌新一枚，这是面试过程中面试官要求分析的另外一个病毒程序，整理成文，发表出来，供大家参考学习，一起进步！如有不当之处，也希望大佬批评指正，晚辈一定虚心受教。由于考虑到时间问题还有个人能力的原因，我只将病毒关键功能模块进行分析说明，勒索算法部分没有详细分析，也请大家见谅，不懂之处欢迎提出，我也尽量解答，加油！

一、样本信息：

二、分析环境及工具：

环境：Oracle VM VirtualBox、Windows 7 Service Pack 1(x64)
工具：PEID V0.95、OD、IDA、火绒剑

三、基础病毒分析：

基础静态分析：

为了方便测试，更改病毒名称为1，拖入PEID查壳发现乱码节区，判断程序采用了加壳方式来保护自己，壳的类型未知
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-kTDGzOPv-1638932522954)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%871.png?raw=true)]
接着观察1的字符串信息和导入表，没有发现什么值得注意的信息
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-8EUyEnLR-1638932522955)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%872.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-eADwfD8M-1638932522955)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%873.png?raw=true)]

基础动态分析：

为了节约时间，这里就不截图展示了，基本思路是拖入火绒剑监控程序运行，常见的操作和推测可参考之前的文章

四、详细病毒分析：

样本1分析：

程序一拖入OD会弹出一个控制台窗口，后面程序会得到控制台窗口句柄进行隐藏，其中sub407410()函数会再内存中解密一堆数据
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-R9w9O3ct-1638932522956)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%874.png?raw=true)]
接着来到sub406D00()函数，程序首先获得得到kernel32.GetProcessHeap和ntdll.RtlAllocateHeap函数地址，和其它病毒程序常采用GetProcAddress函数来获取其它函数地址有所不同的是，这个恶意程序通过未文档化函数LdrGetProcedureAddress来获取其它函数地址
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-tGBnjJne-1638932522956)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%875.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-lbQnLpbD-1638932522957)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%876.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-6X1xEyFt-1638932522957)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%877.png?raw=true)]
然后程序遍历ntdll的导出表，加密函数名作对比得到所需要的函数RtlDecompressBuffer
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-bZOGlaNp-1638932522958)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%878.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ujDh65vK-1638932522958)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%879.png?raw=true)]
调用RtlDecompressBuffer函数，解压数据得到新的PE文件，dump下来命名为PE1
待解压的数据
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-NZGBfD3X-1638932522958)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8710.png?raw=true)]
解压后的PE数据
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-j8MVnbZn-1638932522959)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8711.png?raw=true)]
下面获取一些所需的函数
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-wqhN33jH-1638932522959)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8712.png?raw=true)]
之后调用VirtualAlloc函数分配新的内存空间将解压出来的PE文件复制过去并存储所需的API
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-jx7pZ30J-1638932522959)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8713.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-2LrUA2sM-1638932522960)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8714.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-yAmdOZkn-1638932522960)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8715.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-1dRDIhsK-1638932522960)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8716.png?raw=true)]
最终储存的函数地址
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-aGbGBfDr-1638932522961)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8717.png?raw=true)]
修改此程序的内存保护属性，将数据清空
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-liQlzfqR-1638932522961)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8718.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-MQCiP28S-1638932522961)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8719.png?raw=true)]
之后将解压出来的PE数据复制到原进程空间
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-RIXoUJG0-1638932522961)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8720.png?raw=true)]
跳到新的程序入口点开始执行程序
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-QMkWe94y-1638932522962)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8721.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-IdOv3QJa-1638932522962)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8722.png?raw=true)]
为了方便分析，我直接分析dump下来的PE1文件

样本PE1分析：

先进入入口点
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-RSBY1V1P-1638932522962)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8723.png?raw=true)]
程序首先初始化COM库，得到9个随机字符并创建了一个COM对象
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-KY7TSjwV-1638932522963)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8724.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-HWvtQjt1-1638932522963)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8725.png?raw=true)]
然后拼接出PE1：Zone.Identifier文件名并删除，是为了运行时候，没有弹窗警告
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Q6FOaIHb-1638932522963)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8726.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-S6wuAuZP-1638932522963)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8727.png?raw=true)]
接着得到kernel32.dll的基址，获取Wow64DisableWow64FsRedirection，Wow64RevertWow64FsRedirection地址，为了关闭和恢复64位程序和32位程序之间重定位问题
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-vetaD1HR-1638932522964)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8728.png?raw=true)]
然后程序解密出一些后面所需使用的字符串数据
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-KkJlXhVP-1638932522964)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8729.png?raw=true)]
加密文件后缀
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-u7Khsepp-1638932522964)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8730.png?raw=true)]
网络相关信息
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ShJW8ju1-1638932522965)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8731.png?raw=true)]
操作命令相关信息
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-8HNHYS18-1638932522965)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8732.png?raw=true)]
恶意域名相关信息
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-tYiZ8Fy6-1638932522965)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8733.png?raw=true)]
勒索文本信息
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Oeu1O6nR-1638932522965)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8734.png?raw=true)]
然后得到访问令牌信息
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-q2XHydLk-1638932522966)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8735.png?raw=true)]
下面得到6个随机字符串，和特殊目录路径拼接出新的文件名，将自身复制过去，设为隐藏属性，创建一个进程运行新创建的文件，并删除自己
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-AiVW4nWr-1638932522966)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8736.png?raw=true)]
复制文件
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-xLKE3TCJ-1638932522968)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8737.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-JcDgM5ym-1638932522968)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8738.png?raw=true)]
创建进程运行程序
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-XpnB4ABq-1638932522969)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8739.png?raw=true)]
因为会创建新的进程运行程序，这里我nop掉，往下看
创建互斥体8_8_8_8
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-4MdhhTNO-1638932522969)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8740.png?raw=true)]
提升进程权限
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-p2v2OE9l-1638932522969)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8741.png?raw=true)]
下面有6个函数
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-QRBkEwmS-1638932522969)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8742.png?raw=true)]
第一个函数sub40FB80()得到特殊文件路径
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-6rEy1hKa-1638932522970)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8743.png?raw=true)]
第二个函数sub402960()创建注册表写入加密数据
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-oDaxsWn4-1638932522970)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8744.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-2IkY66IC-1638932522970)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8745.png?raw=true)]
第三个函数sub40FF30()设置开机自启动并提升当前进程访问资源管理器进程网络共享权限
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-YUoIfOWK-1638932522971)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8746.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-4CttxASY-1638932522971)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8747.png?raw=true)]
第四个函数sub40FC00()在特殊目录下创建一个TXT文件并写入加密数据
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-gEdxN801-1638932522971)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8748.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-0UFfWDYU-1638932522971)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8749.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-wIyfKvUu-1638932522972)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8750.png?raw=true)]
第五个函数sub402430()找到xxxxxxxx位置，填入数据，完善勒索信息
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ucKxsfdU-1638932522972)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8751.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-jk54cBne-1638932522972)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8752.png?raw=true)]
第六个函数sub40FE80()初始化GDI信息
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Fi1TSVNe-1638932522972)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8753.png?raw=true)]
接着创建一个线程来加密文件，病毒会加密两个部分，一部分是主机文件，一部分是网络资源文件
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-O7FhkJF4-1638932522973)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8754.png?raw=true)]
加密部分，首先对目录判断，是目录就迭代，然后对比三个系统关键目录，是的话跳过，之后在目录下留下勒索信息截图和勒索信息文本并通过shell32.execute打开它们
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-m6VBJbOf-1638932522973)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8755.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ptVjlAxu-1638932522973)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8756.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Fg6BaBZ5-1638932522974)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8757.png?raw=true)]
不是目录的话和之前解密出来的后缀进行对比，符合的话开始加密，加密算法部分就不分析了，按照勒索信息文本来说病毒程序采用的是RSA-4096非对称加密算法，写入了三段加密数据
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-bItFnAbk-1638932522974)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8758.png?raw=true)]
然后枚举网络资源文件进行加密
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-fi7ODk3c-1638932522975)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8759.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-DpwzawWj-1638932522975)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8760.png?raw=true)]
加密文件之后也会在桌面创建截图和勒索信息文本并打开
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-h830XuEv-1638932522975)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8761.png?raw=true)]
之后创建新的线程来删除备份数据生成的卷影副本，防止数据恢复
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ty0MbZPp-1638932522976)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8762.png?raw=true)]
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-GlA9ArrP-1638932522976)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8763.png?raw=true)]
接着又创建一个线程来发送加密后的主机信息
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Dswnyc9I-1638932522976)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8764.png?raw=true)]
最后删除自身
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-mFFLnAPY-1638932522977)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8765.png?raw=true)]
至此病毒程序的运行流程分析完毕，加密数据部分没有详细分析，自己关于算法方面的逆向能力不太足，怕分析起来浪费时间，得不偿失

五、病毒行为流程总结：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-gBMp1qRQ-1638932522977)(https://github.com/YanStar/RSA-4096Image/blob/master/RSA-4096%E6%A0%B7%E6%9C%AC%E5%9B%BE%E7%89%87/%E5%9B%BE%E7%89%8766.png?raw=true)]

六、技术思考总结：

  1. 通过PEID查壳发现程序带壳的话不要慌，判断是已知壳还是未知壳，已知壳的话查阅网上相关资料手工或者寻找脱壳机帮助自己脱壳，未知的话单步分析，合理下断，注意观察内存变化
  2. 对于某些影响我们分析运行的函数，要大胆的NOP和跳过
  3. 多熟悉不同病毒种类，远控类，勒索类，挖矿类等等，下次遇到时，分析起来速度会变快，效率提高
  4. 算法加密部分不仅要熟悉常见的Windows系统函数，更要知道相关原理，自己能力有待提高

七、防护建议：

1、个人电脑、服务器应及时打补丁，修复漏洞
2、对重要的数据文件定期进行非本地备份
3、不要点击来源不明的邮件附件，不从不明网站下载软件
4、尽量关闭不必要的文件共享权限
5、更改账户密码，设置强密码，避免使用统一的密码
6、GandCrab勒索软件会利用RDP(远程桌面协议），如果业务上无需使用RDP的，建议关闭RDP

八、相关IOC：

http[:]//drlarrybenovitz.com/qhcka/templates/binarystings.php
http[:]//holishit.in/wp-content/plugins/wpclef/assets/src/sass/neat/grid/binarystings.php
http[:]//starsoftheworld.org/cgi-bin/binarystings.php
http[:]//hknsjsu.org/wp-content/plugins/profile-builder/assets/lib/wck-api/assets/js/tiny_mce/utils/binarystings.php
http[:]//vtc360.com/wp-content/themes/vtc360_maxf3d/ReduxFramework/ReduxCore/inc/extensions/wbc_importer/demo-data/Demo2/binarystings.php
http[:]//grosirkecantikan.com/wp-content/plugins/contact-form-7/includes/js/jquery-ui/themes/smoothness/images/binarystings.php
http[:]//88fga.ketteaero.com/FE4A8D7E1E829B86
http[:]//2bdfb.spinakrosa.at/FE4A8D7E1E829B86
http[:]//uj5nj.onanwhit.com/FE4A8D7E1E829B86
MD5：9d3dbe44445624abb04bdb3bdace4fc2
SHA-256：7829ae7240eb4c6f5fe33c5af43e6d388f0439011c27cf609cc4d1a8b6092ec1
SHA-1：0ffc994e247d2b108910e8bb6de3ef57439c51af

由于相关文件有点大，放在微云上供大家下载：https://share.weiyun.com/5Nfqfqm

沭阳
关注
  • 3
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
[样本分析] TelsaCrypt勒索病毒
qq_42814021的博客
01-21 3522
文章目录样本信息样本行为详细分析线程1线程2六个功能函数线程3 样本信息 MD5：72CCC18F3038E19273010D45AC2142CE 样本类型：exe32 分析工具：DIE、OD、IDA 样本行为 详细分析 拿到样本后，老规矩，先拖到DIE中看一下，32位的exe，C/C++写的，无壳。可以直接用IDA和OD开始分析。 样本在WinMain函数中首先进行反沙箱检测，通过检测音频设备是否存在或API是否可用。然后做一系列的准备工作，其中比较重要的就是解密并释放数据。然后进行自拷贝，将自身拷贝到
RSA4096文件恢复工具RakhniDecryptor.zip
09-03
软件介绍: RakhniDecryptor能够恢复被加密的文件，在2016年4月份之前曾试过能用，当时由于电脑中了RSA4096病毒，硬盘中的文件全部变成了.MP3后缀名，使用这个工具成功修复。
勒索病毒分析报告
w_g3366的博客
09-07 3686
文章目录勒索病毒分析报告1．样本概况1.1 样本信息1.2 测试环境及工具1.3 分析目标1.4 样本行为概述2．具体行为分析2.1 主要行为2.2 提取恶意代码2.3 恶意代码分析3．解决方案3.1 提取病毒的特征，利用杀毒软件查杀3.2 手工查杀步骤或是查杀思路 勒索病毒分析报告 1．样本概况 1.1 样本信息 病毒名称：DBD5BEDE15DE51F6E5718B2CA470FC3F 所属家...
Wannacry勒索病毒样本分析
热门推荐
谈成(C/C++)
05-14 1万+
一、病毒简介： WannaCry（又叫Wanna Decryptor），一种“蠕虫式”的勒索病毒软件，大小3.3MB，由不法分子利用NSA（National Security Agency，美国国家安全局）泄露的危险漏洞“EternalBlue”（永恒之蓝）进行传播 。勒索病毒肆虐，俨然是一场全球性互联网灾难，给广大电脑用户造成了巨大损失。最新统计数据显示，100多个国家和地区超过10万台电脑遭到了勒索病毒攻击、感染。勒索病毒是自熊猫烧香以来影响力最大的病毒之一。WannaCry勒索病毒全球大爆发，至少15
linux勒索病毒分析,永恒之蓝的勒索病毒tasksche.exe样本分析
weixin_32103009的博客
05-13 2173
内容：分析病毒结构，写出病毒如何利用漏洞进行攻击，详细剖析勒索病毒的运行过程，使用了什么加密算法，调用了什么系统API。进阶：中了该勒索病毒，怎么恢复数据样本分析首先是看下病毒样本的哈希值图片.png查壳信息，win32程序无壳：图片.png载入IDA后，先查看字符串，看到有RSA和AES，猜测之后会使用这两种加密方式：图片.png用IDA的findcrypto插件，找到了AES算法的特征：图片....
RSA-Tool2 by tE!.zip
08-14
RSA-Tool2 by tE! zip
spring-security-rsa-1.0.10.RELEASE-API文档-中文版.zip
05-04
赠送jar包：spring-security-rsa-1.0.10.RELEASE.jar； 赠送原API文档：spring-security-rsa-1.0.10.RELEASE-javadoc.jar； 赠送源代码：spring-security-rsa-1.0.10.RELEASE-sources.jar； 赠送Maven依赖信息文件：...
rsa-[removed]rsa-javascript
05-17
rsa-javascriptrsa-javascriptNPM 下载包npm i rsa-javascript --save-devjs使用 （加密）import RSA from 'rsa-javascript'var rsa_m = "b582bfab21f62568d50d2e216c2bf2a76f9e2742b0914d130e76e8d3c24a6a28ba38a4d...
easy-rsa-master下载
06-19
2023年6月19号上传 用于OpenVPN服务器搭建方法
rsamatlab代码-RSA-OAEP-matlab:使用Matlap进行RSA-OAEP加密-解密
05-25
rsa matlab代码关于 使用带有Matlab的最佳非对称加密填充进行RSA加密，该加密可以对查询文件中的文本进行加密和解密。 依赖 您只需要vpi软件包： 介绍 RSA是著名的加密/解密系统，通常与OAEP一起使用以确保数据的...
C语言不使用openssl实现RSA4096
09-27
使用C语言实现rsa4096的加密解密操作，并将加密后的结果进行base64编码，解密之前先使用base64解码，再进行解密操作。私钥公钥操作分为两个工程，互不干扰
[病毒分析]某款勒索病毒分析
r250414958的博客
11-01 1969
1．样本概况 1.1 样本信息 1.病毒名称：1.exe 2.文件大小：327680 bytes 3.MD5: DBD5BEDE15DE51F6E5718B2CA470FC3F 4.SHA1: 863F5956863D793298D92610377B705F85FA42B5 5.CRC32: 1386DD7A 病毒行为： 复制自身、傀儡进程、加密指定类型的PE文件、修改注册表自启动、自动关闭任务管...
移除 RSA-4096 Ransomware
凌风探梅的专栏
08-12 3034
RSA-4096 勒索软件描述： 对于那些没有将文件备份，而又将重要文件储只存在计算机而已的计算机用户来说，RSA-4096 勒索软件可能会成为他们的噩梦。这是因为这个高风险的网络感染会通过垃圾电邮附件来感染计算机，然后加密各种类型的文件，包括 .png、.doc、.jpg、.txt 等。因此，RSA-4096 病毒可能会导致敏感数据比如相片或文件的损失。当然，是有办法可以解密这些被这个勒索
病毒分析五：勒索病毒分析
liuhaidon1992的博客
12-11 690
一、样本简介 样本是52论坛找到的 样本链接: https://pan.baidu.com/s/1yRlNwHKSa9F-nHhUiO0BCA 提取码: p498 二、现象描述 点开样本后，会弹出一个文本，里面有一串数字，这串数字是加密和解密的关键。然后电脑CPU会飙升到100%，是因为病毒创建了50个加密线程加密文本。 三、样本信息 MD5值：abca8f0299f6b5911143694...
GandCrab v2.0 勒索病毒分析
weixin_41487541的博客
04-06 627
1. 原始样本分析 首先对原本样本hmieuy.exe查壳，没有发现壳。 再使用pe工具查看原始样本： 发现EnumResourceNamesA、FindFirstFIleA、MoveFileW、GetProcAddress等函数，同时原本资源节中还含有内容；初步猜测样本可能会搜索资源节中数据并进行某种操作。 1.1 代码分析 IDA打开原始样本hmieuy.exe分析，在wWinMain函数函数入口发现代码混淆： 寻找关键点，发现分配堆空间函数GlobalAlloc函数的调用，
Sorebrect勒索病毒分析报告
houjingyi的博客
07-28 1835
背景介绍AES-NI是一个x86指令集架构的扩展，用于Intel和AMD微处理器，由Intel在2008年3月提出。该指令集的目的是改进应用程序使用AES执行加密和解密的速度。 如代码所示，将EAX寄存器设置为0之后执行CPUID指令返回的制造商标识存放在EBX，ECX和EDX寄存器中。如果既不是GenuineIntel的处理器也不是AuthenticAMD的处理器则认为该处理器不支持
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8190
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
node-v9.6.0-x86.msi
最新发布
04-29
Node.js，简称Node，是一个开源且跨平台的JavaScript运行时环境，它允许在浏览器外运行JavaScript代码。Node.js于2009年由Ryan Dahl创立，旨在创建高性能的Web服务器和网络应用程序。它基于Google Chrome的V8 JavaScript引擎，可以在Windows、Linux、Unix、Mac OS X等操作系统上运行。 Node.js的特点之一是事件驱动和非阻塞I/O模型，这使得它非常适合处理大量并发连接，从而在构建实时应用程序如在线游戏、聊天应用以及实时通讯服务时表现卓越。此外，Node.js使用了模块化的架构，通过npm（Node package manager，Node包管理器）,社区成员可以共享和复用代码，极大地促进了Node.js生态系统的发展和扩张。 Node.js不仅用于服务器端开发。随着技术的发展，它也被用于构建工具链、开发桌面应用程序、物联网设备等。Node.js能够处理文件系统、操作数据库、处理网络请求等，因此，开发者可以用JavaScript编写全栈应用程序，这一点大大提高了开发效率和便捷性。 在实践中，许多大型企业和组织已经采用Node.js作为其Web应用程序的开发平台，如Netflix、PayPal和Walmart等。它们利用Node.js提高了应用性能，简化了开发流程，并且能更快地响应市场需求。
Python基于机器学习的分布式系统故障诊断系统源代码，分布式系统的故障数据进行分析，设计故障诊断模型，高效地分析并识别故障类别
04-29
基于技术手段（包括但不限于机器学习、深度学习等技术）对分布式系统的故障数据进行分析，设计故障诊断模型，高效地分析并识别故障类别，实现分布式系统故障运维的智能化，快速恢复故障的同时大大降低分布式系统运维工作的难度，减少运维对人力资源的消耗。在分布式系统中某个节点发生故障时，故障会沿着分布式系统的拓扑结构进行传播，造成自身节点及其邻接节点相关的KPI指标和发生大量日志异常
ssh-keygen -t rsa -b 4096 -C
03-09
在你提供的命令中，-t rsa指定了生成RSA密钥对，-b 4096指定了密钥的位数为4096位，-C用于添加注释。 生成RSA密钥对的命令示例： ssh-keygen -t rsa -b 4096 -C "[email protected]" 执行该命令后，会提示你...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值