查看: 1427|回复: 1
收起左侧

[技术原创] “爱马仕”敲诈者:敲诈者中的奢侈品

[复制链接]
360主动防御
发表于 2018-4-17 11:37:03 | 显示全部楼层 |阅读模式
前言
近期,我们发现一款名为”爱马仕”的勒索病毒又开始在国内传播,该勒索病毒此次的主要攻击目标是windows服务器。目前流行的服务器勒索病毒中,有超过九成是通过远程桌面进行传播的。该勒索病毒更让人头痛的一点是,它除了不加密exe、dll、ini、lnk几种类型的文件外,其余的类型的文件它都会加密。在这里再次提醒大家,开启服务器远程桌面时需要谨慎处理,万不可在使用弱口令的机器上开启,不要有侥幸心理。

图1.敲诈提示信息

样本分析
初始化工作
★磁盘容量不足不加密
首先,勒索病毒会检测中招者磁盘的剩余量,如果获取磁盘剩余量失败或者是磁盘的容量不足4G,勒索病毒就会停止工作。
图2.获取磁盘剩余量容量
若磁盘空间充足,则会通过动态获取的方法加载后续操作所需要的函数,以此来躲避杀毒软件的静态查杀。下图仅列出一部分
图3.动态获取函数
★俄语系统不加密
同许多泛俄语系勒索病毒一样——病毒会通过查询SYSTEM\CurrentControlSet\Control\Nls\Language注册表键值来检测当前操作系统的语言,若发现系统语言是俄语、乌克兰语或白罗斯语则不会继续加密。曾经名噪一时的Locky家族勒索病毒的代码中,也有类似的判断逻辑,我们有理由相信这是一种病毒作者对泛俄语地区用户的保护。
图4.判断系统语言
该勒索病毒同时还会对系统版本是XP、Server2000、Server2003和Server2003 R2的中招机器进行额外的内存处理。
图5.获取系统版本
由于在以上这些系统中,生成的密钥对和密钥容器都会被存储在内存中。所以勒索病毒会额外清空一下内存中的密钥容器内容和密钥对,避免在内存中找到密钥对从而恢复被加密的文件。
图6.清空内存中存储的密钥
文件加密部分
该勒索病毒会在本地生成两个文件
1.       PUBLIC:病毒在本地生成的RSA密钥对中的公钥部分
2.       UNIQUE_ID_DO_NOT_REMOVE:包含两部分。
a)       用病毒在本地生成的AES密钥加密在本地生成的RSA密钥对中的私钥的密文
b)       用在病毒中硬编码的RSA公钥加密本地生成的AES密钥的密文
下图是第一部分所说的,病毒在本地进行的RSA密钥对生成动作以及将密钥对中的RSA公钥写入到PUBLIC文件中
图7.RSA公钥写入PUBLIC文件
接下来是UNIQUE_ID_DO_NOT_REMOVE文件的生成。其第一部分是用256位的AES密钥去加密2048位的RSA的私钥。而第二部分是用病毒中硬编码的RSA的公钥去加密AES密钥。
图8.生成UNIQUE_ID_DO_NOT_REMOVE文件
完成后,病毒会将刚刚生成的PUBLIC文件中的RSA公钥读取出来,在稍后进行的文件加密操作中,用于对加密密钥的再加密工作。
图9.从PUBLIC文件导入RSA公钥
病毒会创建一个批处理脚本(bat)来启动%TEMP%目录下的勒索病毒主体。但是在后续操作中,并没有将该病毒释放到%TEMP%目录里,并没有发现该脚本的存在有任何意义,这令分析人员颇为不解。
图10.生成start.bat
勒索病毒读取并解密自身资源,释放勒索信息。
图11.解密勒索信息
从自身资源中获取勒索邮箱地址。邮箱地址有两个:一个是dechhelp#airmail.cc,另一个是dechsupp#cock.lio。其中后者为备用邮箱。
图12.解密出勒索作者邮箱
病毒遍历文件的过程中,还会判断当前盘符挂载的是否是只读光盘,若是,则不在对该磁盘进行加密操作。
图13.判断磁盘属性
★系统目录不加密
在遍历目录的时候,如果遇到目录包含WindowsAhnLabMicrosoftMozilla$Recyle.BinWINDOWS等字符串中的任意一个,病毒便会跳过对该目录的加密。
图14.加密时跳过指定目录
接下来,病毒会先判断正在扫描的目标是文件还是目录:若是一个目录就生成敲诈信,并进入该目录继续做递归扫描工作。若不是目录,再判断该文件是否是生成的敲诈信息或生成的唯一ID,均不是则继续检查文件的扩展名,若不是dll、exe、ini、lnk、hrmlog中的一个才会进行加密工作。
图15.不加密指定的文件后缀
开始加密,病毒会读取该文件内容到内存中,再对内容进行检测——看文件内容中是否被写入了HERMES标记,该敲诈者的名字“爱马仕”就是取之于该标记。若找到标记则不再加密文件,仅将扩展名改为.HRM即可。
图16.查找HERMES标识
若未找到HERMES标记,就开始加密文件。加密开始前,病毒会先生成一个256位的AES密钥。
图17.生成加密文件的AES密钥
AES密钥生成成功,则开始加密文件。
图18.加密文件
加密完成后,写入文件标识“HERMES”
图19.写入文件标识
最后,病毒将AES密钥用PUBLIC中的RSA公钥加密,再将加密后的AES密钥写入到文件尾部。
图20.用RSA公钥加密加密文件的AES密钥
病毒对本地文件的加密工作全部完成后,还会尝试枚举网络资源(如共享文件)去加密。全部完成后,还会再次清空内存中的会话密钥,确保不会出现因密钥残留于内存中而被用于恢复文件的情况。
图21.加密共享文件夹中的文件
下图为文件被加密后的样子。
图22.被加密后的文件
加密相关文件情况如下图。如果想要解密文件,就需要将UNIQUE_ID_DO_NOT_REMOVE交给作者,让其用自己手里的RSA私钥解密出AES-256-1密钥。然后用AES-256-1去解密出RSA-2048私钥。再用RSA-2048私钥去解密出每个文件中的AES-256-2密钥。最后,用AES-256-2密钥解密文件内容。
图23.密钥分部情况

后续处理
所有加密工作完成后,病毒还会进行一些其他的善后工作。首先是删除卷影副卷,以及删除后缀名为.vhd、.bak、.bac、.bkf、.wbcat以及文件名包含backup字符串类型的文件——因为这些文件都可能是备份文件。
图24.删除备份文件
之后,并对会再次检测桌面目录中是否有生成敲诈信息,如果没有就生成一份敲诈信息。确认敲诈信息存在后,病毒会将这份桌面上的 DECRYPT_INFORMATION.html敲诈信息文件直接运行起来。最后删除病毒自己。
图25.运行敲诈信息并删除自身
图26.敲诈提示信息
敲诈信息中向中招者索要0.8个比特币,按发稿时汇率换算,相当于人民币32000元。这么贵的解密费用,也配得上“敲诈界奢侈品”的称号。
图27.与黑客邮件回话内容
总结:
在线服务器一直以来都是各路黑客最常见的攻击目标,而勒索病毒为这类攻击提供了一个新的变现渠道,一般而言服务器上的数据相较普通PC更具价值,被勒索后支付意愿更高,让此类攻击也更加泛滥。对于大量的中小型企业,服务器的防护往往是一个被疏忽的部分,这里必须要警惕这一点。尤其在开启远程桌面服务时,要注意一下几点:
1.     尽可能避免使用默认的用户名,使用复杂口令(不要使用有规律可寻的口令)。
2.     对多用户账户的服务器,设置严格的管理策略,并强制登录口令设置的复杂度。同时,管理员要严格控制每个账户的权限。
3.     多台计算机组成局域网时,不要使用相同的用户名和口令。
4.     口令需要做到定期更换。
5.     360安全卫士推出的“远程登录保护”功能,就能从陌生IP登录和多次登录口令错误两大方面,有效防御勒索病毒远程登录控制服务器。

爱薇猪猪
发表于 2018-4-17 14:19:30 | 显示全部楼层
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-12-23 08:26 , Processed in 0.139401 second(s), 16 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表