设为首页收藏本站
中国红客联盟 首页 预警 查看内容

警惕“黑心”勒索病毒再度来袭

2018-11-14 09:41| 发布者: dark| 查看: 12924| 评论: 28

摘要: 一、样本简介BlackHeart(黑心)勒索病毒家族是一款使用NET语言进行编写的勒索病毒,之前深信服EDR安全团队已经报道过它的变种家族样本捆绑知名的远程软件AnyDesk进行传播,此次深信服EDR安全团队发现的是它的一个家族 ...

一、样本简介

BlackHeart(黑心)勒索病毒家族是一款使用NET语言进行编写的勒索病毒,之前深信服EDR安全团队已经报道过它的变种家族样本捆绑知名的远程软件AnyDesk进行传播,此次深信服EDR安全团队发现的是它的一个家族的最新的变种,加密算法仍然使用AES+RSA,加密后的文件无法还原,加密后的文件后缀名为mariacbc。

BlackHeart(黑心)勒索病毒也是SF勒索病毒家族成员之一,SF家族的勒索病毒,一共有如下几类:

Spartacus(斯巴达克斯勒索病毒)

Satyr(萨克斯勒索病毒)

BlackRouter(BlackRouter勒索病毒)

BlackHeart(黑心勒索病毒)

它们都采用NET语言进行编写,并使用了相似的加密核心代码进行勒索加密,统称为SF勒索家族。


二、详细分析

1.样本仍然采用之前的B字图标,同时也是使用NET语言进行编写的,如下所示:

2.程序的入口函数,如下所示:

3.生成唯一的AES的KEY,如下所示:

4.再利用RSA2048的公钥Key加密之后生成的AES的Key,然后再转化为BASE64编码,如下所示:

生成的加密的Key,如下所示:

"mox1nR9OkprIdiwITblhpiD0XclNiMcMMNaP18mqVN1bkmsALjPThj9ckRNKC1uriLkOzc9BqAsgdLcNpmAJ/OPZDzKZhLsNv5GZAZotlMPX/gZzXvNvXqzKIxTxBv5NLzawTeyQuOuZMeU6gcuZdPThNItes0oFGsozxzsZCWuJoQuoXlfVDHnJC8dNGJ1+/EswCIB9jl5Hov0j9BNnwqOaKaTDJWYqayvKY4dnt14moA2ZzODVarydgHOit7CcJLGjCEijXV4Shrz8LkiBfKcH+haDcNWtT4EXT+zGae4DiAUIrAm+FPwLOuodHdrJwflJgkfawnXZA/6Emv/Vbw=="


5.遍历主机相关目录,进行加密操作,如下所示:

遍历的目录,如下所示:

相应的目录列表,如下所示:

%Desktop%
%Documents%  
%Music%
%History%
%Downloads%
%Pictures%
%Videos%
%Favorites%
%User Profile%
%Program Data%
%System Root%\Users

6.遍历目录下的文件,如下所示:

判断文件的后缀名是否在相应的需要加密的文件的后缀名列表中,如下所示:

勒索病毒会加密的文件后缀名列表,如下所示:

".exe",".der",".pfx",".key",".crt",".csr",".p12",".pem",".odt",".sxw",".stw",".3ds",".max",".3dm",".ods",".sxc",".stc",".dif",".slk",".wb2",".odp",".sxd",".std",".sxm",".sqlite3",".sqlitedb",".sql",".accdb",".mdb",".dbf",".odb",".mdf",".ldf",".cpp",".pas",".asm",".cmd",".bat",".vbs",".sch",".jsp",".php",".asp",".java",".jar",".class",".mp3",".wav",".swf",".fla",".wmv",".mpg",".vob",".mpeg",".asf",".avi",".mov",".mp4",".mkv",".flv",".wma",".mid",".m3u",".m4u",".svg",".psd",".tiff",".tif",".raw",".gif",".png",".bmp",".jpg",".jpeg",".iso",".backup",".zip",".rar",".tgz",".tar",".bak",".ARC",".vmdk",".vdi",".sldm",".sldx",".sti",".sxi",".dwg",".pdf",".wk1",".wks",".rtf",".csv",".txt",".msg",".pst",".ppsx",".ppsm",".pps",".pot",".pptm",".pptx",".ppt",".xltm",".xltx",".xlc",".xlm",".xlt",".xlw",".xlsb",".xlsm",".xlsx",".xls",".dotm",".dot",".docm",".docx",".doc",".ndf",".pdf",".ib",".ibk"


7.加密文件,使用AES加密算法,密钥KEY为之前通过RSA2048公钥加密后的KEY,对文件进行加密,同时将文件的后缀名变为mariacbc,如下所示:

相应的加密算法,使用AES ECB加密算法如下所示:

加密后的文件,如下所示:

8.遍历主机磁盘文件目录下的文件进行加密,如下所示:

9.删除磁盘卷影操作,如下所示:

10.生成勒索信息对话框,如下所示:

相应的勒索对话框,如下所示:

11.遍历主机磁盘,在相应的文件目录下,生成勒索信息文本文件ReadME-M@r1a.txt,如下所示:

三、解决方案

提醒广大用户,勒索病毒以防为主,目前大部分勒索病毒加密后的文件都无法解密,注意日常防范措施:

1.不要点击来源不明的邮件附件,不从不明网站下载软件

2.及时给主机打补丁(永恒之蓝漏洞补丁),修复相应的高危漏洞

3.对重要的数据文件定期进行非本地备份

4.尽量关闭不必要的文件共享权限以及关闭不必要的端口,如:445,135,139,3389等

5.RDP远程服务器等连接尽量使用强密码,不要使用弱密码

6.安装专业的终端安全防护软件,为主机提供端点防护和病毒检测清理功能

收藏 分享 邀请

引用 找寻_好吧 2019-7-24 21:50
不必要的端口1433不算?
引用 2316513106 2019-7-23 08:28
学习了,厉害
引用 tianshen1994 2019-7-17 10:54
厉害啊
引用 春末秋初 2019-7-6 09:19
太厉害了
引用 i20000118 2019-6-15 22:51
还好自己没有被袭击
引用 泥水里打滚 2019-5-29 16:28
病毒,学习了
引用 -王小白- 2019-5-11 15:46
厉害了
引用 平行时空里 2019-4-13 21:05
高深
引用 cwjarcinfo 2019-4-9 08:06
又来新高度啦
引用 a872519493 2019-3-25 18:17
今天刚遇到这个,客户的电脑中了这个病毒,有木有给解的
引用 无晓者 2019-3-8 10:25
虽然不太懂,但谢谢大佬了
引用 zhaonanzn 2019-3-5 14:32
认真学习了
引用 起点的 2019-2-12 16:12
懵逼
引用 162 2019-1-18 11:55
病毒文件发给我看看,我研究一下
引用 梦醒信誓 2018-12-31 14:17
感觉好厉害的样子,(赶快用移动硬盘备份)
引用 Black-Q 2018-12-14 17:34
影子系统长期开着
引用 残卒 2018-12-8 14:38
一脸懵逼,继续学习
引用 鹤臣 2018-12-4 19:22
这很搞事情
引用 Tanxiao 2018-11-26 17:31
搞事情的人
引用 SuiYun-zhen 2018-11-23 22:33
很厉害

相关分类

红盟社区--中国红客联盟 

Processed in 0.067445 second(s), 11 queries.

站点统计| 举报| Archiver| 手机版| 黑屋 |   

Powered by HUC © 2001-2017 Comsenz Inc.

手机扫我进入移动触屏客户端

关注我们可获取更多热点资讯

Honor accompaniments. theme macfee

返回顶部