【软件逆向-【病毒分析】假冒游戏陷阱:揭秘MBRlock勒索病毒及其修复方法】此文章归类为:软件逆向。
1.背景
在公众号文章中看到一篇名为《敲竹杠木马分析:虚假的植物大战僵尸杂交版》的文章,样本来源于某吧,对此我们对样本进行了提取分析。
文章链接:https://mp.weixin.qq.com/s/Up9u4DZtHnVNMiGBIHZzHw
2.恶意文件基础信息
文件名 | 植物大战僵尸杂交版v2.1安装包.exe |
大小 | 44.55MB |
操作系统 | windows |
架构 | 386 |
模式 | 32 位 |
类型 | EXEC |
字节序 | LE |
MD5 | b78f0af88d811d3e4d92f7cd03754671 |
SHA1 | 718f9b5fbcc0ead85157bd67d7643daf99dcedbc |
SHA256 | 396c74b2aeca0dbea8ae5f4770bc66e99f8d22aa284b392d0b78dee1711014af |
3.加密后文件分析
3.1威胁分析
病毒家族 | MBRlock |
首次出现时间/捕获分析时间 | 2024/06/21 || 2024/06/21 |
威胁类型 | 勒索软件,加密病毒 |
联系邮箱 | qq3113763905 |
感染症状 | 电脑黑屏,开机显示勒索qq。 |
感染方式 | 受感染的电子邮件附件(宏)、恶意广告、漏洞利用、恶意链接 |
4逆向分析
4.1 查壳
![](http://resources.yxfzedu.com/images/article_images/999921_8RTQE79VGTVAHVA.webp)
Upx 壳子。
![](http://resources.yxfzedu.com/images/article_images/999921_G289GE8ANMQHBT4.webp)
4.1.1 文件操作
定位当前文件路径
![](http://resources.yxfzedu.com/images/article_images/999921_9WN3MPZ3K5GP7F6.webp)
从文件中读取数据
![](http://resources.yxfzedu.com/images/article_images/999921_38U9H8JA66P79HN.webp)
4.1.2 解密操作
文件里面有三个明文的密钥
![](http://resources.yxfzedu.com/images/article_images/999921_UMQKHD96CHGBMA5.webp)
进行三次rc4解密操作
![](http://resources.yxfzedu.com/images/article_images/999921_FXYZ9PUWQ7Z9X7H.webp)
获取到了一个字符串
Spark.LocalServer.exe
还有一些数据
4.1.3 目录操作
获取并拼接生成目录名C:\\Users\\123\\AppData\\Local\\Temp\\Temp
![](http://resources.yxfzedu.com/images/article_images/999921_FDRKH3YFBJ727BU.webp)
根据这个目录逐级生成目录
![](http://resources.yxfzedu.com/images/article_images/999921_SQWSG6YV7P45EMV.webp)
生成两个字符串 C:\\Users\\123\\AppData\\Local\\Temp\\Temp\\Spark.LocalServer.exe 和C:\\Users\\123\\AppData\\Local\\Temp\\Temp\\kook网截.vmp.exe
![](http://resources.yxfzedu.com/images/article_images/999921_7DFA996UWFRRPBM.webp)
根据刚才解密出来的东西写入文件
![](http://resources.yxfzedu.com/images/article_images/999921_6AFM4G79ENGCAAS.webp)
调用shell打开这两文件
![](http://resources.yxfzedu.com/images/article_images/999921_XJQ9Q3YYZGEHUSN.webp)
4.1.4 蓝屏
点击后蓝屏
![](http://resources.yxfzedu.com/images/article_images/999921_D7KV2HRHZ8KQGK5.webp)
显示勒索qq号
![](http://resources.yxfzedu.com/images/article_images/999921_436YBHTUGQMGAQV.webp)
4.2 释放的exe分析
4.2.1 kook网截.vmp.exe分析
通过查壳分析发现是易语言写的程序
![](http://resources.yxfzedu.com/images/article_images/999921_P4SKEM2YT84R3VH.webp)
通过字符串交叉引用定位到了勒索qq号生成的位置以及明文密钥“我爱原神”
![](http://resources.yxfzedu.com/images/article_images/999921_4XA4W4FMZ2H2EJG.webp)
载入xdbg
![](http://resources.yxfzedu.com/images/article_images/999921_KTGCYEVN9YQ78P6.webp)
发现该病毒调用了一个易语言的加密模块,这是经典的MBR勒索病毒之一,它通过覆盖硬盘数据的方式阻止系统正确启动,同时在网上也能找到对应的源码。
![](http://resources.yxfzedu.com/images/article_images/999921_MTEDZMYP38N696B.webp)
![](http://resources.yxfzedu.com/images/article_images/999921_WRHAQ2VC3TUF3SE.webp)
5. 病毒分析小结
根据对样本的深入逆向工程分析,得出该勒索病毒分析结果概览:
主要功能:
释放文件,调用shell执行文件对硬盘进行上锁
字符串混淆:
采用rc4混淆字符串,并用固定的key解密
系统操作:
在指定路径下释放文件
6. 修复方法
MBR病毒通过覆盖硬盘数据的方式阻止系统正确启动。由于我们不知道密码不能进入系统,想要手动恢复的话我们需要一个能够进入PE维护系统的移动介质。
6.1 系统引导
我们借助U盘/CD/DVD等移动存储介质通过PE系统检查硬盘数据情况。
服务器通过开机引导键盘位F12进入启动项选择界面选择U盘启动。
![](http://resources.yxfzedu.com/images/article_images/999921_PHGWVCJGK9FHCXN.webp)
个人电脑可以通过F12重复上述操作;
或DELETE按键进入设备主机BIOS,按下F8(不同品牌设备存在差异,以华硕为例)选择要启动的硬盘类型,选择提前插入的U盘启动。
6.2 PE示例
![](http://resources.yxfzedu.com/images/article_images/999921_DFM5JHHXYR3K3SR.webp)
不同PE工具界面略有差异。
![](http://resources.yxfzedu.com/images/article_images/999921_32N7N4BYBUGDNU5.webp)
进入PE维护系统,运行BOOTICE。
![](http://resources.yxfzedu.com/images/article_images/999921_H5EYJRGQPAE94VP.webp)
6.3 修复扇区
本次为虚拟机操作。
![](http://resources.yxfzedu.com/images/article_images/999921_A52SD3CEWG2UXYR.webp)
可以看到首扇区已经不是正常的引导,而是变成了勒索信息。
![](http://resources.yxfzedu.com/images/article_images/999921_UERZBW5WAWGXYF6.webp)
MBR勒索通常是把引导信息放在第三个扇区。
![](http://resources.yxfzedu.com/images/article_images/999921_BMJ4AMZR68WGCKK.webp)
为了避免意外,我们将前几个扇区先备份一下。
![](http://resources.yxfzedu.com/images/article_images/999921_EBSZ45PE8W2CX29.webp)
这样的我们直接把第三个扇区的数据覆盖到第一个扇区上,覆盖完成,点击保存。
![](http://resources.yxfzedu.com/images/article_images/999921_ZDFYEYB37GN6VW7.webp)
无论是MBR格式的磁盘还是GPT格式的磁盘,都需要打开分区管理,检查分配盘符情况,正确分配到C盘,
![](http://resources.yxfzedu.com/images/article_images/999921_RXE3ZWYW39FKWCJ.webp)
若发现其他盘符有抢占的情况,无法分配到C盘或已存在盘符,则重启设备即可,重启后会恢复正常。
![](http://resources.yxfzedu.com/images/article_images/999921_V5JGFN62JNC4TSP.webp)
重启测试已经能够进入服务器,检查硬盘分区和数据各项已恢复正常。
![](http://resources.yxfzedu.com/images/article_images/999921_EN8GM5YY9R84KN6.webp)
本次修复已完成。
最后于 2小时前
被solar解密编辑
,原因:
更多【软件逆向-【病毒分析】假冒游戏陷阱:揭秘MBRlock勒索病毒及其修复方法】相关视频教程:www.yxfzedu.com