《地母经》里说:“鼠耗出头年,高低多偏颇。”庚子年,似乎都伴随着重大灾难或历史转折,新冠肺炎的出现,使人们在这一年的开头感到了一丝沉重,一些人总会挺身而出,悬壶济世,成为最美逆行者;一些人总会趁着乱世,利用人性的弱点,扰乱社会秩序,从而达到不法的目的。
自2020年初以来,恒安嘉新暗影安全实验室持续针对“新冠肺炎”相关的病毒样本进行监测,近期,我们发现了一款名为“Covid19”的病毒软件,其代码结构与“SauronLocker”家族病毒及其相似,我们怀疑是该病毒家族的新变种,用户设备中毒后,导致用户手机的通讯录和外存储文件被加密,要求用户支付比特币解密,另外,该版本采用AES的加密算法,而加解密的密钥是从远程服务器动态获取,增加了破解勒索软件加密算法的难度。
一、基本信息
样本名称:Covid19
样本MD5:362DAC3F2838D2BF60C5C54CC6D34C80
样本包名:com.ins.fortnite
签名信息:CN=KhumarAjit, OU=App Dev, O=App Dev, L=Bangladesh, ST=Balgadesh, C=ID
图1“Covid19”安装图标
二、运行原理
该程序是一款名为“Covid19”的勒索软件,程序运行后将自身界面置顶,妨碍用户正常退出。首先,获取设备的基本信息(UID)作为参数上传到远程服务器,用于识别设备并下发加密密钥,然后,加密用户手机的外部存储文件,加密文件后缀为“.encrypted”,同时将用户通讯录文件利用AES算法加密后,再通过BASE64编码进行存储,并删除原通讯录信息,最后,弹出勒索界面信息,要求用户需要支付0.028比特币。
用户点击“CHECKPAYMENT ANDUNBLOCK”按钮时,程序访问服务器判断是否付款和获取解密密钥,当返回信息为“true”,密钥正确时会自动进行解密并提示用户重启手机解除锁定。
病毒运行流程示意图:
图2 病毒运行流程示意图
三、代码分析
该软件的代码框架相对简洁,主要由开机启动广播、恶意服务、勒索界面、加密解密四部分组成,其中加密解密密钥是从远程服务器远程获取,相对比较复杂。
图3 代码框架
3.1实施勒索
程序运行后将自身界面置顶,注册开机广播,实现开机自启,妨碍用户正常退出,获取设备的基本信息(如:UID)作为参数上传到远程服务器,用于设备识别并下发加密密钥,之后程序会对用户外部存储的文件以及通讯录文件利用AES算法进行加密。
自身界面置顶:
图4 窗口置顶
开机自启:
图5 开机自启
生成设备唯一识别码:
图6 生成设备UID
加密通讯录和外部存储文件:
url:http://ex***pooo.xyz/wp-content/gateway/attach.php
图7 加密通讯录和文件
获取勒索信息进行展示:
url:http://ex***pooo.xyz/wp-content/gateway/settings.php
图8 获取勒索信息
图9 展示勒索信息
3.2加解密算法
通过代码分析可知,加解密的密钥通过服务器下发,经过AES算法对通讯录和文件进行加密操作,由于AES算法属于对称加密算法,所以加解密的密钥相同,只要知道加密时的密钥就能进行解密,而加密的密钥可以在首次启动该软件时进行抓包获取到。
获取加密密钥:
图10 获取加密密钥
将密钥转换成比特数组:
图11 密钥转换
将转换后的比特数组作为KEY值,利用AES/CBC/PKCS5Padding算法类型进行加密:
图12 AES算法
加密通讯录:
将通讯录利用AES算法加密后,再通过BASE64编码进行存储,并删除原信息:
图13 加密通讯录
图14 通讯录加密前后对比
加密文件
将文件经过AES加密后,并在文件名后面添加“.encrypted”字符串,最后删除原文件
图15 文件加密前后对比
3.3解除勒索
当点击“CHECKPAYMENT ANDUNBLOCK”按钮时,程序访问服务器判断是否付款和获取解密密钥,当返回信息为“true”,密钥正确时会自动进行解密并提示用户重启手机解除锁定。
与后台确认是否付款和解除锁定:
url:http://ex***pooo.xyz/wp-content/gateway/check.php
图16 与后台确认是否付款和解除锁定
图17 解析返回的信息
图18 解除锁定的界面
溯源分析
(1)域名溯源
通过域名信息进行溯源,发现该域名注册日期为2020年3月,存有后台管理地址,服务器开启了列目录功能,可以看到部分文件,通过文件的编辑日期可以看出该作者早在2018年就开始进行该软件的制作,最后修改日期为2020年4月22日,可以看出是针对目前的热点新闻进行了针对性修改,更容易欺骗用户。
Whois信息:
图19 域名备案信息
后台地址:
url:http://ex***pooo.xyz/wp-content/admin/login.php
图20 后台地址
服务器目录结构:
图21 服务器文件目录
用于勒索的主要文件
图22 用于勒索的文件
域名对应IP地址为104.18.47.130 美国。
(2)数字钱包溯源
要求支付比特币的钱包地址:3DEdThknF1sRr57djd47ii2uKa1SWDG8c5
图23 比特币交易信息
(3)同源性分析
2019年8月,首次出现“SauronLocker”家族勒索软件,根据同源性分析,我们本次发现的样本在界面、包名、代码结构、逻辑功能等方面,都与“SauronLocker”家族病毒极度相似,我们归属于同一家族病毒。
界面对比:
图24 界面对比
代码结构对比:
图25 文件对比
签名对比,发现本次软件的作者使用了带有孟加拉国命名的签名信息:
图26 样本签名信息
五、总结
此类勒索软件具有代码结构相似,二次开发容易的特点,利用对文件和通讯录加密的方式进行勒索,由于密钥采用远程下发的方式,破解难度大,最终迫使用户交纳赎金,危害极大,该软件源代码已经泄露,使得二次开发和代码复用变得极其容易,对用户的威胁将会更大。
在此,暗影实验室提醒大家,不轻易相信陌生人,不轻易点击陌生人发送的链接,不轻易下载不安全应用。
安全从自身做起,建议用户在下载软件时,到正规的应用商店进行下载正版软件,避免从论坛等下载软件,可以有效的减少该类病毒的侵害;
很多用户受骗正是因为钓鱼短信的发件人显示为10086、95588等正常号码而放松安全警惕导致中招,运营商需要加强对***的监控打击力度,减少遭受***干扰的几率;
各大银行、各支付平台需要加强对各自支付转账渠道的监管,完善对用户资金转移等敏感操作的风控机制,防止被不法分子利用窃取用户网银财产;
警惕各种借贷软件的套路,不要轻易使用借贷类App。
*本文作者:暗影安全实验室,转载请注明来自FreeBuf.COM
来源:freebuf.com 2020-05-31 09:00:23 by: 暗影安全实验室
请登录后发表评论
注册