最新消息:本站介绍:国外VPS、云服务器,海外服务器,一手资源推荐平台

勒索软件不小心变成了擦除器

网络安全 快米云 来源:快米云 31浏览

勒索软件不小心变成了擦除器

  • Fortinet 的 FortiGuard Labs 团队发现开源 勒索软件工具包的变体意外变成了擦除器。
  • Cryptonite 是一个开源勒索软件工具包,直到最近才在 GitHub 上免费提供。
  • 演示表明,当程序结束时,实际的加密密钥会消失,甚至操作员也无法访问它。

11 月 23 日,Fortinet的 FortiGuard 实验室发布了一篇文章,介绍了用Python编码的 Cryptonite 勒索软件。开源勒索软件工具包在GitHub 上免费提供,直到最近由用户 CYBERDEVILZ 提供。由于显而易见的原因,存储库及其分支已被删除。它使用了加密包的 Fernet 模块和 .cryptn8 扩展名。

从勒索软件到擦除器

最近,FortiGuard Labs 分析了一个新的恶意软件样本,并发布了另一份关于它的报告。根据 12 月 5 日发布的新报告,Cryptonite 的新样本从不提供解密工具,因此充当擦除器。过去我们已经看到擦除器充当勒索软件,但在这种情况下,情况有所不同。 

Cryptonite 仅实现勒索软件的准系统功能。它允许操作员配置排除列表、服务器 URL、电子邮件地址和比特币钱包,但仍然非常简单。它还缺少一些重要的勒索软件功能,例如:

  • Windows 卷影副本删除
  • 文件解锁以获得更彻底的影响
  • 反分析
  • 防御性规避(AMSI 绕过、禁用事件记录等)

分析时,该团队发现样本可以像预期的那样加密文件,但它没有显示允许受害者使用解密密钥开始解密过程的窗口。起初,团队认为这可能是故意的,并继续进行静态分析。 

该团队在反编译代码和来自 GitHub 的恶意软件模板之间创建了一个差异,显示在程序枚举文件系统时删除了五行。在动态分析中,该团队发现勒索软件尝试在warningScreen()函数中使用tkinter库时失败。此时在这个勒索软件中,加密过程已经完成。warningScreen ()应该显示赎金记录并允许受害者开始解密。该团队表示,

« 我们现在可以看到,勒索软件并不是有意变成擦除器的。相反,缺乏质量保证导致样品无法正常工作。这个缺陷的问题在于,由于勒索软件的设计简单,如果程序崩溃,甚至关闭,就无法恢复加密文件。

首先,无法以“仅解密”模式运行程序。每次执行时,它都会在向受害者提供解密之前使用不同的密钥重新加密所有内容。

其次,如图 7 所示,在第 10 行生成密钥以实例化用于加密的 Fernet 实例。该密钥是真正的加密密钥。但是,它永远不会在代码中再次使用,也不会发送给操作员。

生成另一个随机数。在 Cryptonite 类的构造函数中,dkrpt 值用于填充 decryptPlease 变量。随后,该密钥被发送给运营商。如果支付赎金,这是提供给受害者的密钥。为了检查受害者是否拥有正确的密钥,将提交的值与 decryptPlease 进行比较。对于实际的解密,使用已经存储了初始生成密钥的 Fernet 实例。»

因此,当程序结束时,实际的加密密钥就消失了,甚至操作员也无法访问它。在本次分析回顾的案例中,当程序异常崩溃时,被加密的数据无法恢复。

转载请注明:VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » 勒索软件不小心变成了擦除器