索然无味的勒索病毒

本文为看雪论坛优秀文章

看雪论坛作者ID：1行

过程分析

本文分析一个名为blocky的勒索病毒。

先拷贝自身，算出随机密钥，对特定目录下的文件进行加密，发送密钥至恶意样本作者。

详细分析

使用Det查看，发现是.net框架的。

拷贝自身到C:\15pb-win7\Rand123\local.exe：

随机算出第一层密钥：

对以下目录进行加密：

加密的后缀，基本上常见的后缀都有。

对文件进行加密：

这里的s就是传入的password，未加密的字符串3gv*cnLjf9POQ0B。

先将password由字符串转换为十六进制，在计算出hash值26640E02072A0BD1A8AE1E9B91ED12DC80C9392C2D714FDF028006F61B4E8120。

对文件内容进行aes加密，传入的是要加密文件的十六进制信息及密钥：

桌面留存的勒索信息：

恶意样本要访问谷歌，然而虚拟机里没搞翻墙，只能返回false。

如果不可以访问谷歌，则会一直尝试访问谷歌直到可以访问，就会创建勒索壁纸，并将密钥传回恶意样本作者手中。

创建的勒索壁纸：

发送需要的数据到恶意样本作者手中：

附件密码：infected

ps. 附件请点击“阅读原文”下载。

- End -

看雪ID：1行

https://bbs.pediy.com/user-860119.htm

  *本文由看雪论坛 1行 原创，转载请注明来自看雪社区。

☟

看雪活动

本篇文章留言点赞第一的用户送看雪转正邀请码哦~

欢迎大家疯狂留言点赞！

活动7月31日截止，将在看雪论坛茶余饭后版块公布结果。

推荐文章++++

好书推荐

﹀

﹀

﹀

公众号ID：ikanxue

官方微博：看雪安全

商务合作：[e-mail]

ps. 觉得对你有帮助的话，别忘点分享，点赞和在看，支持看雪哦~

戳“阅读原文”一起来充电吧！