首页 > 代码库 > 偷资料木马变身勒索软件

偷资料木马变身勒索软件


今年年初。趋势科技注意到旧恶意软件家族 (TSPY_USTEAL)再度出现。这数据窃取恶意软件如今增加了新功能。包含了恶意加壳(Packer)、加花(Obfuscation)以及增加勒索软件—Ransomware。

TSPY_USTEAL变种早在2009年就開始出现。以会窃取敏感数据着称。像是计算机具体信息和储存在浏览器内的password。

它能够作为植入程序,将它资源区段内的插件或二进制文件植入受害系统。偷来的信息会储存在一加密的.bin档案,通过FTP上传到C&Cserver。

这是曾经变种的部分行为,新版本号中也继续保有。

趋势科技最新所侦測到的变种是TSPY_USTEAL.USRJ,它会植入勒索软件 Ransomware(侦測为TROJ_RANSOM.SMAR)到受害系统上。这些勒索软件是由一新工具包产生器所生成。让攻击者能够全然控制勒索软件 Ransomware的行为,包含它所加密的文件类型到显示的勒索说明。

    趋势科技将这工具包侦測为TROJ_TOOLKIT.WRN。以下是译自俄文的英文功能说明。包含加密的文件类型、勒索说明、附加到加密档案的扩展名以及所植入编码程序的名称。

技术分享

(图一、勒索工具包的英文说明)

    勒索软件 – TROJ_RANSOM.SMAR会将自身副本植入到用户计算机中。

然后用同样图示和扩展名来加密特定档案。

比如。它能够将扩展名.EnCiPhErEd加到选定的文件格式,像是.LNK,.ZIP等。就像是记号一般。它接着会植入一内含勒索细节的文档。

 技术分享

(图二、勒索说明)

 

    当加密档案被存取,它会显示勒索说明加上取回password的联络方式。

取回方式可能是通过短信或电子邮件。

它接着会出现:要求输入password的讯息。假设输入正确password,就会解密并将加密档案回复到原本格式,然后勒索软件 Ransomware体就会删除自己。

但假设输入不对的password,并且尝试次数达到原先预定的极限值。它会显示下面错误讯息。接着会寻找档案来加密(除了已经加密的档案),再删除自己。

技术分享

(图三、错误讯息)

 

这样的威胁组合实在令人忧心,由于在恶意软件窃取身份凭证和数据的同一时候,勒索软件 Ransomware也会通过加密档案来从受害者身上索取很多其它金钱。

 

 

偷资料木马变身勒索软件