好友
阅读权限40
听众
最后登录1970-1-1
|
使用论坛附件上传样本压缩包时必须使用压缩密码保护，压缩密码:52pojie，否则会导致论坛被杀毒软件等误报，论坛有权随时删除相关附件和帖子！
病毒分析分区附件样本、网址谨慎下载点击，可能对计算机产生破坏，仅供安全人员在法律允许范围内研究，禁止非法用途！
禁止求非法渗透测试、非法网络攻击、获取隐私等违法内容，即使对方是非法内容，也应向警方求助！
本帖最后由 火绒安全实验室 于 2023-3-13 10:45 编辑
近日，据火绒威胁情报系统显示：Trigona勒索病毒正在活跃。近一个月内，火绒已帮助数千台终端成功拦截该病毒。该病毒在2022年12月份首次出现，今年2月末爆发，其传播数量趋势如下图所示。
传播趋势
黑客通过SQLServer弱口令暴破等手段，入侵受害者终端进行投放Trigona勒索病毒，该病毒会在终端添加自启动来进行持久化操作。
火绒工程师表示，该病毒会先使用AES-256（对称加密算法）对文件进行加密，随后再使用RSA-4096（非对称加密算法）对解密密钥进行加密，并保存在文件尾部，目前暂不支持解密。被加密后的文件后缀名为：_locked，勒索信如下所示：
被勒索后，黑客仅提供了与其直接进行沟通的暗网页面。
暗网页面
火绒用户无需担心，"火绒安全软件"可拦截、查杀该病毒。
查杀图
火绒提醒广大网友，重要的文件请及时备份，并安装安全软件定期扫描，定期更新高危漏洞补丁以防御勒索病毒带来的危害。此外，通过分析勒索病毒关键节点的各种攻击方式，火绒安全产品在各个维度上都做了有针对性的防护措施，如【密码保护】、【程序执行控制】、【远程登录防护】等功能。
一、样本分析
病毒的执行流程，如下图所示：
病毒执行流程
初始化模块svcservice.exe启动之后，会释放勒索模块和bat脚本，先执行bat脚本来对系统做一些设置如：删除卷影副本、关闭UAC、关闭隐私设置、禁用系统还原，并运行勒索模块来对受害者系统进行加密，该模块跟系统文件同名svchost.exe， 相关bat脚本内容，如下图所示：
bat脚本内容
勒索模块svchost.exe启动后，会遍历系统磁盘，相关代码，如下图所示：
遍历磁盘
使用AES-256算法对文件进行加密，相关代码，如下图所示：
AES-256加密
将文件加密后，会将解密所需的信息用RSA-4096算法进行加密，并保存在被加密后的文件尾部，用于解密文件，相关代码，如下图所示：
RSA加密
RSA的公钥（E,N）其中E为65537，N的值，如下图所示：
加密完之后，会在对应目录下创建勒索信（how_to_decrypt.hta），相关代码，如下图所示：
创建勒索信
该勒索病毒还会添加自启动来进行持久化操作，相关代码，如下图所示：
|
免费评分
-
查看全部评分
|
发帖前要善用【论坛搜索】功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。 |
|
|
|
|
|
|
[复制链接]
发表于 2023-3-13 10:40
我司两月某台主要业务云服务器中了这个，火绒没防住，最后释放文件的时候阿里云盾防住了