下周计算机病毒预报（2021年6月28日至2021年7月4日）

2021-06-25556

Trojan/MSIL.locky

警惕程度 ★★★

影响平台: Windows 2000/7/8/10/ 95 /98/Me/NT/Server 2003/Server 2008/Vista/XP

病毒执行体描述

近日，发现了一个勒索语言为中文的勒索软件。该勒索软件采用.net语言编写，模仿Locky勒索软件，对加密的文件追加“.locky”后缀名。其最早出现于2020年9月，试图采用非对称加密RSA、对称加密AES和XOR加密三种加密方式任意一种方式进行加密。

该中文勒索软件使用.net语言编写。其运行后，首先通过获取进程名称判断恶意代码是否执行，若已执行则弹出“应用执行中，请勿重复执行，首次执行需耗时20分钟初始化”窗口，并退出程序。

判断“%USERNAME%\Documents\Driver”目录下是否存在b.print文件且文件内容为“6688123”，若存在则表示用户文件已交纳赎金后解密，无需再加密，则退出程序，否则重复加密。所以该文件可作为该勒索软件的免疫文件。

使用IE浏览器打开hxxps://lihi1.cc/4kdW2（失陷主机、钓鱼网站），判断是否可以连接网络。

若连接网络成功则将自身复制到“%USERNAME%\Documents\WindowsShell”目录下，并将文件属性设置为隐藏。

打开CMD命令行，将其窗口隐藏，运行“%USERNAME%\Documents\WindowsShell”下的复制过来的样本并将自身程序退出。

将“%USERNAME%\Documents\WindowsShell”目录下的自身添加到注册表实现开机自启动。

对该勒索软件分析发现其试图采用非对称加密RSA、对称加密AES和XOR加密三种加密方式任意一种方式进行加密。通过对传入的参数不同进行相应的不同加密方式，如下所示：

在本次所分析的样本中采用的加密策略为XOR加密，所以通过该方式加密的文件可以进行解密。XOR加密密钥如下表所示：

XOR加密具体加密方式为采用指定长度的字符XOR指定文件前100byte字符。

获取用户主机上磁盘信息，如下图所示：

进入加密函数中LockTXTFiles加密函数进行加密。如下图所示：

试图模仿Locky勒索软件，对加密的文件追加“.locky”后缀名。具体格式为：<原文件名>+.locky。如下图所示：

在分析的过程中发现该勒索软件的非对称加密RSA和对称加密AES尚未完成，推测其为测试样本。如下所示非对称加密RSA函数内容为空。

针对指定后缀名的文件进行加密，指定的后缀名如下表所示：

在运行的过程中会衍生多个文件并将文件进行隐藏，具体衍生文件路径与文件名及其功能如下表所示：

判断“HttpAgilityPack.dll”是否在“%USERNAME%\Documents\WindowsShell”目录下存在，若不存在则创建HttpAgilityPack.dll。读取HttpAgilityPack.dll中是否存在“ot”,“main”字符串，不存在则写入“ot 0 main”字符串。由于HttpAgilityPack.dll在该勒索软件中并未被调用，其功能未知。

勒索软件包含的比特币钱包地址如下所示:

从五个比特币钱包地址中随机获取一个钱包地址与“\u0005”进行异或加密，将其保存在“%USERNAME%\Documents\Driver\a.print”文件中，待解密时读取该文件。

勒索软件加密完成后在桌面弹出一个勒索窗口，提示受害者文件已被加密，缴纳赎金。勒索窗口如下图所示：

当勒索窗口上的倒计时结束时，其会读取衍生文件“%USERNAME%\Documents\Driver\aaa.print”获取当前加密倍数将其提高两倍并弹出窗口提示受害者“由于您长时间未付款，价格提升为两倍，Sorry”。如下图所示：

在分析的过程中发现该勒索软件包含解密程序，在勒索窗口中存在一个按键“查询当前付款状态及解密”。当用户点击该按键时，该勒索软件针对“%USERNAME%\Documents\Driver\a.print”中内容进行解密获取比特币钱包地址，连接比特币官网查询当前该账户钱包余额是否大于等于0.045BTC，若大于则进行相应的解密操作。