分你所享、信息共享、轻松分享
来自民间的思想 | 送人玫瑰,手有余香。

威胁预警 | KillDisk最新变种袭击银行系统

一、背景介绍

国外某安全厂商捕获到了一例KillDisk最新的变种样本,此样本已经感染了国外某家银行系统,数千台电脑及服务器系统被破坏,导致银行的SWIFT转帐系统无法正常使用。 KillDisk是由一个叫[TeleBots]的黑客团伙开发的,是一款破坏性的恶意程序,它专门用于擦除受害者硬盘上的文件,最近几年发展为勒索软件的功能,2015年被利用于针对乌克兰进行的APT攻击之中,旨在破坏乌克兰的电力和能源系统,去年曾发现它的一个变种用于Linux下的勒索病毒,最近又被发现利用攻击某国银行的转帐系统的主机。 深信服EDR安全团队,密切关注此破坏性病毒的最新进展,并第一时间拿到相关的恶意样本,进行了深入的分析研究,并能有效检测防御此类恶意样本。

二、样本分析

(1)样本图标如下: 图片.png (2)通过查壳,发现它使用了VMProtect v.2.07 – X.X进行加壳了,如下: 图片.png (3)样本加载之后,如下所示: 图片.png (4)样本使用VMP2.0.7版本的壳,对VMP进行动态跟踪,可以到达加壳程序的内部,如下: 图片.png (6)查看程序中的相关字符串信息,如下: 图片.png (7)查看反汇编代码,可以看到一些关于MBR Kill Setup的代码段,如下: 图片.png (8)动态调试,跟踪安装感染MBR的代码,如下: 图片.png (9)通过调用释放在临时目录下的System.dll导出函数Call进行安装感染,如下: 图片.png System.dll导出函数Call,如下: 图片.png (10)通过遍历\\.\PHYSICALDRIVE%d进行修改感染,如下: 图片.png (11)通过System.dll中的Call函数,调度CreatFileA读取MBR扇区,获取MBR扇区的文件句柄,如下: 图片.png (12)通过WriteFile函数修改MBR,如下: 图片.png (13)遍历磁盘完成之后,然后通过ExitWindowsEx函数来重启主机。