聚合Vip网络社区 集合 HK共享吧 合购VIP等精品教程

 找回密码
 立即注册

QQ登录

只需一步,快速开始

关闭
聚合Vip社区
欢迎QQ或来电咨询
工作时间:周一至周五
AM9:00-PM22:00
淘宝店铺 淘宝皇冠店铺
论坛邀请码
查看: 3949|回复: 424

[病毒分析区] 【转帖】首次现身中国的CTB-Locker“比特币敲诈者”病毒分析

  [复制链接]

1万

主题

14

听众

2万

积分

管理员

Rank: 9Rank: 9Rank: 9

  • TA的每日心情
    郁闷
    2014-12-12 09:43
  • 签到天数: 7 天

    [LV.3]偶尔看看II

    发表于 2015-5-7 17:35:48 |显示全部楼层

    马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。

    立即注册 已有账号?点击登录 或者 用QQ帐号登录

    x
    出自奇虎360技术博客
    昨天开始,国内有众多网友反馈中了CTB-Locker敲诈者病毒, 电脑里的文档、图片等重要资料被该病毒加密,同时提示受害者在96小时内支付8比特币(约1万元人民币)赎金,否则文件将永久无法打开。这是CTB-Locker敲诈者病毒首次现身中国,受害者大多是企业高管等商务人士。
    这是国内首次出现敲诈比特币的病毒攻击,该病毒敲诈过程具有高隐蔽性、高技术犯罪、敲诈金额高、攻击高端人士、中招危害高的“五高”特点,对一些具有海外业务的企业造成恶劣影响。360QVM团队第一时间对该病毒进行了深入分析。
    摘要
    CTB-Locker病毒通过邮件附件传播,如果用户不小心运行,用户系统中的文档、照片等114种文件会被病毒加密。病毒在用户桌面显示勒索信息,要求向病毒作者支付8比特币赎金才能够解密还原文件内容。
    由于获取赎金支付信息需要在Tor网络中进行, Tor网络是随机匿名并且加密传输的,比特币交易也是完全匿名的,这使得病毒作者难以被追踪到,受害者支付赎金的难度也不小。一旦中招,对大多数人来说只能尝试找回被加密文件“以前的版本”,但前提是系统开启了卷影复制或Windows备份服务,否则很难找回文件。
    样本信息
    MD5:a2fe69a12e75744b7088ae13bfbf8260
    传播量:估算全国范围内>1000
    受影响的操作系统: Windows系统
    样本图标:

    病毒名称:Malware.QVM20.GEN
    截获时间:2015-01-19 14:01:02
    查杀时间:2015-01-19 14:01:02(QVM人工智能引擎在首次捕获样本时即可查杀)

    技术细节
    样本攻击流程如下:
    第一步:通过邮件附件发送病毒样本

    第二步:
    病毒使用了大量垃圾指令用于阻碍样本分析,最终在内存中展开第三步所用的PE文件。

    循环解密,写入动态申请的内存中

    解密完成,跳转到动态申请的内存中,执行解密后的代码


    动态获得系统API
    再次申请内存,将自身解密,内存中动态展开第三步所用病毒

    第三步:
    从获取自身资源,释放并执行RTF文件,让用户误以为打开了文档


    RTF文件内容如下:

    接下来,样本尝试访问windowsupdate.microsoft.com,判断用户是否可以联网。

    如果可以联网,则会循环读取下载列表,下载加密文件
    下载列表如下:(部分链接已无法访问)
    http://breteau-photographe.com/tmp/pack.tar.gz
    http://maisondessources.com/assets/pack.tar.gz
    http://breteau-photographe.com/tmp/pack.tar.gz
    http://voigt-its.de/fit/pack.tar.gz
    http://maisondessources.com/assets/pack.tar.gz
    http://jbmsystem.fr/jb/pack.tar.gz
    http://pleiade.asso.fr/piwigotest/pack.tar.gz
    http://scolapedia.org/histoiredesarts/pack.tar.gz
    通过解密pack.tar.gz得到第四步所用的病毒。


    第四步:
    利用之前相似的方式,动态解密自身,在内存中展开新的PE文件,并且这个文件被加了壳,目的还是阻碍分析。

    代码还原后,可以在内存中得到第五步所需的病毒。

    第五步:
    最终的敲诈功能在第五步中实现。
    运行后会将自身拷贝到temp目录中,并且创建计划任务,实现自启动。
    远程注入恶意代码到svchost.exe中
    判断中毒用户是否有vboxtray.exe、vboxservice.exe、vmtoolsd.exe等虚拟机进程,目的也是为了阻碍分析,增加触发病毒代码的条件。
    遍历用户所有文件,包括硬盘、U盘、网络共享等。
    判断用户的文件格式是否符合感染目标,共114种文件作为病毒感染目标
    pwm,kwm,txt,cer,crt,der,pem,doc,cpp,c,php,js,cs,pas,bas,pl,py,docx,
    rtf,docm,xls,xlsx,safe,groups,xlk,xlsb,xlsm,mdb,mdf,dbf,sql,md,dd,
    dds,jpe,jpg,jpeg,cr2,raw,rw2,rwl,dwg,dxf,dxg,psd,3fr,accdb,ai,arw,
    bay,blend,cdr,crw,dcr,dng,eps,erf,indd,kdc,mef,mrw,nef,nrw,odb,odm,
    odp,ods,odt,orf,p12,p7b,p7c,pdd,pdf,pef,pfx,ppt,pptm,pptx,pst,ptx,
    r3d,raf,srf,srw,wb2,vsd,wpd,wps,7z,zip,rar,dbx,gdb,bsdr,bsdu,bdcr,
    bdcu,bpdr,bpdu,ims,bds,bdd,bdp,gsf,gsd,iss,arp,rik,gdb,fdb,abu,config,rgx

    根据计算机启动时间,文件创建,修改,访问时间等信息为随机种子生成KEY。对文件ZLIB压缩之后进行了AES加密:



    最终修改受害者壁纸,显示勒索信息:




    安全建议
    一、不点击陌生人发来的exe、scr等可执行程序;
    二、重要数据做好日常备份,推荐使用360杀毒“文件堡垒”进行保护,防止文件被误删;
    三、及时更新安全软件防范病毒。
    回复

    使用道具 举报

    16

    主题

    0

    听众

    485

    积分

    中级会员

    Rank: 3Rank: 3

    该用户从未签到

    发表于 2015-5-7 17:35:58 |显示全部楼层
    消灭0回复,我要抢沙发!…
    回复

    使用道具 举报

    12

    主题

    0

    听众

    502

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-5-7 17:39:41 |显示全部楼层
    无论是不是沙发都得回复下
    回复

    使用道具 举报

    11

    主题

    0

    听众

    557

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-5-7 17:42:50 |显示全部楼层
    为保住菊花,这个一定得回复!
    回复

    使用道具 举报

    9

    主题

    0

    听众

    496

    积分

    中级会员

    Rank: 3Rank: 3

    该用户从未签到

    发表于 2015-5-7 18:00:17 |显示全部楼层
    我了个去,顶了
    回复

    使用道具 举报

    15

    主题

    0

    听众

    497

    积分

    中级会员

    Rank: 3Rank: 3

    该用户从未签到

    发表于 2015-5-7 18:04:06 |显示全部楼层
    打酱油的人拉,回复下赚取积分
    回复

    使用道具 举报

    16

    主题

    0

    听众

    508

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-5-7 18:58:54 |显示全部楼层
    回帖是种美德.
    回复

    使用道具 举报

    14

    主题

    0

    听众

    588

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-5-7 19:06:35 |显示全部楼层
    高手云集 果断围观
    回复

    使用道具 举报

    12

    主题

    0

    听众

    477

    积分

    中级会员

    Rank: 3Rank: 3

    该用户从未签到

    发表于 2015-5-7 19:33:09 |显示全部楼层
    好帖必须得顶起
    回复

    使用道具 举报

    7

    主题

    0

    听众

    529

    积分

    高级会员

    Rank: 4

    该用户从未签到

    发表于 2015-5-7 20:14:19 |显示全部楼层
    这么强,支持楼主,佩服
    回复

    使用道具 举报

    您需要登录后才可以回帖 登录 | 立即注册

    回帖奖励

    [详情]

  • * 每天自己主题被回复3次可获得额外2金钱奖励。
  • * 每天回复他人主题5次可获得额外3贡献的奖励。
  • * 奖励每天都可领取,一定要多参与论坛讨论哦。
  • * 同一主题的重复回复不计。
  • 手机版|Archiver|聚合Vip网络社区 ( 鲁ICP备14030129号-2 )Discuz超级管家   

    GMT+8, 2018-8-17 17:18 , Processed in 0.251215 second(s), 62 queries .

    Powered by Discuz! X2.5

    © 2001-2012 Comsenz Inc. Template by A3cn

    回顶部