安天发布《针对WannaRen勒索软件的梳理与分析》

1.概述 近日,安天CERT监测到国内多个论坛,贴吧等网站先后有受害者感染新型WannaRen勒索软件并进行求助,其名称与“WannaCry”相似,加密后会追加“.WannaRen”后缀名。 安天CERT捕获了近期关注度较高的WannaRen勒索软件样本,对该威胁事件进行梳理与分析,目前监测到该勒索软件通过KMS工具捆绑PowerShell脚本传播,同时下载另一个PowerShell脚本作为载体,下载相关模块文件,其中包括名为“you”的核心加密文件、“WINWORD.exe”白文件和“wwlib.dll”恶意DLL文件,使用白文件加载恶意DLL文件(俗称白+黑技术)来躲避查杀。勒索信中内容为繁体字,并要求受害者支付赎金完成解密,赎金价格为0.05BTC(约2500元人民币)。目前,被加密的文件在未得到密钥前暂时无法解密。 前导PowerShell脚本除WannaRen核心模块下载链接外,还存在其他多个链接,其中包括永恒之蓝传播模块、挖矿模块。通过安天监测分析,该勒索软件没有大规模传播,没有发现内网传播案例。勒索信中的比特币地址收到两笔入账,约为0.00009490比特币。经验证,安天智甲终端防御系统(简称IEP)可有效阻止WannaRen勒索软件运行过程加密操作,针对勒索软件实体有效防护。2.该勒索软件对应ATT&CK的映射图谱 该勒索软件技术特点分布图:  
针对WannaRen勒索软件的梳理与分析
图 2-1 该勒索软件技术特点的ATT&CK的映射3.WannaRen勒索软件概览 3.1 执行流程 攻击者入侵计算机后,使用PowerShell脚本下载白文件、DLL文件和加密的代码文件。攻击者利用DLL劫持技术,将文件“WINWORD.exe”设置为服务并开机启动,启动后优先加载同目录下的加密程序“wwlib.dll”。DLL文件加载了核心加密文件“you”,加密Windows系统中大部分文件类型,在C:UserPublic目录下释放名为“fm”的文件(内容为记录加密时间),并在桌面释放“团队解密.jpg”、“想解密请看此文本.gif”、“想解密请看此文本.txt”、“@WannaRen@.exe”等文件。
针对WannaRen勒索软件的梳理与分析
图 3-1 攻击流程 3.2 信息概览 通过对域名以及样本的更新和创建时间发现,该勒索软件是近期展开的攻击活动。 表3‑1 WannaRen勒索软件概览
传播方式 第三方工具捆绑
加密文件命名方式 <原文件名>+<原文件后缀名>+.WannaRen
联系方式 WannaRenemal@goat.si
勒索币种与金额 0.05比特币(约2500人民币)
是否有针对性
能否解密 暂时不能解密
是否内网传播
勒索信界面           针对WannaRen勒索软件的梳理与分析                                                      
4.样本分析 4.1 样本标签 表4‑1 WannaRen加密程序
恶意代码名称 Trojan/Win32.WannaRen
原始文件名 wwlib.dll
MD5 9854723BF668C0303A966F2C282F72EA
文件大小 5.92 MB (6,209,536 字节)
文件格式 BinExecute/Microsoft.DLL[:X86]
时间戳 2020-04-29 09:27:50(伪造)
数字签名
加壳类型 VMProtect v3.00 - 3.1.2
VT首次上传时间 2020-04-08 00:41:33
VT检测结果 22 / 71
表4‑2 WannaRen解密程序
恶意代码名称 Trojan/Win32.WannaRen
原始文件名 @WannaRen@.exe
MD5 1DE73F49DB23CF5CC6E06F47767F7FDA
文件大小 6.96 MB (7,299,072 字节)
文件格式 BinExecute/Microsoft.EXE[:X86]
时间戳 2020-03-31 17:14:53
数字签名
加壳类型 VMProtect v3.00 - 3.1.2
VT首次上传时间 2020-04-05 15:35:41
VT检测结果 53 / 72
4.2 WannaRen加密程序的运行流程 PowerShell脚本将WINWORD.exe和wwlib.dll文件下载到指定目录下,采用白文件加载黑DLL文件方式,利用WINWORD.exe的运行机制,优先加载同目录下的恶意wwlib.dll文件。 针对WannaRen勒索软件的梳理与分析图 4-1 两个文件在同一个目录 勒索软件核心文件wwlib.dll与正常的wwlib.dll对比,正常的文件带数字签名,且两个文件大小差异较大。
针对WannaRen勒索软件的梳理与分析
图 4-2 文件对比 wwlib.dll文件加载后将WINWORD.exe添加为服务。
针对WannaRen勒索软件的梳理与分析
图 4-3 添加服务 服务启动后,DLL文件读取CUserPublic路径下文件名为you的加密数据,读取后进行加密文件操作。
针对WannaRen勒索软件的梳理与分析
图 4-4 加密的恶意模块 通过对“you”文件在内存中解密后,发现有如下字符串信息、RSA公钥信息和文件时间戳。 针对WannaRen勒索软件的梳理与分析图 4-5 勒索模块的字符串
针对WannaRen勒索软件的梳理与分析
图 4-6 勒索软件RSA公钥
针对WannaRen勒索软件的梳理与分析
图 4-7 文件头信息 样本运行后在本机释放多个文件,其中包括fm文件(记录攻击时间)、团队解密.jpg(攻击者证明其拥有一个解密团队,实则为取自网络的境外某部队培训图片)、勒索信、@WannaRen@.exe(解密程序)。 表4‑3 样本释放标签
释放文件截图 名称 路径 内容
针对WannaRen勒索软件的梳理与分析 fm CUserPublic 修改时间
针对WannaRen勒索软件的梳理与分析 团队解密.jpg 桌面 图片
针对WannaRen勒索软件的梳理与分析 想解密请看此文本.txt 桌面 勒索信
针对WannaRen勒索软件的梳理与分析 想解密请看此文本.gif 桌面 勒索信
针对WannaRen勒索软件的梳理与分析 @WannaRen@.exe 桌面 解密程序
加密后的文件有如下特点,以“WannaRenkey”字符串开头,“WannaRen2”字符串进行结尾。
针对WannaRen勒索软件的梳理与分析
图 4-8 加密后文件特点 4.3 WannaRen解密程序测试 之前网络大量传播的勒索样本,实则为攻击者声称的解密程序。该程序运行后弹窗,如下图所示: 针对WannaRen勒索软件的梳理与分析图 4-9 弹窗显示 通过测试发现,该解密程序从同一目录下的勒索信中读取KEY到解密程序中。
针对WannaRen勒索软件的梳理与分析
图 4‑10 读取勒索信中的KEY 输入任意密码均可弹出“解密完成”对话框,但实则并没有解密。应为解密程序的BUG,或者是根本没有解密的途径。 针对WannaRen勒索软件的梳理与分析图 4‑11 弹出解密成功对话框 4.4 比特币交易记录 勒索信中的比特币地址为:1NXTgfGprVktuokv3ZLhGCPCjcKjXbswAM,截至本报告发布时,该比特币钱包显示两笔入账记录。
针对WannaRen勒索软件的梳理与分析
图 4‑12 比特币交易记录 4.5 关联分析 安天CERT通过关联发现可疑脚本,该PowerShell脚本功能为下载WannaRen勒索软件,经分析该脚本为本次攻击事件的前导文件。 针对WannaRen勒索软件的梳理与分析图 4‑13 vip.txt 脚本内容 目前该脚本除了存在WannaRen核心模块外,还存在其他多个链接,多个文件功能如下表所示,其中包括永恒之蓝传播模块,攻击者可以自由选择下载,目前安天并未监控到存在内网大规模传播现象。 表4‑4 下载的功能模块
目前链接的部分样本MD5 功能
124D75D7214A16635828982C6C24B8D2 永恒之蓝模块
39E5B7E7A52C4F6F86F086298950C6B8 挖矿木马
9F09350FE69026571A9869E352E2C2BC 后门
CA8AB64CDA1205F0993A84BC76AD894A 挖矿木马
经过关联发现该PowerShell脚本是从域名cs.sslsngyl90.com下载,该域名会重定向至如下链接:cpu.sslsngyl90.com/vip.txt
针对WannaRen勒索软件的梳理与分析
图 4-14 域名重定向 经安天威胁情报综合分析平台关联分析域名sslsngyl90.com,发现该域名与匿影组织存在关联,此前该组织一直进行挖矿攻击,近期较为活跃。
针对WannaRen勒索软件的梳理与分析
图 4-15 安天威胁情报综合分析平台关联分析 目前,该链接中的脚本删除了勒索软件模块,只保留了挖矿模块,故现在没有大规模传播。
针对WannaRen勒索软件的梳理与分析
图 4-16 脚本删除勒索功能 4.6  传播分析 安天监测到该样本通过KMS工具捆绑PowerShell脚本传播,首先攻击者将伪装成激活工具KMS的下载器上传到某网站。
针对WannaRen勒索软件的梳理与分析
图 4-17 网站截图 该下载器运行后,下载伪装成激活工具KMS的压缩包。
针对WannaRen勒索软件的梳理与分析
图 4-18 伪装激活工具KMS的压缩包 解压后,是一个伪装成激活工具KMS的程序,其中嵌入PowerShell代码。 针对WannaRen勒索软件的梳理与分析图 4-19 嵌入的PowerShell代码 解码后的PowerShell代码如下,具体功能为延迟2000秒,检查系统中是否存在360安全防护或QQ防护,存在则退出PowerShell进程,若不存在则创建下载勒索软件的PowerShell脚本的任务计划。 针对WannaRen勒索软件的梳理与分析图 4-20 解码后的PowerShell 将上图中加密后的代码解码,得到以下命令,其功能为下载并执行上一节提到的前导文件。
针对WannaRen勒索软件的梳理与分析
图 4-21 下载命令5.防护建议 安天提醒广大用户,提高网络安全意识,及时进行系统更新和漏洞修复,避免下载非正版的应用软件、非官方游戏及注册机等;安装具有主动防御能力的终端防护软件(如安天智甲)以对勒索软件提供有效防护;及时备份重要文件,文件备份应与主机隔离;尽量避免打开社交媒体分享的不明来源链接,将信任网站添加书签并通过书签访问;避免使用弱口令或统一的口令;接收邮件时要确认发送来源是否可靠,避免打开可疑邮件中的网址和附件,避免轻易下载来源不明的附件。 目前,安天智甲终端防御系统可实现对以上恶意软件的查杀与有效防护。
针对WannaRen勒索软件的梳理与分析
图 5‑1安天智甲有效防护6.附录:IoCs
IoCs
F96EB8A988E3739570CA8DBB55026965
9854723BF668C0303A966F2C282F72EA
2D84337218E87A7E99245BD8B53D6EAB
6355D278E4B9CAEC1F9774DB5D2C54AA
06F61B51FD1B4834AA2C72A0C2E3573E
90D3BC2AB0B39A17A29462F3372CA786
1DE73F49DB23CF5CC6E06F47767F7FDA
235CCA78C8765FCB5CF70A77B1AE9D02
46A9F6E33810AD41615B40C26350EED8
F96EB8A988E3739570CA8DBB55026965
124D75D7214A16635828982C6C24B8D2
1976D15199E5F0A8FB6C885DF9129F56
39E5B7E7A52C4F6F86F086298950C6B8
9F09350FE69026571A9869E352E2C2BC
CA8AB64CDA1205F0993A84BC76AD894A
img.vim-cn.com
sslsngyl90.com
0 0 vote
Article Rating

未经允许不得转载:x-sec » 安天发布《针对WannaRen勒索软件的梳理与分析》

赞 (0) 打赏
Subscribe
Notify of
guest

This site uses Akismet to reduce spam. Learn how your comment data is processed.

0 Comments
Inline Feedbacks
View all comments

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏

0
Would love your thoughts, please comment.x
()
x