本帖最后由 腾讯电脑管家 于 2018-4-4 10:32 编辑
0x1 概述近日，腾讯御见威胁情报中心发现多起用户感染魔鬼撒旦（Satan）勒索病毒事件，撒旦（Satan）勒索病毒首次出现2017年1月份。Satan病毒的开发者通过网站允许用户生成自己的Satan变种，并且提供CHM和带宏脚本Word文档的下载器生成脚本。 分析发现此次撒旦（Satan）勒索病毒携手永恒之蓝漏洞攻击工具，利用NSA泄露的永恒之蓝漏洞工具主动攻击局域网内其他存在漏洞的系统，最终有选择性的将服务器数据库进行高强度加密。 加密完成后，会用中英韩三国语言索取0.3个比特币作为赎金，并威胁三天内不支付不予解密。
0x2威胁等级（高危）危害评估：★★★★☆
加密服务器数据库文件，若无备份，将对企业正常业务产生不可逆的破坏。 影响评估：★★★☆☆ 通过永恒之蓝漏洞攻击工具在局域网内横向传播，主动入侵未安装补丁的服务器。 技术评估：★★★☆☆ 虽然利用永恒之蓝攻击工具，只要安装系统补丁就能防御此类攻击。
0x3影响面未安装永恒之蓝漏洞补丁的系统
0x4样本分析st.exe首先会去C&C服务器上下载ms.exe(永恒之蓝工具)和Client.exe（Satan勒索病毒）并运行，运行后获取本地IP网段，利用释放的永恒之蓝组件进行感染其他机器。
利用shellExecute运行cmd.exe,执行“/c cd /D C:\\Users\\Alluse~1\\&blue.exe --TargetIp x.x.x.x & star.exe --OutConfig a --TargetPort445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll--TargetIp x.x.x.x “ 对永恒之蓝组件分析，ms.exe(永恒之蓝工具)是个SFX自解压文件，解压文件夹为C:\\Users\\Alluse~1\\，组件中注入lsass.exe程序中的down64.dll和down86.dll作用是下载运行st.exe。
Client.exe（Satan勒索病毒）运行后首先关闭sql相关服务：
MySQL、MySQLa、SQLWriter、SQLSERVERAGENT、MSSQLFDLauncher、MSSQLSERVER
结束数据库相关进程
Sqlservr.exe、mysqld.exe、nmesrvc.exe、sqlagent.exe、fdhost.exe、fdlauncher.exe、reportingservicesservice.exe、omtsreco.exe、tnslsnr.exe、oracle.exe、emagent.exe、perl.exe、sqlwriter.exe、mysqld-nt.exe
释放勒索信息ReadMe_@.TXT，比特币钱包地址：1BEDcx8n4PdydUNC4gcwLSbUCVksJSMuo8，
当文件在以下目录时，不加密
windows、boot、i386、st_v2、intel、recycle、jdk、lib、lib、all users、360rec、360sec、360sand、favourites、common files、internet explorer、msbuild、public、360downloads
Satan勒索病毒主要针对服务器的数据库进行攻击加密，当文件为如下后缀以及其他时，便会加密： .mdf、.ldf、.myd、myi、frm、dbf、.bak、.sql、.rar、.zip、.dmp…… 当为如下后缀时，不会加密 .cab、.dll、.msi、.exe、.lib、.iso、.bin、.bmp、.tmp、.log、.ocx、.chm、.dat、.sys、.wim、.dic、.sdi、.lnk、.gho、.pbk
之后创建线程对文件进行加密
向C&C上传受害者机器信息
勒索信息提供3种语言：英语，汉语和韩语，根据提示，需要支付0.3个比特币作为赎金，才会对文件进行解密，并且三天内没有支付的话，电脑中的文件将无法解密。
0x5解决方案腾讯御见威胁情报中心提醒用户注意以下几点： 2、使用腾讯御点（个人用户可使用腾讯电脑管家）的漏洞修复功能，及时修复系统高危漏洞； 3、服务器使用高强度密码，切勿使用弱口令，防止黑客暴力破解；
0x6 IOCsC&C： http://61.100.3.151/data/count.php MD5：
09B235C80EBF9BE8617B513B9A44BAD0
9B15411692E75F6B5A5DA0400231718A
A5B47EBB75F71F5B06A58D588018C241
06608546BB9E19D943DB948C667C4685
| 
发表于 2018-4-4 10:32:48
