无线安全团结互助，让我们共同进步！

当前位置：主页 > 技术资讯 > 网络安全 > 无线安全 >

我们的优势： 10年相关行业经验，专业设计师量身定制设计师一对一服务模式，上百家客户案例！企业保证，正规流程，正规合作 7*24小时在线服务，售后无忧

针对WastedLocker勒索软件样本的详细技术分析

文章来源：重庆网站建设围观次数：

分享到:

摘要：对于网络犯罪分子而言，在目标攻击中使用勒索软件已成为一种普遍现象。每月都有新的勒索软件攻击，有时甚至更频繁。在本文中，我们将对WastedLocker勒索软件的样本进行详细的技术分析。

对于网络犯罪分子而言，在目标攻击中使用勒索软件已成为一种普遍现象。每月都有新的勒索软件攻击，有时甚至更频繁。在本文中，我们将对WastedLocker勒索软件的样本进行详细的技术分析。

命令行参数

应当注意，WastedLocker具有命令行接口，该界面支持处理由攻击者控制的多个参数，这些参数将控制WastedLocker的行为。

-p <directory-path>

优先处理：此参数用于指定勒索软件首先需要加密的目录，然后将其添加到内部排除列表中以避免重复加密。接下来，勒索软件将加密可用驱动器中的其余目录和文件。

-f <directory-path>

此参数用于指定要加密的目录。

-u username:password \\hostname

此参数可以指定使用身份验证凭据来加密网络资源文件。

-r

此参数可以执行以下操作：

1.删除源文件。

2.使用注册表键“ SYSTEM\CurrentControlSet\Control\”的子项列表中的随机子字符串将文件复制到“%WINDIR%\system32\<rand>.exe”。

3.创建一个服务，该服务名称类似于第二步选择方法。如果服务名称已经存在，则将添加“ Ms”前缀。例如，如果“ Power”服务已经存在，则恶意软件将创建一个名为“ MsPower”的新服务。新服务的命令行界面将设置为“%WINDIR%\system32\<rand>.exe -s”。

4.打开此服务，然后等待它完成任务。

5.删除服务。

-s

打开创建的服务并加密该恶意软件找到的所有合格文件。

UAC绕过

WastedLocker的另一个有趣的功能是用于实现UAC绕过的方法。当木马开始运行时，它将检查运行的完整性级别。如果此级别不够高，则恶意软件将尝试在后台悄悄地使用已知的绕过技术来提升其权限。

首先，恶意软件将在“％appdata％”下创建一个新目录，该目录的名称是从注册表项“ SYSTEM\CurrentControlSet\Control\”的子键列表中的随机子字符串中选择的。接下来，根据系统目录中的数据，在此新目录中创建一个随机EXE或DLL文件，然后将木马程序写入NTFS流“：bin”。

此时，恶意软件会创建一个临时目录，通过API函数NtFsControlFile和参数“ IO_REPARSE_TAG_MOUNT_POINT”加载该目录，并指向“ C：\Windows”。接下来，它将在此临时目录中创建一个名为“ system32”的子目录。此时，此子目录的路径变为“%temp%\<directory_name>\system32”或“C:\Windows \system32”。

接下来，将合法的winsat.exe和winmm.dll复制到此子目录，用第二步中创建的NTFS流和恶意代码替换winmm.dll的入口点代码，启动winsat.exe，并触发winmm.dll修改实现DLL劫持。

下图显示了WastedLocker启动过程中的Procmon日志片段：

加密方案

为了对目标设备中的文件进行加密，WastedLocker的开发人员使用了一种结合了AES和RSA算法的加密方案，该方案也与许多勒索软件通常使用的方法不同。恶意软件的搜索掩码可以选择要加密的文件，并在恶意软件配置中设置需要忽略的路径。下图显示了勒索软件配置中需要忽略的路径子字符串：

对于每个待处理文件，WastedLocker将生成一个唯一的256位密钥和一个126位IV。恶意软件将使用这两个参数和AES-256算法（CBC模式）来加密文件的内容。文件操作的实现值得我们分析，因为它使用文件映射技术来实现数据访问。在这里，恶意软件开发人员必须尽最大努力提高勒索软件逃避安全解决方案的能力，并且每个加密文件都将附加“ .garminwasted”后缀。

此外，勒索软件还在加密程序中实现了文件完整性控制机制。恶意软件将计算原始文件的MD5哈希，该哈希将在解密程序中使用，以确保解密的正确性。

在这里，WastedLocker使用RSA算法中的公开引用实现，即“ rsaref”。

原始文件的AES密钥，IV，MD5哈希和其他信息将使用勒索软件中嵌入的RSA公钥进行加密。以下示例包含一个4096位RSA公钥：