冒牌勒索病毒化身“数据提取机”:专偷军事机密文档

  • 时间:
  • 浏览:20
  • 发布者:汊河之家网
  • 来自:

最近,一种与Ryuk勒索病毒有着千丝万缕联系的新型恶意软件被人揪了出来。据悉,这种恶意软件胃口可不小,它盯上的都是各种金融、军事和执法机关的机密文档。

当然,它与Ryuk还不太相同,因为Ryuk勒索病毒仅仅是将文档加密而后索要赎金,它可不会从被感染的电脑上盗取机密文档。

据Bleeping Computer美国时间9月11日报道,发现这种新型恶意软件的Malware Hunter Team团队指出,该恶意软件由背后的攻击者全权控制,他们会引导其搜索敏感文档,窃取成功后就上传至指定的FTP站点。

为什么说这个病毒与Ryuk勒索病毒有着千丝万缕的联系?因为这个“数据提取机”的代码中留有许多Ryuk的影子。

嗅探机密文档

这种新恶意软件是如何盗取机密文档的?逆向工程与安全研究人员Vitali Kremez给我们解释了一番。

原来,在执行任务时,这个“数据提取机”会先对电脑上的文档进行递归扫描,寻找值得盗取的Word与Excel文档。

在搜寻文档时,如果它遇到任何符合标准的文件夹或文档,就会停下来对其进行检查。有用的话就照单全收,没用就继续寻找下一个目标,这样的手法与勒索病毒如出一辙。

如果你想知道哪些文件夹或文档的命名“最安全”(上了黑客的黑名单),可以参考下图中的清单。

除了这些上了黑名单,一看就没什么价值的文档,那些与Ryuk有关的文档(比如RyukReadMe.txt或带有.RYK后缀的文档)“数据提取机”也会自动绕着走。

.
Tu1:“数据提取机”懒得看一眼的文档

如果文档不在黑名单上,“数据提取机”紧接着就会检查它是不是.docx或 .xlsx 文档。

.
Tu2:“数据提取机”在搜索.docx和 .xlsx 文档

定位到.docx或 .xlsx 文档后,恶意软件会使用libzip的zip_open和 zip_trace功能验证它们的目标是不是有效的Word或Excel文档。

验证方法也不难,“数据提取机”只需对word/document.xml 或xl/worksheets/sheet(分别归属于Word和Excel)进行检查和验证即可。

.
Tu3:验证Word文档

如果文档有效,“数据提取机”会再次将其放在内置的“天平”上称量,如果文档的名字中有那77个热词(如下图所示),马上就会被选中。

.
Tu4:“数据提取机”最感兴趣的热词

从这些热词中我们就能得出一个结论,“数据提取机”要找的是与军事机密、银行信息、欺诈/犯罪调查文件和其它敏感信息相关的文档。

诡异而是,除了上面这些指向性非常明确的热词,“数据提取机”的词库居然还非常关照类似Emma、Olivia、Noah、Logan和James等人名,要知道这可是2018年美国最常用的婴儿名字,随便一抓就一大把。

一旦引起了“数据提取机”的注意,文档就会通过FTP被上传到 66.42.76.46/files_server/a8-5 服务器(如下图)。

.
Tu5:被盗的文档会上传到FTB服务器

扫描了计算机后,恶意软件还会从ARP表中拿到一个IP地址清单。借助该清单,它会开始下一轮嗅探,以寻找新的“猎物”。

.
Tu6:提取ARP表

雷锋网(公众号:雷锋网)注意到,眼下,研究人员还没搞清楚该恶意软件是如何安装的,但专家们推断认为,在感染机器前“数据提取机”就已经动起来了。

与Ryuk勒索病毒之间的奇妙联系

上面我们说过,在搜索机密文档时“数据提取机”会故意跳过与Ryuk有关的部分。除此之外,它与Ryuk还共享了一部分代码。

举例来说,“数据提取机”就有新建文档并用.RYK 后缀为其命名的功能,但事实上它并没有用到这个文档加密的功能。

.
Tu7:“数据提取机”居然还有类似Ryuk的功能

除此之外,“数据提取机”还会检查文档名中是否有“Ahnlab”的字样(如下图)。

.
Tu8:“数据提取机”会特别关照“Ahnlab”这个关键词

巧合的是,Ryuk也会搜索带有该关键词的文档。

.
Tu9:Ryuk勒索病毒在搜索“Ahnlab”

显然,这两大病毒肯定有联系,只是我们不知道它们是否出自同一组织之手,或者说有人将Ryuk的代码用在了“数据提取机”中。也许那个手边有Ryuk代码的人只是玩了把复制粘贴呢。

当然,两者也有不同。Ryuk的运行就没有任何依存性,而“数据提取机”需要许多DLL的支持。

也就是说,“数据提取机”可能是被手动安装在电脑上的(或者是个带有全部组件的程序包)。

随着研究的深入,相信未来其安装过程会逐步大白于天下。.


文章出处:雷锋网

猜你喜欢

印度塔塔汽车推新电动系统 提性能增续航/发力新能源市场

日前,我们了解到,据外媒报道,印度汽车公司塔塔汽车推出了一项名为Ziptron的新型电动车动力传动系统。据悉,这一新的动力传动系统将为塔塔汽车未来生产的电动车提供动力。塔塔公司

2019-09-21

沃尔沃新款XC90上市:半月狂降18万/成为新晋打折王

最近在成都车展亮相的沃尔沃新款XC90,自亮相以来就获得公众大量的关注,无论是其硬朗独特的外观,还是北欧豪华的内饰风格,这款纯正的北欧车型都有其独特迷人的地方,持续吸引着大家对

2019-09-21

每天喝杯茶有啥好处?减少50%痴呆风险

近日,据外媒报道,一项研究指出,每天喝茶能让我们随着年龄的增长而振作起来,减缓精神衰退,抵御痴呆症。包括剑桥大学研究人员在内的一个国际团队认为,茶可以防止神经元之间的连接破裂。

2019-09-21

马斯克想拿数百亿薪酬 或被指控不公平获利

北京时间9月21日消息,特拉华州一名法官周五作出裁定,特斯拉董事会必须在授予其CEO埃隆·马斯克(ElonMusk)数十亿美元薪酬方案的诉讼庭审中进行辩护。此前,

2019-09-21

中国好声音贾铮PK刘美麟 刘美麟是许嵩女友是真的吗 许嵩新女朋友刘美麟资料照片

  中国好声音贾铮PK刘美麟刘美麟是许嵩女友是真的吗许嵩新女朋友刘美麟资料照片   这一组是这一期节目最具争议,最精彩,也最遗

2019-09-21