臭名昭著的Nefilim勒索团伙样本分析 - 〖系统安全〗

z3960

级别: FLY版主

发帖: 786303

飞翔币: 211574

威望: 215717

飞扬币: 2615136

信誉值: 8

只看楼主更多操作 0 发表于: 2021-11-10

[font=-apple-system, BlinkMacSystemFont, &quot]样本信息

[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot]木马概述[font=-apple-system, BlinkMacSystemFont, &quot] 此样本为 Nefilim 团伙勒索病毒，加密后缀为.MERIN，执行后会遍历操作系统中特定后缀文件进行加密，采用的加密算法为RSA。

[font=-apple-system, BlinkMacSystemFont, &quot]木马执行细节[font=-apple-system, BlinkMacSystemFont, &quot]Base64解密恶意字符串[font=-apple-system, BlinkMacSystemFont, &quot] 样本中的恶意字符串都存在Base64加密，以此绕过静态分析。[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]初始化CNG[font=-apple-system, BlinkMacSystemFont, &quot] 从这里可以看出样本对文件的加密方式为非对称加密：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]导入密钥对[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]确定磁盘类型[font=-apple-system, BlinkMacSystemFont, &quot] 从A盘开始循环遍历：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]创建线程遍历目录创建勒索文本并对文件进行加密[font=-apple-system, BlinkMacSystemFont, &quot] 如果找到有效磁盘则创建线程：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] 遍历目录创建勒索文本[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] 判断文件后缀[font=-apple-system, BlinkMacSystemFont, &quot] 加密时略过以下后缀：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] 加密文件[font=-apple-system, BlinkMacSystemFont, &quot] ① 首先生成2个随机数：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] ② 对生成的2个随机数进行RSA加密，并储存在申请的内存当中，大小均为0x100个字节：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] ③ 文件末尾写入第一个随机数加密后的0x100字节：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] ④ 文件末尾追加第二个随机数加密后的0x100字节：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] ⑤ 文件末尾加5字节 ”MERIN”：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] ⑥ 加密文件内容：[font=-apple-system, BlinkMacSystemFont, &quot] 首先读取文件内容：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] 调用其加密函数对文件内容进行加密：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] 然后将加密后的内容写入文件：[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] ⑦ 最后在文件后缀上加上 .MERIN：[font=-apple-system, BlinkMacSystemFont, &quot]