作者JeremyJoung (J.J.)
看板AntiVirus
标题[心得] 勒索病毒的行为特徵 以及自保方法
时间Mon May 15 02:20:57 2017
https://www.facebook.com/permalink.php?story_fbid=10209224702953961&id=1212795524
https://goo.gl/tkjJGX
根据大陆人的反解译後归纳出一些特性
http://www.freebuf.com/articles/system/134578.html
根据文件的描述
勒索病毒会终止5种常见SQL service执行绪
mysqld.exe
sqlwriter.exe
sqlserver.exe
MSExchange
以及避开 几个常见的系统路径
\ProgramData
\Intel
\WINDOWS
\Program Files
\Program Files (x86)
\AppData\Local\Temp
\Local Settings\Temp
这几个动作相当合逻辑
因为要避免让系统直接垮掉 以致无法付赎金
因此 产生了关键防护特徵
1. 在重要目录上 附加上述路径 伪装成系统目录
2. 创建同名虚假执行绪 并加以监听 只要发现执行绪失效 马上警示 并进行关机
这个概念类似1.bmp
在防护效果上
1 有可能可以透过病毒升级修改规则而防护失效
但是攻击者就必须想出其他方法避开攻击系统目录
而2 就比较难取舍 服务名称无法变动 除非攻击者愿意放弃攻击SQL
1是普通人都可以做到的基本保护
2需要一点程式技巧 虽说不难 但也要花时间写程式
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 118.163.72.102
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1494786060.A.213.html
※ JeremyJoung:转录至看板 Gossiping 05/15 02:28
1F：推 siro0207: 第一个是把重要资料直接丢入那几个系统资料夹里面吗? 05/15 02:57
2F：→ siro0207: 还是说我创个D:\windows 病毒就不会攻击这资料夹? 05/15 02:59
3F：→ siro0207: 如果是这样的话就表示病毒不看硬碟代号? 05/15 03:00
4F：→ JeremyJoung: 是的 就"目前"来看 只看目录 不看磁碟 05/15 03:06
5F：→ JeremyJoung: 对了 大小写是敏感的 要一字不差 05/15 03:06
7F：→ JeremyJoung: 上图只是针对"这次"病毒的做法 这是对所有勒索都有效 05/15 03:18
8F：推 kelsy123123: 135埠也要！? 05/15 03:19
9F：推 michael00316: 我C碟底下的windows是小写捏 这样被攻击就爆炸? 05/15 05:36
10F：推 stja: push 05/15 06:25
11F：推 fortunia: 推。顺便请问个问题，如果我把D槽设成"我的文件"，同时 05/15 07:56
12F：→ fortunia: 挂载在"Program Files"底下的空资料夹，就病毒执行的逻 05/15 07:56
13F：→ fortunia: 辑上会怎麽判定呢？ 05/15 07:56
如果是D:\Program Files\Document
在这次的病毒中 理论上就不会受到攻击
14F：推 wsx26997785: 不会的人还是别乱改 等等系统出错无法开机 05/15 09:36
※ 编辑: JeremyJoung (118.163.72.102), 05/15/2017 12:23:33
15F：推 fujisawa: 推 05/15 12:38
16F：推 kenphin0729: 病毒应该是用环境变数，创个假的D:\windows应该没用 05/15 19:16