邮件发送JS脚本传播敲诈者木马的分析报告

2016 年 4 月 15 日3030

　　概述

　　安天威胁态势感知系统2015年12月2日捕获到有新的传播特点的敲诈者变种邮件，其不再采用直接发送二进制文件载荷的传播模式，而是以一个存放在压缩包中的JS脚本为先导。

　　安天追影分析小组对相关事件和样本进行了分析。该样本系TeslaCrypt的另一个变种TeslaCrypt 2.x，邮件附近是一个zip压缩文件，解压zip文件得到一个js文件，运行js文件，会下载TeslaCrypt2.x运行，遍历计算机文件，对包括文档、图片、影音等186种后缀格式文件进行加密，加密完成后打开敲诈者的主页，在指定期限内需要支付500美元才能得到解密密钥，过期需要支付1000美元。因为TeslaCrypt2.x变种改变了密钥的计算方式，采用了ECDH算法，黑客与受害者双方可以在不共享任何秘密的情况下协商出一个密钥，采用此前思科等厂商发布的TeslaCrypt解密工具已经无法进行解密。

　　社工邮件传播

　　TeslaCrypt2.x版本通过发送大量邮件进行传播，邮件截图如下：

　　邮件直接称呼Hello，没有给出具体的姓名，邮件正文：“请查收附件，电子邮件的文档会邮寄给您，本电子版本是发送给您方便查看“。为了表明邮件的重要性敲诈者在邮件中强调邮件正通过传统方式邮寄，这样收件人认为可能是重要的邮件而查看相关附件。

　　邮件的附件为invoice_06796407.zip ，经过解压获得INVOICE_main_BD3847636213.js文件，是一个下载者功能，用来下载TeslaCrypt 2.x并执行。

　　事件样本分析

　　js脚本文件

　　INVOICE_main_BD3847636213.js文件采用了变形加密躲避杀软检测，通过Eval函数进行自解密可以获得明文代码，当用户双击这个js文件，其会从三个网络地址顺序下载可执行文件到Temp目录下并执行。如果第一个地址下载成功并运行，则后续两个地址就不会进行下载。网络地址以空格分割：

　　74.117.183.84/76.exe

　　5.39.222.193/76.exe

　　bestsurfinglessons.com/wp-includes/theme-compat/76.exe

　　相关代码在解密前后的内容对照如下：

　　对应敲诈者样本分析

　　该变种和此前的Tesla报告中恶意行为大致相同，可以参考另一安全团队isightpartners之前发布的报告。样本运行后对文档进行AES256加密，保存恢复文件所需信息到注册表和文本文件。并发送相关信息给黑客控制的Tor服务器。

　　样本使用花指令以及反调试技术,会以挂起方式启动自身，读取自身数据解密后重写入新的挂起进程，并判断自身路径是不是指定的一个Application Data文件路径，若不是则移到该目录并修改文件名为随机5位字母-a.exe，(例如mghsd-a.exe)。创建一个固定的互斥量值“78456214324124” 动态分析环境下追影设备也发现了其采用bcedit禁用安全模式、恢复模式，在注册表创建自启动项：HCUR\Software\Microsoft\Windows\currentVesion\run。

　　接下来创建多个工作线程，其中一些关键线程行为分析如下：

　　1) 删除系统里的卷影副本，vssadmin.exe delete shadows /all /Quiet

　　2) 启动线程遍历进程路径，如果路径中包含Taskmgr、procexp、regedit、msconfig、cmd.exe任意一个字符串则结束相关进程，这样CMD、任务管理器，进程查看工具无法打开，就无法查看和结束恶意样本进程。

　　3) 另一个线程主要进行联网上报信息给黑客控制的服务器，连接的网址主要有如下几个：

　　其中访问 myexternalip.com/raw获取受害主机的外网IP信息。

　　访问下面的网络地址提交信息:

　　表 3‑1 访问网络域名列表

　　基本上都是Get请求连接PHP文件，请求中的参数组成格式以及某次请求数据如下：

　　Sub=%s&key=%s&dh=%s&addr=%s&size=%lld&version=%s&OS=%ld&ID=%d&gate=%s&ip=%s&inst_id=%X%X%X%X%X%X%X%X，实际发送的数据如下图所示：

　　1) 再一个线程就是恶意的核心功能了加密特定后缀文件：

　　首先获取本地系统上存在的所有磁盘信息，如果是本地磁盘和网络磁盘的话，遍历磁盘所有文件，当文件名含有recove、.vvv就直接放行，如果没符合的，就检测文件的扩展名，如果扩展名匹配了下列中任意一个就会开始恶意加密文件：

　　.r3d .css .fsh .lvl .p12 .rim .vcf .3fr .csv .gdb .m2 .p7b .rofl .vdf .7z .d3dbsp .gho .m3u .p7c .rtf .vfs0.accdb .das .hkdb .m4a .pak .rw2 .vpk .ai .dazip .hkx .map .pdd .rwl .vpp_pc .apk .db0 .hplg .mcmeta .pdf .sav .vtf .arch00 .dba .hvpl .mdb .pef .sb .w3x .arw .dbf .ibank .mdbackup .pem .sid .wb2 .asset .dcr .icxs .mddata .pfx .sidd .wma .avi .der .indd .mdf .pkpass .sidn .wmo .bar .desc .itdb .mef .png .sie .wmv .bay .dmp .itl .menu .ppt .sis .wotreplay .bc6 .dng .itm .mlx .pptm .slm .wpd .bc7 .doc .iwd .mov .pptx .snx .wps .big .docm .iwi .mp4 .psd .sql .x3f .bik .docx .jpe .mpqge .psk .sr2 .xf .bkf .dwg .jpeg .mrwref .pst .srf .xlk .bkp .dxg .jpg .ncf .ptx .srw .xls .blob .epk .js .nrw .py.sum .xlsb .bsa .eps .kdb .ntl .qdf .svg .xlsm .cas .erf .kdc .odb .qic .syncdb .xlsx .cdr .esm .kf .odc .raf .t12 .xxx.cer .ff .layout .odm .rar .t13 .zip.cfr .flv .lbf .odp .raw .tax .ztmp.cr2 .forge .litemod .ods .rb .tor .crt .fos .lrf .odt .re4 .txt .crw .fpk .ltx .orf .rgss3a .upk

　　相关的加密过程以及加密文件格式可以参考卡巴的分析文章，主要是采用了ECDH算法进行加密密钥的生成[3]。之前的思科Tesla解密工具[2]可以解密Tesla早期变种，其早起变种会保存密钥到文件“key.bat”。而Tesla2.x变种的密钥生成和保存发生变化，会保存在注册表。

　　HKCU\HKEY_CURRENT_USER\Software\HKEY_CURRENT_USER\Software\7CE14F27E7D3E895，其中7CE14F27E7D3E895是个人标识码，每个用户不同，黑客服务器上根据这个标识来识别用户。注册表中保存的信息和下面生成的recover_file_*.txt相同。