-
-
[原创]Conti勒索软件分析
-
发表于: 2022-3-20 18:06
-
前言
此样本收集自网络，旨在通过逆向分析研究勒索软件的行为特点，样本在附件中，感兴趣的可以自行下载分析，但由此造成的一切损失与本人无关，由下载者自行承担由此出现的一切后果。
Conti勒索组织(又名勒索病毒 IOCP)，Conti出现于2019年，是一个非常活跃的勒索团伙，本次分析的样本就出自该团伙之手。
一、 样本基本信息
导入表显然有鬼，怎么可能只有这么点东西
资源中发现勒索信息
二、IDA和OD结合分析
2.1 通过定位WinMain函数，发现样本先是调用sub_401000获取了大量关键函数，然后创建互斥体防止勒索病毒重复运行，接着获取资源中的勒索信息。
sub_401000函数内部
病毒对动态链接库以及WindowsAPI进行了加密，严重干扰分析
使用GetProcAddress和LoadLibrary获取指定函数地址（一些病毒的常规操作）,达到隐形调用API的目的，这也是在导入表中看到只有那么点信息的原因
我们来通过OD动态调试进行验证
解密动态链接库
解密API字符串
通过LoadLibrary和GetProcAddress获取关键函数
2.2 通过删除系统卷影副本以及关闭大量影响文件加密的服务和进程为接下来顺利加密文件做准备
删除全部卷影副本
禁用影响勒索病毒加密文件的服务
关闭影响勒索病毒加密文件的进程
[招生]科锐逆向工程师培训(2025年3月11日实地，远程教学同时开班, 第52期)！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
您关于这个勒索的补充分析没有了，还没来得及看完
|
|
|
|
