技術(shù)分享 | 取證視角下的勒索病毒溯源

勒索病毒，是一種新型電腦病毒，主要以郵件/網(wǎng)頁(yè)釣魚(yú)、rdp爆破密碼、操作系統(tǒng)/應(yīng)用程序安全漏洞的形式進(jìn)行傳播。該病毒性質(zhì)惡劣、危害極大，一旦感染將給用戶(hù)帶來(lái)無(wú)法估量的損失。這種病毒利用各種加密算法對(duì)文件進(jìn)行加密，被感染者一般無(wú)法解密，必須拿到解密的私鑰才有可能破解。

前些天收到某個(gè)酒店服務(wù)器被勒索病毒鏡像，客戶(hù)希望能對(duì)攻擊行為進(jìn)行溯源為下一步偵察提供線索。

搜集基本信息

看完操作信息再看用戶(hù)信息：

因?yàn)檫@是一臺(tái)帶獨(dú)立公網(wǎng)ip的windows服務(wù)器，所以需要額外關(guān)注一下遠(yuǎn)程桌面中遠(yuǎn)程連接過(guò)本機(jī)的記錄：

運(yùn)行火眼證據(jù)分析的耗時(shí)任務(wù)中事件日志恢復(fù)任務(wù)，希望能得到更多的信息。

仿真動(dòng)態(tài)分析

通過(guò)火眼證據(jù)分析的靜態(tài)分析后，嘗試使用火眼仿真動(dòng)態(tài)分析。

直接在火眼仿真中加載鏡像創(chuàng)建虛擬機(jī)，火眼仿真可以自動(dòng)繞過(guò)密碼：

仿真成功后啟動(dòng)虛擬機(jī)看到桌面：

同時(shí)桌面很多文件的擴(kuò)展名變?yōu)?.id[A68F9F33-3327].[[email protected]].Devos

追蹤勒索病毒運(yùn)行時(shí)間

結(jié)合之前分析的遠(yuǎn)程連接過(guò)本機(jī)記錄，可以初步把嫌疑人的ip判定為 xxx.xx.242.44.因?yàn)檫@個(gè)ip的成功連接時(shí)間為 2022-11-11 23:35:50，斷開(kāi)連接時(shí)間為2022-11-12 01:06:23。其活動(dòng)時(shí)間可以覆蓋第一個(gè)加密文件出現(xiàn)的時(shí)間。

回溯嫌疑人操作行為

順著時(shí)間線繼續(xù)向下翻，當(dāng)進(jìn)入到嫌疑人ip登錄成功后的時(shí)間范圍時(shí)，程序運(yùn)行記錄就開(kāi)始變得頻繁，比如下圖中出現(xiàn)的dControl.exe

從行為看，外層的dControl.exe更像是一個(gè)自解壓exe，運(yùn)行后釋放真正的dControl.exe。因?yàn)槲艺娴脑跈z材中發(fā)現(xiàn)一個(gè)使用7z SFX制作的自解壓dControl.exe。

順著時(shí)間線繼續(xù)往下翻，可以看到 windows defender服務(wù)被干掉了

禁用完殺毒軟件下面可以開(kāi)始干正事了，于是又看到了一連串的的程序運(yùn)行記錄

嫌疑人首先運(yùn)行了lolx.exe得到了lolx文件夾，進(jìn)入lolx文件夾后依次運(yùn)行了nasp.exe和111.exe，其中111.exe生成了111文件夾，嫌疑人進(jìn)入111目錄后運(yùn)行了KPortScan3.exe。我在虛擬機(jī)里運(yùn)行了一下nasp.exe和KPortScan3.exe,截圖如下：

需要特殊說(shuō)明的是該記錄是最后一次運(yùn)行時(shí)間，不是第一次運(yùn)行時(shí)間。fast.exe在運(yùn)行過(guò)程中不斷fork自身作為子進(jìn)程，所以導(dǎo)致取證軟件無(wú)法判斷fast.exe的第一次運(yùn)行時(shí)間。