腾讯安全反病毒实验室抗击勒索病毒纪实

2017-05-23 来源:未知 作者:腾讯电脑管家
【文章摘要】2017年5月12日,一个名为“WannaCry”的勒索病毒突然在全球网络范围内大面积肆虐,电脑文件遭加密,只有在规定的时间内缴纳赎金,方能破解。
  2017年5月12日,一个名为“WannaCry”的勒索病毒突然在全球网络范围内大面积肆虐,电脑文件遭加密,只有在规定的时间内缴纳赎金,方能破解。备份、杀毒、恢复成了各类科普文和技术贴的高频词汇。
 
  在病毒爆发之后,腾讯安全反病毒实验室吹响了抗击勒索病毒的号角,一方面保持对勒索病毒及其变种的高度关注;另一方面,基于自身安全实力持续输出深度研究报告,起底WannaCry勒索病毒的传播方式及最新变种,并推出了一整套包含漏洞免疫工具、文档守护者工具、文件恢复工具、勒索病毒专杀工具等在内的处置措施,帮助用户抵御病毒的侵袭。
 
  与此同时,腾讯安全反病毒实验室还在解密WannaCry勒索病毒上取得重大突破。国外安全专家Adrien Guinet发现,在XP系统的某些条件下,CryptReleaseContext没有清空保存素数的内存。配合病毒生成的00000000.pky公钥文件,通过在内存中搜索满足条件的素数,可以还原出病毒加密AES密钥所用的RSA公私钥的重要参数,进而生成解密所需的00000000.dky私钥文件。根据此思路,腾讯安全反病毒实验室哈勃分析系统在国内率先开发解密工具,并对用户发布。被感染用户在没有重启电脑前提下,通过该工具成功解密的几率极大。下载地址:https://habo.qq.com/tool/download/searchdky
 

 
  WannaCry勒索病毒的爆发让很多用户第一次感受到网络病毒的可怕,但事实上,这并不是其首次“作恶”。近几年来,勒索病毒的家族、影响范围、公众感知度等都有了显著的增长。臭名昭著的勒索病毒会借助成熟的算法,对文件进行高强度的加密处理,给受害者带来巨大的损失,时常会有被敲诈不得不支付赎金的新闻见诸报道,高达数万美元的赎金也屡见不鲜。
 
  腾讯安全反病毒实验室从很早就开始监测此类勒索病毒的动向,研究加密过程中的漏洞,并努力尝试对加密的文件进行破解,为受害者尽量挽回损失,而这些不懈的努力也取得了一些成效。
 
  除WannaCry勒索病毒之外,在其它勒索病毒事件发生时,哈勃分析系统也曾经发布过多个针对性的解密工具,包括:

  Petya解密工具
 
  2016年3月,安全厂商发现一种新的敲诈类木马Petya,此木马的特点是首先修改系统MBR引导扇区,强制重启后执行引导扇区中的恶意代码,加密硬盘数据后显示敲诈信息,这是第一个将敲诈和修改MBR合二为一的恶意木马。
 
  随后,安全专家Leo Stone指出了Petya加密代码中存在的问题,并给出了解密思路和代码。在其引导下,哈勃分析系统验证了Petya的加密流程,确认了木马在使用变种Salsa20算法的过程中,对算法进行了很多简化,包括多处将DWORD改用WORD,以及将密钥空间限制在54^8的范围之内,并且明文和密文又都是已知的,这就为暴力破解密钥提供了有利的条件。哈勃分析系统公布了研究成功,同时发布了针对Petya的解密工具,此工具需要配合Leo Stone编写的磁盘读取工具一起使用。工具下载页面:https://habo.qq.com/tool/detail/petya
 

 
  TeslaCrypt解密工具
 
  TeslaCrypt木马的相关分析和报道最早可追溯到2015年2月,主要传播方式是网页挂马传播,通过在网页中植入恶意构造的文件,通过Flash播放器、pdf阅读器等各种漏洞,在受害者不知情的情况下下载并执行恶意payload,加密其电脑上的文件。
 
  2016年5月,TeslaCrypt的作者在暗网上宣布停止木马的开发,并同时给出了解密文件所需要用到的私钥。有了私钥之后,根据木马的加密解密流程,可以将木马加密的文件完整还原。ESET等安全公司迅速跟进并制作了TeslaCrypt木马的解密工具。
 
 
  腾讯哈勃分析系统也制作了TeslaCrypt的工具,帮助用户恢复被加密的文件。
 
 
  手机锁屏木马解密工具
 
  哈勃分析系统还发现,在安卓系统上常年存在一类锁屏勒索木马,有愈演愈烈的趋势。这些木马大部分是伪装成各类其它应用,例如工具类应用、刷流量等非法应用、色情类应用等,在小型下载网站、网盘、社交网络中进行传播,诱使受害者下载安装。据腾讯手机管家监测数据显示,此类病毒的日感染量超过8万,病毒传播者会向用户收取5到50元不等的解锁费用,每日收取费用高达80万元。
 
  尤其是最近,有很多木马会使用多种攻击手段进行组合攻击。它们会首先尝试获取手机root权限,然后请求设备管理器权限并设置系统锁屏密码,接下来再显示自己的的敲诈窗口,将该窗口反复强制置顶,使受害者无法正常使用手机的其它功能,同时在置顶对话框中提出敲诈需求和联系方式。这样的组合攻击很容易给受害者带来多重的伤害,即便其通过尝试解决了其中的一个问题,但是剩下的攻击仍然会使得受害者束手无策。
 
  针对以上情况,哈勃分析系统针对不同手机勒索木马的特性,利用Google官方的调试工具adb的相关功能,先后推出了多个专杀工具,为用户解决不同的勒索木马问题。用户可以前往https://habo.qq.com/tool/index下载所需的工具。
 
 
  除此之外,在2017年春节,电脑管家也针对此类木马推出了v12.2春节尊享版,此版本中新增安卓手机锁屏敲诈木马专杀功能,让用户实现轻松操作快速查杀,突破安卓系统的局限性,彻底解决手机锁屏问题,拒绝做恶意软件傀儡。

  不断狙杀各类勒索病毒的过程中,腾讯安全反病毒实验室不仅一次又一次突破技术瓶颈,也锤炼出一支联动哈勃分析系统,腾讯电脑管家的一体化、产品化的安全特别行动队——通过腾讯电脑管家自研TAV引擎能力、安全事件运营、哈勃分析平台的“三剑合璧”,进一步对“安全查杀能力、漏洞监测能力及病毒样本分析”提供了全面、系统、一体化的产品运营式的标准化防护,这不仅进一步强化了腾讯安全守护用户的技术实力,也提振了国内用户对抗勒索病毒下一次攻击的信心。

【关键词】腾讯安全  电脑管家  勒索病毒  WannaCry


 

电脑管家 V16

全新上线 更轻更快