一次客户现场找到的phobs勒索病毒分析 - 〖系统安全〗

z3960

级别: FLY版主

发帖: 786294

飞翔币: 209891

威望: 215717

飞扬币: 2613068

信誉值: 8

只看楼主更多操作 0 发表于: 2022-11-23

2022年的某天正常上班，突然一条消息说xxx客户中了勒索病毒，遂前去处置处理流程：1，将中毒的终端隔离断网。2，寻找勒索病毒源文件以及路径(主要是客户要我们干这件事)，3，备份恢复。细节处就不多说了，网上很多了发现后缀是为elbie的phobs勒索病毒的，并在 %AppData%MicrosoftWindowsStart MenuProgramsStartup”和“%ProgramData%MicrosoftWindowsStart MenuProgramsStartup这两个目录找到了源文件拿源文件掉到沙箱，释放的文件跟终端的一样1，分析病毒功能点从ws32来看，应该有外连。外连操作：sub_403CBDStart -> sub-4029F5 ->sub_40271BSub_403B33检索注册表的值分配SID值并检查是否一致权限操作，进程操作，具体功能是获取进程列表，进程命令行，根据进程列表，选择性关闭进程还有socket最后通过OD看到遍历文件往每个文件夹放入勒索文件[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]到这就无了，这是我这个新手第一次分析样本，哪里有错误大佬们还请指点一番