请选择 进入手机版 | 继续访问电脑版
查看: 1830|回复: 0

勒索病毒Magniber新变种出现

[复制链接]
  • TA的每日心情
    慵懒
    2022-8-19 07:39
  • 签到天数: 15 天

    [LV.4]偶尔看看III

    发表于 2022-8-7 13:11:04 | 显示全部楼层 |阅读模式

    勒索病毒Magniber新变种出现
    近期,火绒安全截获到Magniber勒索病毒最新变种,其病毒文件名会伪装成杀毒软件更新程序,并以控制面板组件动态库(.cpl)的形式传播,手段非常具有欺骗性。Magniber主要通过仿冒网站、色情网站广告弹窗等网站页面传播。火绒安全软件最新版本可成功查杀Magniber勒索病毒及新变种。

    Magniber病毒的勒索信如下图所示:

    勒索信内容

    勒索信内容


    被勒索后,需要支付0.12比特币(目前大概18543人民币)

    根据“火绒威胁情报系统”监测,从7月下旬开始,Magniber新变种异常活跃,传播趋势如下图所示:

    近期传播趋势图

    近期传播趋势图

    从Magniber新变种在国内各省份的感染量上看,暂时台湾和香港感染量较多,广东的感染量虽然排名第三,但与台湾、香港相比相差较多。根据Magniber病毒活跃的历史趋势看,现在仍处于其新一轮传播的初期阶段,依然存在在国内其他省份大范围传播的可能性。

    近期各省感染情况一览

    近期各省感染情况一览

    Magniber勒索病毒历史上一共出现过两次变种。第一次为2021年11月份利用CVE-2021-40444和PrintNightmare漏洞传播,第二次变种是2022年5月伪装成Windows更新程序(.msi)传播。根据以往的传播趋势来看,该病毒后续的传播量还会持续上升。

    勒索病毒活跃趋势图

    勒索病毒活跃趋势图

    据最新发布的《火绒安全终端防护数据报告(2022上半年)》(https://www.huorong.cn/info/1659344045864.html)结果显示,今年1-6月间,火绒安全技术团队处理的个人用户被勒索事件中,Magniber数量占比最高,达29%。

    病毒感染报告

    病毒感染报告


    详细分析
    病毒行为
    病毒启动后首先会进行自解密,如下所示:
    [C] 纯文本查看 复制代码
    __int64__fastcall dec_code()
    {
     __int64 v1; //rbp
     _BYTE*v2;//rdi
     __int64 v3;//rsi
     unsigned __int64 v4;//rcx
     char v5;//ah
     char v6;//al
     
     v4 = 0i64;
     v6 = 0;
     do
     {
       v5 = v6 ^(V3 + 2385) ^ 0x1f;
       *v2 = v5;
       v6 = v5;
       ++v3;
       ++v2;
       ++v4;
      }
      while ( v4 < 0x9C16 );
      (*(V1 - 8))();
      return call_decrypted_code();  //调用解密之后的代码


    解密后会将带有勒索功能的shellcode注入到进程名大于6字节并且非WOW64的进程中(如:sihost.exe),相关代码,如下图所示:

    生成AES-128算法的密钥

    生成AES-128算法的密钥

    加密算法分析
    Magniber勒索病毒通过AES-128加密算法(对称加密)对文件进行加密,并且通过RSA-2048加密算法(非对称加密)来对AES算法的密钥进行加密,相关加密逻辑代码,如下图所示:
    使用AES-128算法对文件进行加密,相关代码,如下图所示:

    使用AES-128算法加密文件数据

    使用AES-128算法加密文件数据

    AES-128算法的密钥进行RSA-2048算法进行加密,相关代码,如下图所示:

    对AES-128算法的密钥进行RSA-2048加密

    对AES-128算法的密钥进行RSA-2048加密

    附录

    病毒HASH:

    病毒HASH

    病毒HASH


    (以上来自火绒报告咨询)






    回复

    使用道具 举报

    您需要登录后才可以回帖 登录 | 注册

    本版积分规则

    快速回复 返回顶部 返回列表