Petya昨日重现：Bad Rabbit勒索病毒突袭东欧 Secer's Blog - 记录互联网安全历程与个人成长经历

Petya昨日重现：Bad Rabbit勒索病毒突袭东欧

近日，360互联网安全中心检测到一款名为“Bad Rabbit”的新型敲诈者木马在东欧为主的各个国家和地区开始传播。

图片1.png

图1

该木马的主要来自于网页诱导——在网页上弹出一个提示框提示需要安装Flash控件：

图片2.png

图2

用户一旦上当，便会下载回来一个图标和文件名全面装成Flash的安装包，但该程序实际上却是一个敲诈者木马：

图片3.png

图3

木马执行后，会先释放infpub.dat文件，该文件是一个动态链接库程序。生成后会调用系统的rundll32调用该库的1号函数执行：

图片4.png

图4

Infpub.dat的核心功能依旧是传统敲诈者木马的文件加密功能，被加密的文件扩展名如下：

图片5.png

图5

整理后见下表：

加密手法并无太大新意，使用了常见的RSA2048算法，本文不再赘述：

图片6.png

图6

而除了传统的加密文件之外。该木马还会创建一个名为dispci.exe的程序：

图片7.png

图7

释放完dispci.exe后，会通过写入计划任务的方式定时重启机器以及在重启后让系统去执行该dispci.exe程序：

图片8.png

图8

图片9.png

图9

而这个dispci.exe在重启之后会创建一个名为cscc.dat的驱动程序并与之通信，驱动的功能则和之前曾大规模爆发的Petya相似——通过修改系统引导和MBR的方式劫持开机启动：

图片10.png

图10

图片11.png

图11

一旦驱动修修改系统引导和MBR，会再次重启系统。而这次系统重启后，被加密的就不仅仅是你的文件了：

图片12.png

图12

除此之外，该木马还有一个另类之处——该木马还具有局域网蠕虫攻击的功能。infpub.dat的代码中我们发现其会使用Mimikatz尝试获取局域网内其他机器的登录凭证：

图片13.png

图13

若无法获取到登录凭证，会再通过内置的字典尝试账户和密码的爆破：

用户名字典：

弱口令字典：