窥探他人隐私？钓鱼邮件暗藏破坏型勒索软件

2024-04-23 15:44:59
我要分享


微信扫码分享

情况概述

近期，360安全大脑收到了一例来自用户的勒索攻击反馈。用户所反馈的这款勒索软件会将受害用户电脑中的文件后缀修改为.enc。而最为需要引起重视的是这款勒索软件的传播方式——黑客向受害者发送了一封声称是可免费查询公民隐私信息的钓鱼邮件，而这款勒索软件便是作为附件随该钓鱼邮件被一并传播的。

传播&勒索

在用于传播勒索软件的钓鱼邮件中，黑客暗示用户可以通过打开附件中的软件来查询他人的开房记录、微信记录以及居住地址等公民的个人隐私数据。该钓鱼邮件的标题及发件人如下，乍看像是汉语拼音，但实际拼读后发现却并不是：

图1. 钓鱼邮件的标题及发件人

而钓鱼邮件内容的前半部分是广告气氛浓郁的在大肆宣传自身的各种“强大能力”，意图诱导收件人上钩；而后半部分则与标题同样是这种似是而非的“类拼音”字符：

图2. 钓鱼邮件内容

收件人一旦最终中招，下载并执行了其附件中所谓的“查他”隐私查询软件（实际为勒索软件），结果并不是满足自己的窥探欲，而是遭遇无情的勒索攻击。勒索软件在完成加密后，会留下文件名为“0a___Hello_ReadMe___.TXT”的勒索信向受害者索要0.002个比特币作为赎金（按本文编写时的汇率计算约合人民币938元），其内容如下：

图3. 勒索信内容

此外，被加密篡改的文件内容头部也会被同意修改为如下内容，来引导受害者阅读上面这封勒索信：

图4. 被加密文件内容头部数据

样本分析

基本信息

邮件附件程序“Me.exe”图标为一个大大的“查”字，进一步暗示了其所宣称的能力。

图5. 钓鱼程序图标

而用户一旦因被误导而执行了邮件附件中的该程序后，其便会从自身的资源数据中释放出带有核心破坏功能的恶意程序主体到系统临时目录下，命名为ld.exe并加以执行。

图6. 钓鱼程序释放核心功能程序并执行

值得一提的是，分析人员发现该样本中存在多处代码执行了sleep操作，该手段多被用于躲避沙箱的检测：

图7. 利用Sleep代码试图躲避沙箱检测

功能一：“加密”文件

从程序代码的角度继续分析被释放出的勒索软件主体样本，我们发现该软件的加密功能与当前主流的勒索软件大相径庭。而最令我们惊讶的是该软件的所谓“加密功能”其实并不是在加密。而仅仅是在比照原始文件的数据大小，依次填入与原数据根本毫无关联的准随机数据。换句话说，该勒索软件并非实在“加密文件”，而是在用随机数据“覆盖文件”。