飞星勒索病毒 v1.0
可绕过EDR用户模式Hook 反内存扫描 反调试
未加壳 无编码器 混淆 加密 直接使用vs2022编译
需要Visual C++ Restributable运行库
（也可以用其他编译器编译 就不需要运行库 但是我懒得去调最优免杀编译参数）
反用户模式行为检测原理
PEB 寻址 动态解析 NtDll.dll 获取 Nt* 函数的系统调用地址和系统调用号 这里引用了SysWhisper3部分源码
通过两次硬件断点Hook 重定向高层函数调用执行流至目标 Nt* 函数 伪造完整调用链 同时覆写调用参数 实现间接系统调用
反内存扫描
采用ChaCha20流加密
需要改进
目前使用原始递归方式遍历目录 效率较低 后续更新可能采用深度优先搜索 或 广度优先搜索
加密的目标文件类型
L".txt", L".doc", L".xls", L".ppt", L".pdf", L".jpg", L".png", L".bmp", L".gif",
L".mp4", L".mp3", L".sql", L".db", L".zip", L".rar", L".7z", L".html", L".c", L".h", L".py"
emm 还是很方便添加的 保存在一个宽字符组里
GitHub开源 https://github.com/CNMrSunshine/StarFlyCryptor/
VT 70/72未检出 https://www.virustotal.com/gui/f ... de08c2799a56004e325
P.S. 本来DeepInstinct也过了 删去所有调试用输出打印后又过不了了....
P.P.S. 懒得设计UI 所以加密操作（大概要十分钟）结束后 只会弹出一个消息框XD
|
[复制链接]
发表于 
楼主
