虚假“种子文件”搭载WinRAR漏洞，下发新型勒索病毒！

2019-04-02 10:39:11
我要分享


微信扫码分享

所谓食色性也，人之天性。尤其在这个春气发动的季节里，发情的不止动物。敏锐的黑客们也早已嗅到弥漫在空气里的荷尔蒙，于是色情网站这一作战区也跟着浮出水面。

近日，360安全大脑监测到有黑客通过色情网站传播一种新的勒索病毒“CRYPTED!”。该病毒伪装成“种子文件”，利用最新的WinRAR远程代码执行漏洞CVE-2018-20250下发勒索病毒，“潜伏”色情论坛，引诱用户下载、解压。据统计，在短短两天时间里国内已有数百台计算机被攻击。不过，广大用户无需担心，360安全大脑已第一时间针对该勒索病毒进行了查杀。

图1 “CRYPTED!”勒索病毒勒索信息

受害小伙哭诉“不敢看了，这种子有毒！

小黑是某公司职员，单身，下了班就是和几个朋友侃侃大山、打打游戏、再就默默看两部小电影。这两天从哥们那听说有个视频特别火，瞬间勾起了他身为男性的猎奇心里。

“XX CEO的视频！听到这个劲爆消息后，他立马在google搜索该视频，然后就被搜索结果引导到一个youtube视频中”，如下图2所示：

图2 google搜索该视频

该视频的说明引导他到了一个google云盘中下载种子，如图3所示。“讲真，这样的链接很司空见惯的，我也没多想，直接点击下载了。”小黑补充说道。可殊不知就是这样的一次点击下载，就已经把他带入到黑客精心布置的陷阱中。

图3 google云盘下载种子

因为该云盘中存储的就是此次的勒索病毒，如图4所示。该病毒不仅恶意加密了小黑计算机文件，还向其勒索0.1比特币赎金。真可谓是偷鸡不成蚀把米，赔了夫人又折兵。

图4

360安全大脑第一时间还原“案发现场”

360安全大脑第一时间监测并查杀了该病毒。此外，为了让广大用户看清该病毒的真面目，360安全专家进一步对该病毒的攻击过程及加密细节做了分析，还原了“案发现场”。

攻击过程：

根据监测，此次实施攻击的压缩包文件名为“vid-2019037.zip”。压缩包通过密码“sex888”加密，解压后包含一个名为“VID-2019037 Torrent.rar”的压缩包以及一个ReadMe文件。从ReadMe文件中透露的信息看，压缩包中存储的是影片的种子文件以及预览文件。

图5 ReadMe文件中的提示信息

然而事实并非如此，“VID-2019037 Torrent.rar”实际上是一个利用WinRAR漏洞CVE-2018-2050的恶意压缩包，该漏洞能导致解压压缩包时在任意目录下写入文件。当受害者解压“VID-2019037 Torrent.rar”文件时，将在计算机启动目录下释放一个名为WindowsUpdate.exe的文件，该文件就是“CRYPTED!”勒索病毒。