注册
登录
Maktub Locker是一款勒索软件，GUI界面设计的很漂亮，并且有着一些有趣的特征。勒索软件的原始名字来源于阿拉伯语言”maktub”，意思是 “这是写好的”或者”这是命运”。作者很可能想通过这样的引用来描述勒索软件的行为，暗示这是不可避免的，就像命运一样。 0×01分析样本
特别感谢 MalwareHunterTeam 和 Yonathan Klijnsma 提供的样本 0×02 行为分析勒索软件通过邮件钓鱼活动，伪装成一个服务更新的文档文件。这次文档的主题很完整：附件的名字类似于( “TOS-update-[…].scr”, “20160321_tos.scr”)，而且图标也类似于文档图标：
勒索软件使用的一个欺骗技巧是释放一个真正的文档，而且是一个TOS的更新说明，.rtf格式：
当用户正在忙于阅读文档时，恶意程序就开始在后台运行，同时加密受害人的文件。 加密进程 Maktub Locker不需要从CnC服务器上下载密钥，数据可以在线下加密。加密文件的扩展名是随机的，在运行时生成，模式为：[a-z]{4,6} 比较新奇有趣的是，加密后的文件比原始文件更小。似乎勒索软件不仅仅加密而且还压缩。 原始文件和大小：
加密后的文件：
压缩文件的原因之一可能是加速文件加密过程。 不同的样本加密后的文件内容是不同的。然而，相同的文件加密后的文件是相同的。我们可以得出结论，程序运行一次随机密钥只会生成一次。之后，每个文件都会使用这个相同的密钥加密。 加密完成之后，就会弹出如下窗口：
提供给受害人指定格式的key：82个，每个单元5个字符（单元格式：[A-Z0-9]{5}）。样本文件再次运行时，key也会重新生成。 样本的信息也可以在一个HTML文件(_DECRYPT_INFO_[$EXTENSION].html)中找到。这个文件在每个目录中都会被释放。 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
