CTB-Locker样本探秘
本帖最后由 繁华落幕 于 2017-3-27 14:23 编辑1.CTB-Locker主要通过邮件传播，然后会有一个类似是传真发错邮箱的假象，让人打开了他的附件就中毒。
2.打开之后会看到一个传真文件，打开他发现，真的是一个传真文件，不过看不懂，所以就扔在一边了，其实它还在后台默默的运行着。
3.他会悄然的识别电脑中的各种照片文档等加密，等下次开机的时候就会出现勒索画面。
4.在此之后，你所有文件[文档]就变成了7位随机结尾的加密文件[文档]，将后缀名更改成原后缀仍然无法正常打开。
5.剩下的解决办法就是：付钱/重装系统。
6.装系统的话会把病毒刷掉，但是这些文件会一直保持这样的后缀，直到CTB-Locer被破解之后。
7.上面那个界面点击NEXT之后的一个画面上，作者会给出一个BTC钱包的汇款地址，并且标出需要支付的比特币数量，该样本是勒索3个BTC。
8.目前CTB-locker还在不断升级，勒索的比特币也从3个成了8个。
9.支付的时候会有一定的手续费，所以多支付了0.0007比特币。
10.大约在一个半小时之后那个画面产生变化，开始解密运算。
11.在支付完到解密的过程中需要保持网络的畅通及电脑开机状态，最好关闭杀软。
12.解密的过程非常的长，不过起码作者遵守约定为文档解密。
13.比特币换算：1比特币 = 1500+人民币
温馨提醒：利用虚拟机测试CTB-Locker是行不通的！虚拟机无法触发CTB-Locker；首先，CTB-Locker远程注入恶意代码到svchost.exe中，接着，判断中毒用户是否有vboxtray.exe、vboxservice.exe、vmtoolsd.exe等虚拟机进程，目的也是为了阻碍分析，增加触发病毒代码的条件。
样本下载：【解压密码：fanhualuomu】 小可爱～ 发表于 2015-2-6 20:20
又是这样的病毒！！！
我不说话...默默地看着敲竹杠犯下的种种罪行{:301_998:} 轩少 发表于 2015-2-5 21:15
- -。反调试么。。
360、管家、金山都把它添加到病毒库了，一般的用户应该不会中招了吧。。
一般的用户的确不会{:301_999:}...但不确保那些病毒爱好者和程序破解者不会...他们中招的概率可挺大的...要是OD破解，中招概率更大，一不小心就执行了恶意代码...{:301_1002:} 我下了 发表于 2015-2-6 10:57
哎。。密锁二代
准确的说...是敲竹杠二代{:301_1000:} 蚯蚓翔龙 发表于 2015-2-6 09:23
我上次测试这个玩了好久都不出现，还一直在temp下载东西
虚拟机是不会出现的啦...若是实机，你要是设置了不显示文件后缀的话，也不会被激活触发{:301_998:} lixingcong 发表于 2015-2-6 15:59
弄不明白为什么打开传真就中毒了？！！
这是一份scr(屏幕保护程序)文件，和exe一样，也是可执行程序，所以也会中毒的啦{:301_1003:} 莫言丶 发表于 2015-2-7 23:32
在虚拟机装一个影子系统 试试看 格盘会格掉影子么
虚拟机不能成功激活CTB-Locker{:301_996:} hbxthz 发表于 2015-2-7 23:10
只不过是从敲竹杠变成了敲大竹杠
嘻嘻，差不多了啦~{:301_997:} 轩少 发表于 2015-2-5 20:57
CTB-LOCKER在论坛里有个用户也中了，我记得我也发过相关的防范帖子（http://www.52pojie.cn/thread-321683- ...
估计不简单，我试着结束了所有VM进程，照样无法被激活{:301_999:}看CTB-Locker以后的造化咯 Ww`巅峰 发表于 2015-2-5 20:50
没准有些黄牛已经在研究 以前那些小学森锁开机密码10块一次（以前中过） 要是敲诈比特币 1枚1 ...
敲竹杠都过时了，都变成了CTB-Locker敲诈者了{:301_999:} CTB-LOCKER在论坛里有个用户也中了，我记得我也发过相关的防范帖子（http://www.52pojie.cn/thread-321683-1-1.html），但没有引起重视啊。。
对于禁用虚拟机这个问题，有点像SE的反调试，应该能XX掉吧？ 最近CTB-Locker在中国有爆发趋势啊，各种敲诈软件层出不穷，比特币是为了防止跟踪吧。@willJ Hmily 发表于 2015-2-5 20:02
最近CTB-Locker在中国有爆发趋势啊，各种敲诈软件层出不穷，比特币是为了防止跟踪吧。@willJ
CTB-Locker变种多得数不尽；还有就是敲诈比特币的目的有两点【1.洗钱方便·2.具有很高的价值】{:301_1001:} 虽然看不懂但了解总没有错！！ 好屌的样子 快点出专杀吧 nishiheisetongh 发表于 2015-2-5 20:36
好屌的样子 快点出专杀吧
专杀差不多已经出来了，主要就是没有正式版的{:301_1001:}关于这个问题，我会持续更新 繁华落幕 发表于 2015-2-5 20:38
专杀差不多已经出来了，主要就是没有正式版的关于这个问题，我会持续更新
哦哦 更新@我 nishiheisetongh 发表于 2015-2-5 20:39
哦哦 更新@我
嗯{:301_992:}等正式版出来我艾特你ヾ(｡｀Д′｡) 繁华落幕 发表于 2015-2-5 20:40
嗯等正式版出来我艾特你ヾ(｡｀Д′｡)
嗯嗯好的 {:301_997:}那要是国内黄牛也做个这样的就赚翻了