您目前的位置:主页 > www.800849.com >   正文

通过JS脚本进行攻击的GandCrab 504勒索病毒

来源:本站原创发表时间:2019-08-11

  GandCrab 5.0.4勒索病毒近期大面积爆发,该病毒变种通过多种方式传播,有通过弱口令植入exe运行的,有通过js脚本最终释放exe执行的,还有直接通过JS脚本执行后,内存执行PowerShell代码的,依然主要针对弱口令和不打补丁用户。

  2018年12月份以来,感染GandCrab 5.0.4版本的用户逐渐增多,5.0.5已经出现很久了,为什么5.0.4却迎来了爆发呢? 带着这个问题,我们详细分析了近期流行的样本,发现病毒变种通过多种方式传播,有通过弱口令植入exe运行的,有通过js脚本最终释放exe执行的,龙族幻想披萨如何制作 披萨制作方法分享还有直接通过JS脚本执行后,内存执行PowerShell代码的。八仙过海,各显神通。可见此病毒除了作者之外,还有一批攻击者在想尽办法使用勒索进行攻击。尤其是JS脚本内存加载PowerShell的方式进行攻击的版本,如果JS脚本没有拦截住,后面病毒在内存中执行之后,就更难被查杀了。接下来我们详细分析一个典型的样本,揭示此病毒的攻击流程。希望广大用户能够了解到,并不是病毒在发动攻击,而是别有用心的人在想着办法使用病毒进行攻击。使用弱口令、不打补丁等方式就是在给攻击者敞开大门。因此除了使用杀毒软件之外,还要及时安装系统补丁,不使用弱口令密码,做好网络隔离,不断提高网络防御等级,才能够彻底避免遭受此类病毒的攻击。

  捕获到的样本最开始是一个JS脚本,前期可能通过钓鱼网站,或者弱口令的方式植入到受害者机器中,并运行。

  经过排版后 我们可以看到病毒调用解密代码,会解密出JS 和PowerShell代码

  JS脚本解密出的代码如下,主要分为两部分,一部分是使用JS代码将Powershell代码解密出并写入到 \%APPDATA%\iqcbrktw.log 文件下

  释放出的脚本\%APPDATA%\iqcbrktw.log 也是经过加密混淆,可以看出经过41秒的延时之后才会执行后面的恶意功能

  Powershell脚本解密后的内容如下,可以看到又解密并加载了一个被压缩编码的二进制内容,疑似加载DLL 并调用DoStuff函数,我们继续解密出了一个DLL

  我们发现此DLL加了一层Delphi开发壳,我们提取出了最终的病毒DLL

  病毒硬编码了进程列表,检测到列表中的进程之后,结束此进程,防止加密时文件被占用,无法加密。这些进程大部分都是数据库的进程和office办公软件的进程


Copyright © 2002-2011 DEDECMS. 织梦科技 版权所有 Power by DedeCms

本港开奖直播| 2016年开奖结果| 老字号高手论坛高手榜l| 新版跑狗图彩图玄机图| 管家婆生活幽默解一肖| 惠泽天下万人娱乐区| 香港彩坛至尊数理开彩| 香港中马堂原创图库| 红姐图库红姐统一图库| 大红鹰高手坛|