勒索病毒“UNNAMED1989”中招用户有解了！

2018-12-02 22:10:27
我要分享


微信扫码分享

昨晚，360互联网安全中心紧急发布了关于最新勒索病毒UNNAMED1989的传播情况和初步分析结论。在今天早晨，我们还公布了解密工具帮助中招用户解密。经过一天时间，360又对该勒索病毒的传播和代码进行了进一步的深入分析。

1、传播渠道

该勒索病毒主要捆绑在刷量软件、外挂、打码软件、私服等第三方开发的应用程序传播，通过QQ、QQ群共享、网盘分享、论坛贴吧等形式将这些应用程序发送给受害者。受害者运行后机器上就会感染下载器木马，之后再由下载器木马安装其它恶意程序，这之中就包括本次传播的UNNAMED1989勒索病毒。部分参与传播本次勒索病毒的应用程序如下表所示。

表1 部分参与传播本次勒索病毒的应用程序信息

经分析发现，这些下载器在代码风格上与此次勒索病毒高度一致，可能出自同一黑客（团伙）之手。下图展示了这些应用程序与勒索病毒的一段代码对照：

勒索病毒“UNNAMED1989”中招用户有解了！

图1 传播程序与勒索病毒部分代码对照

2、传播过程

从感染下载器木马，到被下发勒索病毒周期较长，部分受害者在中招多天之后才遭到勒索，很难关联到是由于之前使用的一些外挂程序造成的。当受害者运行带毒的外挂软件时，软件主程序会在多个目录下释放恶意文件，其中部分释放路径如下表所示。

勒索病毒“UNNAMED1989”中招用户有解了！

表2 恶意文件释放路径

释放的恶意文件是一组带有导入表DLL劫持的"白利用"组合（该技术在国内病毒制作圈中非常流行），攻击者通过DLL劫持的方式劫持合法程序执行流程，使"正常"程序执行恶意代码，试图躲避杀毒软件查杀。攻击者使用的三组"白利用"如表3所示。

勒索病毒“UNNAMED1989”中招用户有解了！

表3 攻击者使用的三组"白利用"

这三组"白利用"被用做木马下载器使用，长期驻留用户系统。攻击者在其豆瓣主页以及github中保存一组加密的控制指令，下载器读取到指令后解密获得下阶段木马程序下载URL。图4展示了保存在攻击者豆瓣主页的加密字符串。图5则展示了字符串解密后的配置文件内容。

勒索病毒“UNNAMED1989”中招用户有解了！

图4 保存在豆瓣的加密字符串

勒索病毒“UNNAMED1989”中招用户有解了！

图5 解密后的配置文件内容

程序获取到的下阶段木马下载URL指向一张由正常图片和压缩包拼接而成的图片，通过截取图片并解压文件能够获取下一阶段程序。图5展示了图片的十六进制内容，可以明显看见zip压缩包的文件头部。

勒索病毒“UNNAMED1989”中招用户有解了！

图6 程序下载的由正常图片和压缩包拼接而成的图片

之后的木马程序会从网络上下载更多拼接了恶意文件的图片并提取恶意文件。根据我们分析发现，攻击者不仅通过该方式往受害者机器上植入勒索病毒，还植入过盗号木马。这些恶意程序会注入到合法进程中工作，并带有更新功能，通过获取攻击者豆瓣主页上的字符串获取更新地址，以根据情况更改植入受害者计算机的恶意程序。

勒索病毒“UNNAMED1989”中招用户有解了！

图7 木马程序中硬编码的下载地址

在11月19日开始，攻击者开始通过上述方式向用户计算机中植入名为realtekarm.dll.aux的恶意程序并在机器中持续驻留。之后realtekarm.dll.aux作为下载器以相同方式下载勒索病毒相关文件。并将勒索病毒写入了用户计算机的启动项，在用户下次启动计算机时，文件就会被加密。该勒索病毒同样是通过DLL劫持方式，劫持正常程序执行其病毒功能。

勒索病毒“UNNAMED1989”中招用户有解了！