开奖结果,37118手机开奖直播现场,123jk手机开奖直播,管家婆,www.077678e.com

返回首页
当前位置: 主页 > 123jk手机开奖直播 >

通过JS脚本进行攻击的GandCrab 504勒索病毒

时间:2019-11-30 00:40
  

  GandCrab 5.0.4勒索病毒近期大面积爆发,该病毒变种通过多种方式传播,有通过弱口令植入exe运行的,有通过js脚本最终释放exe执行的,还有直接通过JS脚本执行后,内存执行PowerShell代码的,依然主要针对弱口令和不打补丁用户。

  2018年12月份以来,感染GandCrab 5.0.4版本的用户逐渐增多,5.0.5已经出现很久了,为什么5.0.4却迎来了爆发呢? 带着这个问题,我们详细分析了近期流行的样本,发现病毒变种通过多种方式传播,有通过弱口令植入exe运行的,最省钱又有效的减肥药,有通过js脚本最终释放exe执行的,还有直接通过JS脚本执行后,内存执行PowerShell代码的。八仙过海,各显神通。可见此病毒除了作者之外,还有一批攻击者在想尽办法使用勒索进行攻击。尤其是JS脚本内存加载PowerShell的方式进行攻击的版本,这些水域很危险!山东防溺水安全地图出炉 早安山东 20180711 高!如果JS脚本没有拦截住,后面病毒在内存中执行之后,就更难被查杀了。接下来我们详细分析一个典型的样本,揭示此病毒的攻击流程。希望广大用户能够了解到,并不是病毒在发动攻击,而是别有用心的人在想着办法使用病毒进行攻击。使用弱口令、不打补丁等方式就是在给攻击者敞开大门。因此除了使用杀毒软件之外,还要及时安装系统补丁,不使用弱口令密码,做好网络隔离,不断提高网络防御等级,才能够彻底避免遭受此类病毒的攻击。

  捕获到的样本最开始是一个JS脚本,前期可能通过钓鱼网站,或者弱口令的方式植入到受害者机器中,并运行。

  经过排版后 我们可以看到病毒调用解密代码,会解密出JS 和PowerShell代码

  JS脚本解密出的代码如下,主要分为两部分,一部分是使用JS代码将Powershell代码解密出并写入到 \%APPDATA%\iqcbrktw.log 文件下

  释放出的脚本\%APPDATA%\iqcbrktw.log 也是经过加密混淆,可以看出经过41秒的延时之后才会执行后面的恶意功能

  Powershell脚本解密后的内容如下,可以看到又解密并加载了一个被压缩编码的二进制内容,疑似加载DLL 并调用DoStuff函数,我们继续解密出了一个DLL

  我们发现此DLL加了一层Delphi开发壳,我们提取出了最终的病毒DLL

  病毒硬编码了进程列表,检测到列表中的进程之后,结束此进程,防止加密时文件被占用,无法加密。这些进程大部分都是数据库的进程和office办公软件的进程

------分隔线----------------------------
最新文章
香港挂牌| 静心阁559955资料公开区| 金多宝六合| 六和图库幽默猜测| 大风暴心水坛| 六合同彩168图库| 马会传真内部绝密信封| 六合权威心水论坛| 绿波今期有特玛是什么生肖| 小喜最新通天报|