近日,360终端安全实验室监控到GandCrab勒索病毒有了新动向,和以往相比本次GandCrab传播量有了明显的波动,我们分析了背后原因,发现此次波动是由一种近年较常见的蠕虫病毒引起的,该蠕虫病毒主要通过U盘和压缩文件传播,一直活跃在包括局域网在内的众多终端上。该蠕虫病毒构成的僵尸 *** ,过去主要传播远控、窃密、挖矿等木马病毒,而现在开始投递GandCrab勒索病毒。由于该病毒感染主机众多,影响较广,因而造成了这次GandCrab的传播波动。在此特提醒大家注意保护好您的数据,当心被勒索病毒袭击从而遭受不可挽回的损失。
我们对该蠕虫病毒的最新变种进行了深入分析。病毒的母体和以往相比没有太大变化,其主要特别之处在于其投递的病毒种类有了新变化,除了新增投递GandCrab勒索病毒外,还发现该病毒的初次投放方式,也即病毒 *** 者是怎么投放病毒的。一般病毒的初次投放方式包括挂马、捆绑下载、邮件附件、租用僵尸 *** 、漏洞利用等,而这次该病毒使用了邮件附件作为其初次投放传播的手段之一。
下面首先就其主要技术特点概括如下:
病毒代码具有风格统一的混淆方式,通过内存解密PE并加载执行来绕过杀软的静态扫描查杀,病毒的母体具有一定反沙箱反分析能力;
具备多种传播方式,包括投递恶意邮件、感染Web/FTP服务器目录、U盘/ *** 磁盘传播、感染压缩文件等;
窃取多种虚拟货币钱包,包括:Exodus、JAXX、MultiBit HD、Monero、Electrum、Electrum-LTC、BitcoinCore等多种货币钱包;
通过劫持Windows剪贴板,替换多种主流虚拟货币钱包地址,包括: *** C、ETH、LTC、XMR、XRP、ZEC、DASH、DOGE等币种;
窃取邮箱账号、Web网站登录账号、WinSCP凭据、Steam游戏平台账号、以及多种即时通讯软件聊天记录;
下载传播多种病毒,包括勒索、窃密、挖矿、母体传播模块等,其母体内嵌的下载链接主要固定为5种,正好印证了“五毒俱全”的特点;
病毒攻击流程
病毒详细分析
母体DownLoader分析
探测虚拟机/沙箱运行环境
病毒母体是一个DownLoader,运行时通过遍历进程以及检查加载的模块来探测运行环境是否是虚拟机或沙箱环境,其中特别针对python进程进行了检查(沙箱常用),还通过检查加载的DLL模块来检测sandboxie或sys *** yzer:
持久化设置
病毒会将自身拷贝至windows\自建目录\winsvcs32.exe,并创建注册表开机启动项实现持久化运行:
拷贝并重命名为winsvc32.exe
创建注册表开机启动项
删除自身的Zone.Identifier NTFS Stream避免运行时出现风险提示
添加防火墙例外以及关闭Windows Defender实时防护等功能
防火墙以及Windows Defender相关设置
通过可移动磁盘/ *** 磁盘进行AUTORUN传播
针对 *** 磁盘以及可移动磁盘
在U盘根目录创建”_”目录以及将自身拷贝并重命名为DeviceManager.exe
创建指向病毒母体的lnk文件
Lnk文件内容
被感染后的U盘以及AutoRun.inf截图
通过感染压缩包进行传播
判断%appdata%\winsvcs.txt是否存在,不存在则创建该文件,该文件起到一个开关作用,用来判断是否对压缩文件进行感染:
将自身拷贝至%TEMP%目录,并重命名为“Windows Archive Manager.exe”:
遍历本地磁盘中的压缩文件,将病毒本体添加到压缩文件,受感染的压缩类型包括zip、rar、7z、tar:
不知道大家有没有遇到过这样的情况,当从电脑中将资料复制到磁盘(移动硬盘、U盘)的时候提示磁盘被写保护,无法完成文件拷贝的情况。笔者以前遇到过不少次,不过经常学习与查找资料都得到了解决。今天刚好又有网友...
解除U盘被保护 那么u盘写保护怎么去掉呢?对于这个问题,为大家提供三种解除方案,读者可以根据自己的需求来进行选择。 u盘写保护解除方法: 方法一:u盘本身带有写保护开关的情况 这种情况一般...
在计算机中,该命令是在对程序进行编程时发出的编程命令。我们的小伙伴们很少触碰电脑指令。但是,了解修复命令有助于解决计算机问题。接下来,我将与您共享CHKDSK命令来修复磁盘 如何使用CHKDSK命令...
在使用计算机过程中,不少用户都有遇到这样的情况,从电脑中复制资料到u盘或者移动硬盘的时候提示磁盘被写保护,那么有什么办法可以去掉磁盘写保护呢?现在就给大家分享去掉磁盘写保护小技巧。 去掉磁盘写保护的...
准备材料: 计算机01我们详细介绍两种磁盘保护解除的功能:第一种是转化磁盘格式﹙写保护一般为NTFS格式﹚,第二种修改注册表。02第一种,首先拥有对保护磁盘有读写权限的账户登陆系统,拷贝保护磁盘的资料...
硬盘可以说是电脑硬件中比较容易损坏的硬件之一,因此在电脑维修过程中,由于硬盘问题导致的电脑故障也非常常见。对于很多电脑用户来说,硬盘尽管不是最重要的,但硬盘上存储的数据有可能是非常重要的,一旦遭遇硬盘...