新型Qism勒索病毒分析

显示全部楼层 · 发表于 2020-4-27 18:16:24

本帖最后由 MIAIONE 于 2020-4-27 18:16 编辑

注意：本文件仅为可疑对象，尚未传播以证实其危险性，还需仔细暗中观察和分析

今日我在我的QQ文件中发现可疑文件，名为System.exe，经过各大安全软件查杀后无一例报毒，于是我决定先分析下。
编写语言：C#/VB.NET
危险程度：很高
是否加壳：否
我个人猜测可能是作者想先测试然后发到了QQ上，所以肯定是我加的群里有人发文件（我开了自动下载小于1GB的附件）
这个AES+RSA就感觉不对

于是我找到了关键特征-----》遍历文件

而且奇怪的WINAPI也是重点

我很好奇为什么他要这么多权限？岂不是很容易被杀软查出来？不过接下来谁都预料不到的是他还没有用！估计这是他调试的时候的样本，还没有写全。
------------------------
我还发现他为了防止通过文件恢复，还使用了文件粉碎的代码！
BlockTime是空的
不过BlockTime我个人猜测应该是放文件检测的，检测到新文件就单独加密，不用全盘遍历一次了

显示全部楼层 · 发表于 2020-4-27 18:17:31

提示: 该帖被管理员或版主屏蔽

显示全部楼层 · 发表于 2020-4-27 18:42:16

所以。。。样本呢？

显示全部楼层 · 发表于 2020-4-27 18:46:35

K560987 发表于 2020-4-27 18:42
所以。。。样本呢？

发不了，等下我发下云盘

显示全部楼层 · 发表于 2020-4-27 18:48:24

下载地址

显示全部楼层 · 发表于 2020-4-27 19:23:29

ESET scan miss

显示全部楼层 · 发表于 2020-4-27 19:24:32

anyrun：https://app.any.run/tasks/dc505fa3-a3ec-40ce-83de-2fbf3d835714，未见可疑行为，VT就3家报

https://www.virustotal.com/gui/f ... ae26ef4e7/detection

显示全部楼层 · 发表于 2020-4-27 19:35:29

BD企业版——文件防护
miss
右键扫描miss

显示全部楼层 · 发表于 2020-4-27 19:55:27

岚Azure 发表于 2020-4-27 19:35
BD企业版——文件防护
miss
右键扫描miss

fireeye报了 bd没报吗……

显示全部楼层 · 发表于 2020-4-27 20:49:50

54ss 发表于 2020-4-27 19:55
fireeye报了 bd没报吗……

又试了一次，扫描miss

MIAIONE 头像被屏蔽	楼主\| 发表于 2020-4-27 18:17:31 \| 显示全部楼层提示: 该帖被管理员或版主屏蔽
MIAIONE 头像被屏蔽
	回复举报

[病毒样本] 新型Qism勒索病毒分析