Stop勒索病毒样本分析

本帖最后由 Potato 于 2019-10-31 12:32 编辑
相关阅读：Stop勒索病毒家族，我是链接请点我

一、样本信息

文件名：stop
MD5：ceb6f42385af9b50e8ec132aabac81a9
SHA1：e840910afdf0062495fee67486970b4bb9e59f18

复制代码

二、代码分析
1. 文件释放
Stop运行之后，首先解密释放一个PE文件到内存，并装载至当前进程空间执行。通过这种方法躲避杀软的静态扫描检查。

360社区

病毒在执行时还会检查当前所属进程的执行权限。如果当前进程非管理员权限，则以管理员权限方式重新启动自身。
重新以管理员权限运行自身时，系统会弹出用户账户控制（UAC）对话框，等待用户选择，一旦用户点击”是”，病毒将以管理员权限执行；如果用户点击”否”，即新起病毒进程未通过UAC，程序则以普通权限运行。
病毒在管理员权限下运行将拥有更高的文件访问和读写权限，并可以执行诸多高权限操作。

360社区

2. 区域豁免
访问网址https://api.2ip[.]ua/geo.json，获取用户所在地区/国家代码。

360社区

根据该网址返回的国家代码，判断豁免以下地区：

RU：俄罗斯
BY：白俄罗斯
UA：乌克兰
AZ：阿塞拜疆
AM：亚美尼亚
TJ：塔吉克斯坦
KZ：哈萨克斯坦
KG：吉尔吉斯斯坦
UZ：乌兹别克

另外在样本中还列出了叙利亚国家代码SY，但是并没有对该代码进行比较，也就是说实际并未豁免叙利亚。
如果机器所在地区属于豁免名单中，那么Stop将删除自身并退出执行。首先在%temp%目录下创建windows批处理文件delself.bat，然后执行该文件。文件内容如下，脚本最终会将Stop程序和bat文件自身全部删除。

@echo off
:try
del %STOP_PATH%
if exist %STOP_PATH% goto try
del C:\Users\%username%\AppData\Local\Temp\delself.bat

复制代码

360社区

3. 自启动
STOP会为当前进程创建一个UUID，利用UUID创建目录”%localappdata%\UUID”，并复制自身到该目录下，为复制后的新文件路径创建名为”SysHelper”的自启动项，添加启动时执行参数”--AutoStart”。

360社区

执行下面的指令，该指令将设置UUID命名的新文件夹访问权限为不可删除。

icacls C:\Users\%username%\AppData\Local\UUID /deny *S-1-1-0:(OI)(CI)(DE,DC)

复制代码

360社区

使用系统COM接口创建计划任务” Time Trigger Task”，每五分钟执行一次，执行病毒程序，参数为”--Task”。

360社区

4. RSA公钥和用户id
获取当前机器的MAC地址，计算MAC地址的MD5摘要值。接着访问URI：http://ring1[.]ug/sfdgsgdfhsgdhpenelop9/sgfdfgh/get.php，将MAC地址摘要值作为该GET请求的pid参数值；另一个参数first，其值由注册表键HKCU\Software\Microsoft\Windows\CurrentVersion\SysHelper的DWORD值确定，当SysHelper为1，first参数为true，否则为false。样本在初次访问时first=true。

例如：
http://ring1[.]ug/sfdgsgdfhsgdhpenelop9/sgfdfgh/get.php?pid=BEC3599AD7B40C4D9FC69C16C51F3B28&first=false

复制代码

下载URI资源，保存为文件%LocalAppData%\bowsakkdestx.txt。

360社区

观察返回的结果，可以看到其中包括两个元素：RSA Public Key（PEM格式）和id。可合理推测：借由系统MAC地址的MD5摘要值，远程服务器为用户生成RSA公钥（1024-bit）和id，并下发到本地。若连续尝试访问远程服务器4次均失败，则使用本地硬编码的RSA公钥和id进行后续加密流程。
用户RSA公钥将用于加密文件加密密钥，id则作为用户标识。

360社区