[原创]警惕RSA SecurID标题的诱饵文档传播Maze(迷宫)勒索病毒

2天前 496

[原创]警惕RSA SecurID标题的诱饵文档传播Maze(迷宫)勒索病毒

Maze勒索病毒，又称Chacha勒索病毒，是今年5月份由Malwarebytes安全研究员首次发现，此勒索病毒主要使用各种漏洞利用工具包Fallout、Spelevo，伪装成合法加密货币交换应用程序的假冒站点或挂马网站等方式进行分发传播，近日笔者监控到一例通过标题为RSA SecurID的诱饵文档传播此勒索病毒的最新样本

捕获到的诱饵文档是一个以RSA SecurID为标题的文档，内容如下所示：

文档里面包含恶意宏代码，诱导受害者双击启动宏代码，恶意宏代码，如下所示：

动态调试恶意宏代码，如下所示：

读取窗体中的数据，然后进行解析，窗体的数据，如下所示：

宏代码解密窗体中的数据，然后从远程服务器hxxp://149.56.245.196/wordupd.tmp下载恶意程序到C:\Windows\Temp\ered.tmp，然后执行恶意程序，如下所示：

下载的ered.tmp就是Maze勒索病毒，外壳程序如下所示：

分配相应的内存空间，然后解密出勒索病毒的核心代码，如下所示：

再跳转执行勒索病毒核心代码，如下所示：

此勒索病毒加密后的文件后缀名为随机文件名，如下所示：

勒索提示信息文件DECRYPT-FILES.txt，内容如下所示：

加密文件之后会修改桌面背景图片，如下所示：

该勒索病毒解密网站，如下所示：

上传勒索提示信息文件之后，如下所示：

如果对恶意样本分析技术感兴趣，可以加入知识星球进行学习，加入星球的朋友可以加入《安全分析与研究》专业群，与群里的各位安全研究员一起交流，讨论，研究各种安全技术，让你在学习成长的路上多一个伙伴，共同学习，共同成长

安全的路很长,贵在坚持......

[公告]安全测试和项目外包请将项目需求发到看雪企服平台：https://qifu.kanxue.com