安全路透社
当前位置:安全路透社 > 安全客 > 正文

【木马分析】DeriaLock勒索木马最新变种分析

http://p2.qhimg.com/t01059f153ef6e7f8a4.png

作者:胖胖秦

预估

,或登陆


0x0 简述


最近出现了一种名为DeriaLock的新型勒索者木马,在最初版本中,DeriaLock只是一个屏幕锁,在其最新变种中, DeriaLock在屏幕锁的基础上加入了文件加密的功能,被加密的文件后缀为.deria。

从显示的勒索界面上,我们发现DeriaLock要求受害者在有限的24小时支付30美元的赎金,否则被加密的文件会被删除,如果你强行退出DeriaLock,被加密的文件也会被删除。

DeriaLock由.NET4.5编写,通过时间戳,可以知道,最新变种的更新时间为2016年12月26号。

http://p8.qhimg.com/t01f50aaa0d972fbc63.png


0x1 对抗分析


出于强度的考虑, DeriaLock对关键的函数与变量进行了混淆。

http://p2.qhimg.com/t01672d19ac9974f5eb.png

对引用到的字符串进行了加密

http://p6.qhimg.com/t01412881a83e09475d.png

经过分析与反混淆后,DeriaLock由以下5个类组成: 

Decrypt:解密文件

Encrypt:加密文件

KillProc:结束进程

Main:程序入口点

ShowFile:显示被加密文件


0x2 锁屏分析


在Main的FormLoad函数中, DeriaLock会创建多个计时器,调用KillProcess类的方法对系统进程进行枚举并结束指定列表的进程。

http://p5.qhimg.com/t01449c4c4a3af9b7bb.png

定时器方法:

http://p1.qhimg.com/t01e8ee08a9ea0cd188.png

定时器的时间间隔是1ms,所以在配置差的电脑上会略显卡顿。

http://p9.qhimg.com/t012832cb5d0a47af83.png

由上可知,DeriaLock在结束explorer.exe进行锁屏之后还对许多系统配置进程与进程管理软件进行了监控,阻止受害者恢复锁屏。


0x3 加密分析


在加密之前, DeriaLock会计算本机特征码,以确保测试时自己的电脑不被加密。

http://p7.qhimg.com/t019b050b35e03c6826.png

不同于其他勒索木马只加密特定后缀的文件,DeriaLock会对指定目录下的所有文件进行加密。

C:\Users\UserName\Documents
C:\Users\UserName\Music
C:\Users\UserName\Pictures
C:\Users\UserName\Downloads
C:\Users\UserName\Desktop
D:\

DeriaLock使用标准的AES256算法对文件进行加密

http://p9.qhimg.com/t012739b0a957608753.png

KEY和IV向量都是由一个固定的字符串经过SHA512计算生成。

http://p2.qhimg.com/t0146a80e13d64febd7.png


0x4 解密分析


有意思的一点是, DeriaLock在服务器上拥有一个全局的解锁指令,在Main初始时会创建一个定时器,而这个定时器的作用就是轮询这个指令,如果指令为1,所有被锁屏的电脑都会解锁

http://p6.qhimg.com/t017b943e39186fc222.png

值得注意的是,解锁指令只是删除自启动,并创建explorer.exe,同时退出自身,被加密过的文件并不会得到解密。

http://p4.qhimg.com/t0138274493d9b6caac.png

当你支付赎金之后, DeriaLock会在服务器上添加一个ID.txt文件,其中ID是你的特征码,里面保存着密码,密码与你输入的密码进行比对,正确的话就调用DeCrypt类对文件进行解密。

http://p0.qhimg.com/t012b99f3476180a9e5.png

以上是正常的解密流程,如果你不幸被DeriaLock加密了,也不用担心, DeriaLock是可解的。

通过之前的分析我们可以得知DeriaLock使用AES256对文件进行加密,并且KEY和IV都是唯一的,现在让我们再看看KEY的生成过程.

http://p9.qhimg.com/t01fc7da633687414ba.png

IV的生成过程和KEY的是一样的,唯一不同的长度,所以我们完全可以自己写一个解密程序对程序进行解密。

在加密文件时, DeriaLock会连接远程服务器更新其最新版本的,并写入自启。

http://p5.qhimg.com/t01bd281017f02b1084.png

所以我们可以 强制关闭计算机,同时挂上WINPE盘,在启动盘里运行我们的解密工具,对文件进行解密。


0x5结论


由于DeriaLock刚出现不久,加密的强度和广度还不够,对于专业的安全人员来说,可以实现自解密,但对于广大的普通用户来说,保持良好的上网习惯和安装杀毒软件还是有一定必要性的。


本文地址:http://bobao.360.cn/learning/detail/3372.html

未经允许不得转载:安全路透社 » 【木马分析】DeriaLock勒索木马最新变种分析

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册