跳到主要內容

勒索軟件假冒Locky惡意軟件攫取錢財

網站內容來源http://server.it168.com/

勒索軟件假冒Locky惡意軟件攫取錢財

2016-08-02 16:03    原創 　作者: 廠商投稿　編輯:
0購買

　　【IT168 案例】Palo Alto Networks威脅情報小組 Unit42近日宣布發現PowerWare(也被稱為PoshCoder)的全新變種，在有意模仿臭名昭著的Locky勒索軟件家族。PoshCoder自2014年開始便使用PowerShell對文檔進行加密，2016年3月報道稱其有新變種PowerWare出現，該惡意勒索軟件可對受害者電腦里的文件進行加密，然後通過支付比特幣等数字貨幣的方式向受害者進行勒索。


　　除了將'.locky'作為加密過文件的擴展名，PowerWare還使用與Locky惡意軟件家族相同的勒索信。對PowerWare來講這不是第一次模仿其他惡意軟件家族，其早期版本便使用CryptoWall 惡意軟件的勒索信。此外，有些惡意軟件還會借用其他軟件的代碼，比如TeslaCrypt系列惡意軟件。


　　Unite42團隊曾經編寫過一個名為Python的腳本，可在受害者的電腦上逐次找到帶有'.locky'擴展名的文件並將其還原到初始狀態。其解密版本可通過以下鏈接進行下載 ( ) 。


　 分析


　　對PowerWare的初步分析显示，該樣本為.NET可執行文件，在使用一款名為dnSpy的.NET反編譯程序對其進行細緻檢查后，我們在Quest Software上發現有"PowerGUI"字樣显示，於是我們立刻意識到這一惡意軟件使用的是PowerShell 腳本編輯器，其可將PowerShell腳本轉換為Microsoft可執行文件。



▲反編譯惡意軟件變種所參考的PowerGUI



▲反編譯主要功能


　　通過對.NET可執行文件進一步檢查，我們發現其正在使用ScriptRunner.dll來拆包一個名為fixed.ps1的PowerShell腳本。這個拆解過的文件位於以下位置，


　　%USERPROFILE%\AppData\Local\Temp\Quest Software\PowerGUI\51daca6d-6a9a-44c8-9717-f8cc5c68d10e\fixed.ps1


　　實際上，這個.NET微軟Windows可執行文件只負責拆包某個嵌入式腳本並使用PowerShell.exe來運行它。該腳本位於一個名為Scripts.zip的壓縮文件內，該壓縮文件位於如下面圖三所显示的資源節內。



▲Scripts.zip 內嵌於惡意軟件資源節內


　　由於Scripts.zip文件在內嵌於惡意軟件之前未經任何掩飾處理，藉助dnSpy我們便能輕鬆地將其從壓縮文件中抽取出來，這有助於我們從中獲取壓縮的PowerShell 腳本。


　　PowerShell 與 PoshCoder/PowerWare的變種極其相似。如圖四显示，該樣本藉助硬編碼密鑰進行128位AES加密，可讓受害者無需支付贖金便可解密文件。這裏面不包含網絡信標，不會把密鑰生成的字節像某些變種那樣任意傳送。



　　▲PowerWare變種加密設置


　　PowerShell腳本會自動掃描受害者的電腦，搜尋帶有以下擴展名的文件並對其加密。



　　▲PowerWare加密的文件擴展名


　　然後，PowerWare將這些加密過的文件的擴展名修改為.locky，就像臭名昭著的Locky惡意軟件那樣。此外，PowerWare還會編寫一個名為'_HELP_instructions.html'的HTML文件，其與Locky系列惡意軟件在用詞上完全一致，勒索信放置於含有加密文件的文件夾中。



　　▲PowerShell編碼用於模仿Locky系列惡意軟件



　　▲PowerWare 勒索信使用了與Locky相同的措辭


　　在此事件中，受害者若要為此支付贖金，會被引導至某個網站，如下圖所示。該網站會告訴(受害者)如何購買比特幣，此時我們會再次看到相關材料，充分證明這一變種所極力模仿的便是Locky系列勒索軟件。



　　▲解密網站


上一頁
1 內容導航

  • 第1頁：



  • 第2頁：

, , ,
網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】



智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選



想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計



帶您來看台北網站建置，台北網頁設計，各種案例分享



廣告預算用在刀口上，網站設計公司幫您達到更多曝光效益


Orignal From: 勒索軟件假冒Locky惡意軟件攫取錢財

留言

張貼留言

這個網誌中的熱門文章

Python 併發總結，多線程，多進程，異步IO

1 測量函數運行時間 import time def profile(func): def wrapper(*args, ** kwargs): import time start = time.time() func( *args, ** kwargs) end = time.time() print ' COST: {} ' .format(end - start) return wrapper @profile def fib(n): if n<= 2 : return 1 return fib(n-1) + fib(n-2 ) fib( 35 )   2 啟動多個線程，並等待完成   2.1 使用threading.enumerate() import threading for i in range(2 ): t = threading.Thread(target=fib, args=(35 ,)) t.start() main_thread = threading.currentThread() for t in threading.enumerate(): if t is main_thread: continue t.join()   2.2 先保存啟動的線程 threads = [] for i in range(5 ): t = Thread(target=foo, args= (i,)) threads.append(t) t.start() for t in threads: t.join()   3 使用信號量，限制同時能有幾個線程訪問臨界區 from threading import Semaphore import time sema = Semaphor...
張貼留言
閱讀完整內容

韋伯連續劇終於更新 期待第一季順利完結

　　地球天文學界的跳票大王詹姆斯·韋伯空間望遠鏡 (James Webb Space Telescope，縮寫為 JWST)自 1996 年以來斷斷續續不按劇本演出的連續劇終於讓焦慮的觀眾們又等到了一次更新：五層遮陽罩測試順利完成。 裝配完成的韋伯望遠鏡與好夥伴遮陽罩同框啦。Credit: NASA 　　嚴格的測試是任何空間任務順利成功的重中之重。遮陽罩，這個韋伯望遠鏡異常重要的親密夥伴，要是無法正常運轉的話，韋伯的這一季天文界連續劇說不準就要一直拖更了。 　　詹姆斯·韋伯空間望遠鏡是歷史上造出的最先進的空間望遠鏡。它不僅是一架紅外望遠鏡，還具有特別高的靈敏度。但想要達到辣么高的靈敏度來研究系外行星和遙遠的宇宙童年，韋伯童鞋必須非常"冷靜"，體溫升高的話，靈敏度會大大折損。這個時候，遮陽罩就要大顯身手啦。 　　遮陽罩在韋伯的設計中至關重要。韋伯望遠鏡會被發射到拉格朗日 L2 點，運行軌道很高，遠離太陽、地球與月球。太陽是韋伯的主要熱量干擾的來源，其次是地球與月球。遮陽罩會有效阻斷來自這三大熱源的能量並保護韋伯維持在工作溫度正常運轉。這個工作溫度指的是零下 220 攝氏度(-370 華氏度；50 開爾文)。 上圖中我們可以看出，韋伯望遠鏡的配置大致可分為兩部分：紅色較熱的一面溫度為 85 攝氏度，藍色較冷的一面溫度達到零下 233 攝氏度。紅色的這部分中，儀器包括太陽能板、通信設備、計算機、以及轉向裝置。藍色部分的主要裝置包括鏡面、探測器、濾光片等。Credit: STSci. 　　遮陽罩的那一部分和望遠鏡的鏡面這部分可以產生非常極端的溫差。遮陽的這面溫度可以達到 110 攝氏度，足以煮熟雞蛋，而背陰處的部分溫度極低，足以凍結氧氣。 　　工程師們剛剛完成了五層遮陽罩的測試，按照韋伯在 L2 時的運行狀態安裝了遮陽罩。L2 距離地球約 160 萬公里。NASA 表示這些測試使用了航天器的自帶系統來展開遮陽罩，測試目前都已成功完成。韋伯望遠鏡遮陽罩負責人 James Cooper 介紹說這是遮陽罩"第一次在望遠鏡系統的电子設備的控制下展開。儘管這個任務非常艱巨，難度高，但測試順利完成，遮陽罩展開時的狀態非常驚艷"。 　　遮陽罩由五層 Kapton 製成。Kapton 是一種聚酰亞胺薄膜材料， 耐高溫絕...
張貼留言
閱讀完整內容

LINE 發票管家「一鍵分享發票」新功能，聚餐AA更好算帳

» » LINE 發票管家「一鍵分享發票」新功能，聚餐AA更好算帳 消費明細好清楚，不怕算錯錢啦！ by in , 讀取中... 之前介紹過的「LINE 發票管家」，除了能對統一發票、管理消費紀錄，現在還能分享消費明細給其他朋友囉！趕快來看看該如何分享吧！讓大家在聚餐過後，不用再截圖、拍照把消費明細記錄下來分享到 LINE 好友群組，只要用 LINE發票管家就可以隨時一鍵分享消費明細，包括店家、消費時間、消費項目、金額通通都有，聚餐 AA 也更好算帳。 LINE 發票管家「一鍵分享發票」新功能，聚餐AA更好算帳 朋友聚餐完，經常會先由其中一位買單再事後收帳，不過難免擔心忘記拍照紀錄下消費明細，導致算帳變得很麻煩。但是，現在只要用 LINE發票管家，不僅能將發票存入載具後直接匯入發票，進而更方便管理每月的消費情況，現在還能用它來分享消費明細到 LINE 聊天室，不需要截圖，整個流程超級簡單！ ▲圖片來源： 當使用 LINE發票管家並且綁定載具後，只要日常消費有將發票存入載具就通通會自動匯入 LINE發票管家。如果想暸解自己近期的消費情況，也能在 LINE發票管家點選「發票明細」查詢所有消費紀錄。 ＊小提醒：存入手機條碼的發票，待財政部 1-2 日作業時間將發票資料匯入後， 打開單筆消費後分享到指定對象或群組。 像是朋友聚餐或其它購物消費，就能在 LINE發票管家查看每一筆消費的所有消費明細，每一項餐點的項目、價格通通一目了然。如果想將該筆消費內容分享給好友收帳，只要點選該筆消費明細後，接著點選畫面右上角的「分享」按鈕。 網頁設計 最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問 台中電動車 哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。 電動車補助 推薦評價好的 iphone維修 中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝 太陽光電 聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、...
張貼留言
閱讀完整內容