欢迎访问电脑商情在线! 请免费注册
分享到





位置:首页 > 安全 > 热点资讯

PowerWare 勒索软件假冒Locky系列恶意软件攫取钱财

作者: CBINEWS编辑   责任编辑:李丽 2016-08-01 09:59:20
来源:电脑商情网关键字:威胁情报,勒索软件,Locky

作者: Palo Alto Networks威胁情报小组Unit42工程师Tyler Halfpop和Jacob Soo

PaloAltoNetworks威胁情报小组Unit42近日宣布发现PowerWare(也被称为PoshCoder)的全新变种,在有意模仿臭名昭著的Locky勒索软件家族。PoshCoder自2014年开始便使用PowerShell对文档进行加密,2016年3月报道称其有新变种PowerWare出现,该恶意勒索软件可对受害者电脑里的文件进行加密,然后通过支付比特币等数字货币的方式向受害者进行勒索。

除了将‘.locky’作为加密过文件的扩展名,PowerWare还使用与Locky恶意软件家族相同的勒索信。对PowerWare来讲这不是第一次模仿其他恶意软件家族,其早期版本便使用CryptoWall恶意软件的勒索信。此外,有些恶意软件还会借用其他软件的代码,比如TeslaCrypt系列恶意软件。

Unite42团队曾经编写过一个名为Python的脚本,可在受害者的电脑上逐次找到带有‘.locky’扩展名的文件并将其还原到初始状态。其解密版本可通过以下链接进行下载(https://github.com/pan-unit42/public_tools/blob/master/powerware/powerware_decrypt.py)。

分析

对PowerWare的初步分析显示,该样本为.NET可执行文件,在使用一款名为dnSpy的.NET反编译程序对其进行细致检查后,我们在QuestSoftware上发现有“PowerGUI”字样显示,于是我们立刻意识到这一恶意软件使用的是PowerShell脚本编辑器,其可将PowerShell脚本转换为Microsoft可执行文件。

  图一,反编译恶意软件变种所参考的PowerGUI

图一,反编译恶意软件变种所参考的PowerGUI

图二,反编译主要功能

图二,反编译主要功能

通过对.NET可执行文件进一步检查,我们发现其正在使用ScriptRunner.dll来拆包一个名为fixed.ps1的PowerShell脚本。这个拆解过的文件位于以下位置,

%USERPROFILE%\AppData\Local\Temp\QuestSoftware\PowerGUI\51daca6d-6a9a-44c8-9717-f8cc5c68d10e\fixed.ps1

实际上,这个.NET微软Windows可执行文件只负责拆包某个嵌入式脚本并使用PowerShell.exe来运行它。该脚本位于一个名为Scripts.zip的压缩文件内,该压缩文件位于如下面图三所显示的资源节内。

    图三,Scripts.zip内嵌于恶意软件资源节内

图三,Scripts.zip内嵌于恶意软件资源节内

由于Scripts.zip文件在内嵌于恶意软件之前未经任何掩饰处理,借助dnSpy我们便能轻松地将其从压缩文件中抽取出来,这有助于我们从中获取压缩的PowerShell脚本。

PowerShell与PoshCoder/PowerWare的变种极其相似。如图四显示,该样本借助硬编码密钥进行128位AES加密,可让受害者无需支付赎金便可解密文件。这里面不包含网络信标,不会把密钥生成的字节像某些变种那样任意传送。

    图四,PowerWare变种加密设置

图四,PowerWare变种加密设置

PowerShell脚本会自动扫描受害者的电脑,搜寻带有以下扩展名的文件并对其加密。

    图五,PowerWare加密的文件扩展名

图五,PowerWare加密的文件扩展名

然后,PowerWare将这些加密过的文件的扩展名修改为.locky,就像臭名昭著的Locky恶意软件那样。此外,PowerWare还会编写一个名为‘_HELP_instructions.html’的HTML文件,其与Locky系列恶意软件在用词上完全一致,勒索信放置于含有加密文件的文件夹中。

  图六,PowerShell编码用于模仿Locky系列恶意软件

图六,PowerShell编码用于模仿Locky系列恶意软件

在此事件中,受害者若要为此支付赎金,会被引导至某个网站,如下图所示。该网站会告诉(受害者)如何购买比特币,此时我们会再次看到相关材料,充分证明这一变种所极力模仿的便是Locky系列勒索软件。

  图七,PowerWare勒索信使用了与Locky相同的措辞

图七,PowerWare勒索信使用了与Locky相同的措辞

    图八,解密网站

图八,解密网站

解密

如上所述,由于该恶意软件采用静态密钥,从而有可能对加密文件进行解密。实际上如图九所示,该恶意软件只是对前面2048个字节进行了加密。

以下截屏显示,脚本是如何在一个受到感染的Windows电脑上运行的。

 图九,PowerWare变种所加密的文件样本

图九,PowerWare变种所加密的文件样本

  图十,运行解密脚本

图十,运行解密脚本

我们希望该脚本能够给那些遭受PowerWare变种影响的受害者提供帮助。

结论

尽管有迹象表明这一样本为新型样本,但实际上它只是我们之前发现的恶意软件PowerWare系列的变种,只是与其他变种不同,它伪装成Locky系列恶意软件的样子。

PaloAltoNetworks采用如下方法保护客户免受威胁影响,

所有与此恶意软件相关的域名和IP地址,都会被准确标记为“恶意”

所有在此事件中碰到的样本,都会被WildFire准确标记为“恶意”

借助AutoFocustag来对该系列恶意软件进行追踪和识别

攻击指示器

URLs

hxxp://bobbavice[.]top/RY.exe

hxxp://p6y5jnjxpfiibsyx.tor2web[.]org

hxxp://p6y5jnjxpfiibsyx.onion[.]to

hxxp://p6y5jnjxpfiibsyx.onion[.]cab

hxxp://p6y5jnjxpfiibsyx.onion[.]link

SHA256Hashes

RY.exe-

7f1023a3d523ab15fe3cceb7fde8038199510703a65dd03d78b9548eb2596b51

DroppedPowerShell

fixed.ps1

cd7ca159f8e8dd057b0591abc2e773d5651a27718eb72e26623e64af859d2826

%USERPROFILE%\AppData\Local\Temp\QuestSoftware\PowerGUI\51daca6d-6a9a-44c8-9717-f8cc5c68d10e\fixed.ps1

WrittenFiles

_HELP_instructions.html

.locky


网友评论(0) 评论仅代表网友个人观点,不代表CBINews观点。
CBINews网友您好,欢迎发表评论:(注册 后发表评论,可就本文发起辩论,将会获得更多关注)
 CBINews网友  注册邮箱:  

CBI 友情链接:

腾讯科技 |  凤凰科技 |  商业伙伴 |  移动信息化 |  企业网 |  中国软件网 |  CIO时代网 |  更多>>

CBI集团其它网站:

电脑商情在线 | 存储伙伴 | 服务器伙伴 | 中小企业IT网

CBI 地方分站:

上海 |  广州 |  成都 |  西安 |  沈阳 |  武汉 |  南京 |  重庆 |  长沙 |  济南 |  太原 |  合肥 |  长春  |  杭州 |  昆明 |  南宁 |  哈尔滨 |  兰州 |  乌鲁木齐 |  福州 |  郑州 |  贵州

整合营销 |  CBINews刊例 |  《电脑商情报》刊例 |  联系方式 |  版权声明 |  友情链接

内容版权所有:电脑商情在线 北京米迪亚广告有限公司

地址:北京市海淀区中关村南大街28号6层 联系电话:(010)62178877-218

商务、内容合作QQ:15528356 客服电话:800-886-4689

电脑商情信息服务集团 成都华好网景科技有限公司

ICP证:川B2-20070068-5 川预审H8VZ-RBP6-X228-T60Z号 北京市公安局海淀分局备案编号:1101083710