在網(wǎng)絡(luò)技術(shù)不斷發(fā)展的同時，一系列的網(wǎng)絡(luò)惡意軟件也在不斷衍生。勒索軟件是黑客用來劫持用戶資產(chǎn)或資源并以此為條件向用戶勒索錢財(cái)?shù)囊环N惡意軟件。最近非常火熱的CryptXXX又有了變種，新版CryptXXX變得更加兇悍了。

暫時無解

新版CryptXXX勒索軟件不僅能夠加密目標(biāo)用戶電腦和網(wǎng)絡(luò)上的所有文件，用戶還還無法用數(shù)據(jù)備份來恢復(fù)文件——這是新版CryptXXX的重要功能升級之一。

卡巴斯基實(shí)驗(yàn)室的安全研究人員一直都在與CryptXXX作斗爭：先前研究人員曾發(fā)布過一個解密工具，受害者不需要支付贖金就能恢復(fù)自己的文件;要是沒有解密工具的話，受害者至少需要支付500美元才能解密文件。CryptXXX的開發(fā)者發(fā)現(xiàn)卡巴斯基的這一舉動后，也開始調(diào)整程序代碼使得破解過程變成更加困難。最近開發(fā)者就發(fā)布了一個新版本的CryptXXX。安全公司SentinelOne本周一的一篇博客中提到，在6月4日-6月21日之間，新版本的贖金總數(shù)已經(jīng)達(dá)到45228美元，當(dāng)然這不包括前面版本的收入。

實(shí)際早在5月21日的時候，CryptXXX的開發(fā)者就將該惡意軟件的代碼更新至3.0版本。此次更新的目的就是為了防止卡巴斯基推出的RannohDecryptor解密程序，免費(fèi)解鎖被加密的文件。

新版本CryptXXX仍舊支持對單個文件進(jìn)行加密，不過文件尺寸限定在512KB。新版本的主要改進(jìn)在于破解難度加大了不少。其他改進(jìn)還包括，相較之前.crypz和.crypt后綴，新版CryptXXX生成加密文件的后綴統(tǒng)一為.crypt1;還有就是前面提到的，針對系統(tǒng)shadow volume卷備份的刪除，防止數(shù)據(jù)可從備份恢復(fù)。另外，其傳播是通過垃圾郵件進(jìn)行的，但SentinelOne表示，黑客可能還用到了其他傳播途經(jīng)。

新版CryptXXX分析

查看惡意DLL文件屬性，發(fā)現(xiàn)它的文件屬性細(xì)節(jié)其實(shí)來自某個名為_BigBang.dll的合法文件，兩者的細(xì)節(jié)信息基本上是一樣的。

其實(shí)從這樣的文件細(xì)節(jié)信息，根本看不出什么異樣，令其看起來就像一般程序。先前的CryptXXX樣本還會偽裝成微軟的合法DLL文件。從unpacker的imports來看，絕大部分內(nèi)容也好像問題不大，偶爾有一些跟crypto加密相關(guān)的詞匯出現(xiàn)。從imports和exports列表的情況來看，很多函數(shù)是相關(guān)圖像處理的(和上面提到合法的_BigBang.dll肯定是完全不一樣了)，似乎并沒有什么卵用，這些應(yīng)該是用來妨礙分析的。

Unpack過程是通過VirtualAlloc為加密payload分配內(nèi)存，然后復(fù)制加密字節(jié)。隨后payload解密，但仍舊是壓縮過的。

根據(jù)上一版本的經(jīng)驗(yàn)在這里可以尋找“MZ”頭，但卻找到了“M8ZP8”以及一部分可讀的字符串“This ? progr3am…”，其實(shí)這對Windows可執(zhí)行文件而言是很正常的。M8ZP8頭與aPLiB壓縮PE文件相符。

點(diǎn)擊這里查看Python腳本，里面有其壓縮具體的算法實(shí)施，和運(yùn)行的技術(shù)描述詳情。首先dump包含壓縮payload的內(nèi)存片段，修剪null字節(jié)，用上述Python腳本成功解壓。得到的文件再用IDA進(jìn)行分析，實(shí)際上并不完整，而且也不包含有效的導(dǎo)入表(import table)。

payload解密之后，unpacker創(chuàng)建文件C:/PROGRA~2/Z (c:/ProgramData/Z)，該文件會通過kernel32.GetFileType來核查，檢查是否為FILE_TYPE_CHAR。如果是的話，在不執(zhí)行惡意payload的情況下，代碼結(jié)束。隨后，當(dāng)前時間、文件名，外加/r/n，寫入到Z文件中。像下面這樣：

這些字符串寫入文件后不久，這個文件就會被刪除。不清楚為什么要這么做，可能是用來干擾分析過程的。

然后unpaker通過查詢注冊表來確認(rèn)Startup的位置：

這個位置的作用其實(shí)很明確，Unpack代碼會在里面放入HTML勒索信，這也算是勒索過程的重點(diǎn)嘛。

從分析的樣本來看，是從某個.Ink快捷方式執(zhí)行，該快捷方式指向rundll32.exe F0F3.tmp.dll,MSX3。此處，后面的,MSX3是個附加參數(shù)，這句命令就是加載F0F3.tmp.dll，隨后執(zhí)行MSX3函數(shù)。實(shí)際上unpacker里面并不存在MSX3函數(shù)，所以應(yīng)該是payload的一部分。

所以也就很有可能是通過調(diào)用VirtualProtect來轉(zhuǎn)儲unpack過后的payload。既然需要確認(rèn)MSX3函數(shù)的地址，我就在GetProcAddress建立一個斷點(diǎn)。

取回MSX3的地址之后，執(zhí)行跳往該地址，文件加密、勒索行為也就開始了。

似乎payload使用Delphi編譯的，通過如下信息可知。從下面這個列表來看，部分imports似乎還用到了DNS、POP3以及SMTP協(xié)議。不過這些函數(shù)相較MSX3，應(yīng)該是通過不同的入口點(diǎn)來調(diào)用的。

最終，被勒索軟件鎖定的文件使用RSA和RC4混合加密，加密之后的文件擴(kuò)展名為.cryp1，之前版本的擴(kuò)展名為.crypt。如前面提到的，前一版本可以通過解密工具進(jìn)行解密，但是新版本就無法實(shí)現(xiàn)了。

被加密過的文件所在的每個文件夾里面都會有勒索信。其中一封是文本文件，另一封就是HTML格式了。文本形式的勒索信是下面這樣的：

如前文提到的新版CryptXXX加入的新特性：文件完成加密后，磁盤上所有的備份文件都會被刪除，防止用戶用文件恢復(fù)這一招。

顯示在屏幕上的勒索信息是這個樣子的：

為了進(jìn)一步警告用戶問題的嚴(yán)重性，CryptXXX還會在

路徑下，創(chuàng)建.html以及.bmp兩個文件。其實(shí)也是勒索信，不過跟前面提到的略有不同，重啟計(jì)算機(jī)之后就會出現(xiàn)：

點(diǎn)擊進(jìn)入支付頁面，頁面會讓受害者填寫相應(yīng)信息，就是勒索軟件分配的ID：

用這個ID登錄之后，就會顯示如下頁面：

如果受害者都沒聽過比特幣，或者不會用比特幣支付，那么也不要緊，下面這個頁面會教你怎么做的。

為了證明他們的確能夠提供解密服務(wù)，下面這個頁面主要是供受害者進(jìn)行解密服務(wù)的試用(服務(wù)很貼心)，但這個所謂的試用服務(wù)，解密文件的大小限定在512KB之內(nèi)。

防止惡意勒索軟件建議

其實(shí)要避免勒索軟件感染，就如同避免其他惡意軟件一樣。保持Windows 和瀏覽器相關(guān)的組件(Java, Adobe等)獲得最新的更新。此外，也要保持瀏覽器干凈，注意預(yù)防能導(dǎo)致惡意感染的廣告軟件的侵入，還有不輕易打開來源不明的郵件附件。這次新版的CryptXXX具備刪除磁盤shadow volume備份文件的能力，那么其實(shí)也可以考慮將重要的文件備份到其他位置。

關(guān)注文件安全，了解更多文件加解密軟件，請?jiān)L問文件加解密專題>>

本文轉(zhuǎn)載自