anatova勒索软件来袭

TRex 勒索软件 2019年1月26日发布
Favorite收藏

导语:Mcafee详细解释了Anatova的技术细节,以及这个新的勒索软件家族的独特之处。

在不断寻找新威胁期间,我们发现了一个新的勒索软件系列,称之为Anatova(基于赎金条的名称)。Anatova是在一个私有的点对点(p2p)网络中被发现的。经过初步分析,为确保我们的客户受到保护,我们决定将此发现公之于众。

尽管Anatova相对较新,但我们已在全球范围内发现都检测到

我们认为Anatova可能成为一个严重的威胁,因为它的代码是为模块化扩展做准备的。

此外,它还将检查网络共享是否已连接,并将加密这些共享上的文件。根据我们的评估,Anatova背后的开发人员/攻击者是熟练的恶意软件作者。我们得出这个结论,是因为每个样本都有自己独特的密钥,以及我们在勒索软件系列中经常看不到一些功能。

本文将解释Anatova的技术细节,以及关于这个新的勒索软件家族的一些有趣的事情。

在分析中我们使用了这个特定的哈希值:170fb7438316f7335f34fa1a431afc1676a786f1ad9dee63d78c3f5efd3a0ac0

Anatova的主要目标是在受害者付款之前加密所有文件。

一、Anatova简介

Anatova通常使用游戏或应用程序的图标来欺骗用户下载。它有一个清单来请求管理员权限。

二进制文件信息

Anatova勒索软件是一个64位应用程序,编译日期为2019年1月1日。此特定散列的文件大小为307kb,但由于样本中使用的资源量,可能会发生变化。如果我们删除所有这些资源,大小为32kb;一个非常小的程序,里面有一个强大的机制。

Anatova有一些强大的静态分析保护技术,这让事情变得有些棘手:

· 大多数字符串都是加密的(Unicode和Ascii),使用不同的密钥对它们进行解密,嵌入在可执行文件中。

· 90%的调用是动态的;它们仅使用以下非可疑的Windows API和C编程语言的标准库:GetModuleHandleW,LoadLibraryW,GetProcAddress,ExitProcess和MessageBoxA。

· 当我们在IDA Pro中打开二进制文件(包括最新版本的IDA)时,检测到的函数很差,并且在3个操作码后就完成了处理。我们不确定这是IDA Pro中的bug,或者是恶意软件作者故意造成的(我们怀疑)。

IDA Pro 7.2最新版本中的问题

二、初始感染向量

目前,我们不知道Anatova正在使用或将要使用的感染向量。我们最初的发现位置是私人p2p。

与其他勒索软件系列一样,Anatova的目标是加密受感染系统上的所有或多个文件,并要求付款以解锁它们。该攻击者要求以10 DASH的加密货币支付赎金 – 目前价值约700美元,与其他勒索软件家族相比而言比较高。

三、版本1.0的亮点

由于这是一个新的系列,在代码中找不到任何版本号,我们称之为1.0版本。

恶意软件执行的第一个操作是获取“kernel32.dll”库的模块句柄,并使用“GetProcAddress”从中获取29个函数。

解密字符串后获取kernel32中的函数

如果恶意软件无法获取kernel32的模块句柄,或者找不到某些函数,它将退出而不执行任何加密。

稍后,恶意软件将尝试创建具有硬编码名称的互斥体(在本例中为:6a8c9937zFIwHPZ309UZMZYVnwScPB2pR2MEx5SY7B1xgbruoO),但每个样本中的互斥体名称都会更改。如果创建了互斥体并获取了句柄,它将调用“GetLastError”函数并查看上一个错误是ERROR_ALREADY_EXISTS还是ERROR_ACCESS_DENIED。这两个错误都意味着存在此互斥对象的实例。如果发生这种情况,恶意软件将进入清理内存流程(我们将在本文稍后解释)并结束。

检查互斥体

在此检查之后,Anatova将使用与kernel 相同的流程从“advapi32.dll”,“Crypt32.dll”和“Shell32.dll”库中获取一些函数。所有文本都经过加密和解密,获取函数,释放内存,然后继续下一个。

如果它无法获得一些这些模块或它需要的一些函数,它将转到清理工具流程并退出。

我们发现的一个有趣的功能是Anatova将检索登录和/或活动用户的用户名,并与加密的名称列表进行比较。如果检测到其中一个名称,它将进入清理流程并退出。

搜索的用户列表是:

· LaVirulera

· tester

· Tester

· analyst

· Analyst

· lab

· Lab

· Malware

· malware

某些分析人员或虚拟机/沙箱在其设置中使用这些默认用户名,这意味着勒索软件无法在这些计算机/沙箱上运行。

在用户检查之后,Anatova将检查系统的语言。当用户安装Windows操作系统时,他们会选择一种语言来安装(虽然以后用户可以安装不同的语言)。Anatova会检查系统上第一个安装的语言,确保用户无法安装这些列入黑名单的语言之一从而避免加密文件。

Anatova不影响的国家名单如下:

· 所有独联体国家

· 叙利亚

· 埃及

· 摩洛哥

· 伊拉克

· 印度

看到独联体国家被排除在执行之外,通常表明作者可能来自其中一个国家,这是很正常的。本案例中,看到其他国家被提及是令人惊讶的。我们没有明确假设为什么这些国家被排除在外。

检查系统语言

在语言检查之后,Anatova会查找一个标志,在我们查看的所有样本中,该值都为0,但如果此标志将更改为值1(当前恶意软件样本永远不会更改该值),则会加载两个DLL,其名称(解密后)为“extra1.dll”和“extra2.dll”。这可能表明Anatova准备模块化或在不久的将来扩展其功能。

加载额外的模块

在此之后,恶意软件枚举系统中的所有进程并将它们与大型列表进行比较,例如“steam.exe”,“sqlserver.exe”等。如果发现其中一些进程,恶意软件将打开并且终止他们。此操作是典型的勒索软件,它试图解锁稍后将被加密的文件,例如数据库文件、游戏文件、Office相关文件等。

下一步操作是使用crypto API创建一对RSA密钥,用来加密所有字符串。此功能与其他勒索软件系列相同,例如GandCrab或Crysis。它确保将使用的密钥是因用户和执行次数而异。

如果恶意软件无法创建密钥,它将转到清理流程并退出。

在此之后,Anatova将使用crypto API “CryptGenRandom”函数生成32位的随机密钥和8字节的另一个值,以在运行时使用Salsa20算法和私有的blob密钥进行加密。

在文件加密过程中,它将解密2层加密样本的主RSA公钥,第一个是值为0x55的XOR,第二个是使用硬编码密钥和IV解密使用Salsa20算法的样本。

从第一层解密样本的主RSA公钥

在此之后,导入公钥并使用它加密Salsa20密钥和IV,这两个参数用于在运行时加密RSA私钥。

下一步是准备一个内存缓冲区并加密所有信息(Salsa20密钥,Salsa20 IV和RSA私钥)。它使用函数“CryptBinaryToStringA”在BASE64中创建一个大字符串。勒索软件稍后将清除计算机内存中的密钥、IV和RSA私钥,防止任何人从内存中转储此信息并创建解密器。

这个BASE64字符串将在稍后的赎金票据中写出。只有恶意软件作者才能解密Salsa20密钥和IV以及用户解密文件所需的RSA私钥。

如果不起作用的话,Anatova将自行删除,进入清理流程并退出。

当密钥在内存缓冲区中加密时,Anatova将枚举所有逻辑单元,并将搜索DRIVE_FIXED类型的所有现有实例(例如普通硬盘)或DRIVE_REMOTE(用于安装的远程网络共享)。Anatova将尝试加密每个位置上的文件。这意味着当网络共享上的文件被加密时,公司受害者可能会导致重大事故。

检查所有逻辑单元

对于每个已安装的驱动器(硬盘或远程共享),Anatova将获取所有文件和文件夹。稍后会检查它是否是一个文件夹,如果是,将检查文件夹名是否为“.”和“..”,以避免同一目录和上一个目录。

在收集的文件夹名列表中,Anatova会检查列入黑名单的名称,例如“Windows”,“Program Files”,“Program Files(x86)”等。这在许多勒索软件系列中都很常见,因为作者希望避免破坏操作系统,转而瞄准高价值文件。Anatova对文件扩展名.exe,.dll和.sys也是如此,这些文件对操作系统也很重要。

检查文件名和扩展名

如果通过此检查,Anatova将打开该文件并获取大小,并将其与1 MB进行比较。 Anatova只会加密1MB或更小的文件,以避免在大文件上浪费时间;它想要快速加密。通过在加密文件的末尾设置指针,Anatova确保它不会加密已加密的文件。

接下来,Anatova将创建一个32位的随机值作为Salsa20算法的密钥,另一个值为8字节,将用作Salsa20的IV。

使用这些值,它将读取内存中的所有文件或最大大小为1MB的文件,并使用Salsa20算法使用密钥和IV加密此信息(这是最近非常流行的,因为它是一种非常快速的算法并且具有开源实现)。

加密文件函数

它将导入在运行时创建的RSA公钥,并使用它加密用于加密文件的密钥和IV。接下来,它从文件的开头将加密的内容写入同一文件中,然后将指针指向文件的末尾并写入如下内容:

· 使用RSA公钥加密的Salsa20密钥。

· 使用RSA公钥加密的Salsa20 IV。

· 文件大小(小于1 MB)。

· 出现在赎金票据中的每个样本的特殊硬编码值。

· 样本中的特殊硬编码值,它是之前检查的感染标记,以避免两次加密同一文件。

完成后,Anatova将在同一文件夹中写入赎金票据。因此,如果Anatova无法对文件夹中的某些内容进行加密,则不会在此文件夹中创建赎金票据,赎金条仅在受影响的文件夹中出现。

此行为与在所有文件夹中均写入勒索信息的其他勒索软件系列不同。

赎金票据文本完全加密,但联系作者的邮件地址和要支付的地址除外。

Anatova不会覆盖赎金票据,如果它已存在于文件夹中,这可节省时间。赎金票据包含base64块,其中包含解密以字符串“ – KEY–”开头的块中的文件所需的所有加密信息,以及id。

然后允许响应的受害者免费解密一个最大大小为200kb的.jpg文件,作为他们可以获取解密文件的证据。

赎金票据样例

完成所有这些后,Anatova将非常快速地破坏Volume Shadow副本10次。与大多数勒索软件系列一样,它使用vssadmin程序(需要管理员权限)来运行和删除Volume Shadow副本。

删除Volume Shadow 10次

最后,当所有步骤完成后,勒索软件将遵循清理流程,如前所述,主要是为了防止转储可能有助于创建解密工具的内存代码。

四、覆盖范围

McAfee网关和端点产品的客户受此版本保护。检测名称包括Ransom-Anatova![partialhash]。

IoC

样本使用以下MITRE ATT&CK™技术:

· 通过API执行

· 应用程序进程发现

· 文件和目录发现:搜索要加密的文件

· 加密文件

· 进程发现:枚举终端上的所有进程以杀死一些特殊进程

· 创建文件

· 提升权限:请求运行。

· 创建互斥体

Hashes:

· 2a0da563f5b88c4d630aefbcd212a35e

· 366770ebfd096b69e5017a3e33577a94

· 9d844d5480eec1715b18e3f6472618aa

· 61139db0bbe4937cd1afc0b818049891

· 596ebe227dcd03863e0a740b6c605924

本文翻译自:https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/happy-new-year-2019-anatova-is-here/如若转载,请注明原文地址: https://www.4hou.com/typ/15910.html
点赞 4
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论