WastedLocker勒索软件分析 – 作者:Kriston-安全小百科

WastedLocker勒索软件分析 – 作者:Kriston

近期攻击中使用加密勒索软件已成为一种常态。7月23日，导航设备和智能设备的主要制造商Garmin经历了大规模的服务中断，停机原因是有关数据加密的网络攻击事件。攻击者使用木马工具：WastedLocker，该恶意软件的活动有所增加，本文主要对WastedLocker的样本进行技术分析。

命令参数

WastedLocker具有命令行界面，该界面允许处理的参数如下：

-p <directory-path>

优先处理：木马将首先加密指定的目录，然后将其添加到内部排除列表中（避免对其进行两次处理），并对驱动器上的所有其余目录进行加密。

-f <directory-path>

仅加密指定的目录。

-u username:password \\hostname

使用提供的凭据对指定的网络资源上的文件进行身份验证。

-r

启动动作序列：

删除;
使用注册表项SYSTEM\CurrentControlSet\Control\的子项列表中的随机子字符串将文件复制到%WINDIR%\system32\<rand>.exe；
创建一个名称与上述方法类似的服务。如果已经存在该名称的服务，附加前缀“ Ms”。新服务命令设置为“%WINDIR%\system32\<rand>.exe -s”；
启动此服务并等待其完成工作；
删除服务。

-s:

启动创建的服务，对可以找到的所有文件进行加密。

UAC绕过

WastedLocker启动时，将检查运行该木马的完整性。如果运行权限不够，恶意软件将尝试使用已知的绕过技术以静默方式提升其特权。

1、在％appdata％中创建一个新目录；目录名称是从注册表项SYSTEM\CurrentControlSet\Control\的子项列表中找到的随机字符串；
2、将随机EXE或DLL文件从系统目录复制到此新目录；
3、将木马程序的主体写入该系统文件的备用NTFS流“:bin”中；
4、使用带有标志IO_REPARSE_TAG_MOUNT_POINT的API函数NtFsControlFile创建一个新的临时目录并将其安装点设置为“C:\Windows ”；
5、在临时目录中创建一个名为“ system32”的新子目录；
6、将合法的winsat.exe和winmm.dll复制到该子目录中；
7、补丁winmm.dll：用恶意代码替换入口点代码；
8、启动winsat.exe，由于DLL劫持，触发修补后的winmm.dll加载。