神刀安全网

Petya敲诈木马拆解

近日,安全厂商 G-Data 发布报告说,发现了一种新的敲诈类木马 Petya 。此木马的特点是首先修改系统 MBR 引导扇区,强制重启后执行引导扇区中的恶意代码,加密硬盘数据后显示敲诈信息,通过 Tor 匿名网络索取比特币。这是第一个将敲诈和修改 MBR 合二为一的恶意木马。哈勃分析系统获取到了木马样本,重现了敲诈流程。

此木马的传播途径是通过邮件进行传播,邮件伪装成求职简历,目标是公司 HR 部门。木马通过链接的方式加入邮件中,链接指向 dropbox 上的一个共享文件。

dropbox 上下载文件后,可以发现文件的名称也是简历相关,图标则伪装为自解压文件。

Petya敲诈木马拆解

此木马的恶意代码并未保存在可执行节中,而是运行后在内存中进行解压,然后再执行。这段代码的主要目的是改写磁盘 MBR ,然后强制重启。写 MBR 的方式是将“ //./PhysicalDrive0 ”这个路径作为文件打开,然后向其中写入数据。

Petya敲诈木马拆解

大部分写入内容是 512 字节(标准扇区大小)的无效数据,“ 7777 ……”。

Petya敲诈木马拆解

真正有效的数据分为 3 段,以下简称 S1 S2 S3

S1 是标准的 MBR 扇区,可以看到其末尾的标志位 55 AA ,此数据被写入磁盘 0 扇区,作为系统重启后的引导程序。此引导程序会将存放于第 34 扇区的 S2 数据读入内存 8000H 基址处,然后跳转继续执行。

Petya敲诈木马拆解

S2 数据的长度为 0×2000 字节,是进行加密和敲诈的恶意代码。此代码执行后,首先显示一个虚假的提示,让受害者以为系统正在进行磁盘扫描修复,实际上此时正在进行的是磁盘加密的程序。

Petya敲诈木马拆解

一旦加密完毕,此木马就开始露出它的狰容,有一个骷髅头在受害者屏幕上闪烁:

Petya敲诈木马拆解

按任意键后,屏幕上会显示敲诈文本,以及付款途径。同最近爆发的其它敲诈类木马一样,此木马要求在 Tor 匿名网络下,通过比特币支付赎金换取解密密码。在这段文字中,木马自称 PETYA ,这也是这类木马命名的由来。

Petya敲诈木马拆解

需要指出的是,这个页面上的文字,大部分是编码在 S2 的数据中,但与付款相关的部分,是从 S3 中动态读取的。

Petya敲诈木马拆解

这两个部分可以从先前 S3 保存的数据中找到。

Petya敲诈木马拆解

由此就可以弄明白木马写入的三段数据的关系: S1 是引导程序, S2 是恶意代码, S3 相当于配置文件,可以在不修改 S2 的情况下调整执行参数,甚至包括加密密钥等。

总的来看,自从木马作者从去年开始爆发的敲诈木马中尝到甜头以后,各种不同类型的敲诈木马开始大量涌现。除了利用邮件社工传播和利用匿名网络 + 比特币支付赎金这两个共同的特点之外,木马作者开始尝试将各种不同的技术融合进木马之中,以增强反检测能力。像这次修改 MBR 的技术是比较传统的一种病毒恶意手法,之前还只是用于玩笑程序等简单的尝试,而这次则是与敲诈流程串在一起,又发挥了新的用途。敲诈木马的这类演化趋势值得我们持续关注和警惕。

Petya敲诈木马拆解

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » Petya敲诈木马拆解

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
分享按钮