病毒分析小白尝鲜-GANDCRAB勒索家族分析

Wseventeen · 发表于 2023-6-9 16:21

本帖最后由 Wseventeen 于 2023-6-10 09:52 编辑

结合最近学习的一些东西，找了一个老家族写的分析笔记，写的比较简单，大佬勿喷
样本背景
GandCrab于2018年年初问世，主要利用RDP爆破、钓鱼邮件、捆绑软件、僵尸网络、CVE-2017-8570漏洞利用等方式进行攻击，此家族病毒采用Salsa20和RSA-2048算法对文件进行加密，并修改文件后为.GDCB、.GRAB、.KRAB或5-10位随机字母，将感染主机桌面背景替换为勒索信息图片。GandCrab5.1之前版本可尝试使用解密工具解密，最新GandCrab5.2无法解密。老勒索家族了，所以我在公开的威胁情报上找了一个最新被上传的样本做简要分析。

加壳情况
文件未加壳

互斥体
互斥体名称：Global\pc_group=WORKGROUP&ransom id=79e2d4c8a42336Gb

关进程
遍历并关闭所列举的进程，防止文件在加密过程中被占用

获取系统信息

通过注册表检查了当前用户组，所在地区，操作系统，系统版本号，CPU信息，以及磁盘类型和磁盘容量

恶意外联

通过GET和POST请求外联恶意域名

发起一个HTTP请求操作，首先通过HttpAddRequestHeadersW函数添加HTTP请求头参数，然后通过HttpSendReqst函数发送HTTP请求，并且获取HTTP响应。如果HttpSendRequestW函数返回真，则继续从网络资源获取响应数据，函数InternetReadFile通过指定HTTP连接句柄v15来获取http数据，读取到的数据存放在v16所指的缓存区，读取的字节数为a7 - 1，同时返回完整的服务器名称到lpszServerName中。其中，函数返回的结果被用于判断HTTP请求是否成功，如果成功，就继续从网络资源获取数据，如果失败，则通过函数GetLastError获取错误信息。

当前域名已无法访问

设置注册表信息

加密部分
使用CryptGenKey生成RSA的公私钥对，之后用CryptExportKey导出

使用FindFirstFileW和FindNextFileW接口遍历文件目录下的所有文件进行加密，并释放出勒索信

加密过程中注入到系统advapi32.dll

删除卷影

删除卷影拷贝，防止用户恢复原文件

pjdp387029 · 发表于 2023-6-20 09:22

公司远程电脑中了勒索病毒，我直接格式化了。。。不敢挂远程了

coller · 发表于 2023-6-12 17:09

大神牛逼！！！！！！

lws0318 · 发表于 2023-6-13 09:55

佩服楼主，能分析下TellYouThePass勒索病毒吗

Hmily · 发表于 2023-6-14 15:05

底部有2张图是不是贴丢了？

dyc66666 · 发表于 2023-6-14 20:55

优秀，非常牛

hai1993 · 发表于 2023-6-15 00:22

优秀，非常牛

chmod755 · 发表于 2023-6-15 09:34

GetDriveTypeW 这个是判断磁盘类型的，你看他下面有个大于等于2 不等于5的那个判断，意思是先判断磁盘类型，如果是正常挂载的非CD盘再去进入到加密流程

Wseventeen · 发表于 2023-6-15 10:15

chmod755 发表于 2023-6-15 09:34
GetDriveTypeW 这个是判断磁盘类型的，你看他下面有个大于等于2 不等于5的那个判断，意思是先判断磁盘类型 ...

感谢大佬指正

hxd97244 · 发表于 2023-6-20 23:46

重要文件移动硬盘备份，要是加密了就直接低格了重做系统，一般的这类勒索的问题都能解决把。

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 病毒分析小白尝鲜-GANDCRAB勒索家族分析

免费评分