防毒擋不住？勒索病毒猖獗與實作

SITCON2016, 淺談現代防毒惡意分析行為與模糊弱點與勒索軟體猖獗與實作 by aaaddress1

http://sitcon.org/2016/

Transcript

1. ㏂㏰懀臶樿䁩卓秝惂苌
 勭䃒墰㢝↛⋲⃮磑嶨群䥥熲㥸橃 5+6%10$[CCCFFTGUU 防毒擋不住︖ 勒索軟體猖獗與實作
2. ō沍絭彋 CCCFFTGUUCFT  ō劊⹩Ⰸ⹙羝峫テ粕Ⅽㅕ俻 ō%% %8$/#5/2[VJQP5YKHV ō4GXGTUG'PIKPGGTKPI5MKNNU ō9KPFQYU/CE15#PFTQKF ō⋬↛揉圞㬝獌adr.horse ō6&1*CEMGT%QTG/GODGT +54+峩䡌征徍↛ ō*+6%10 ō%/6#+&5巼勦 ō%/6Z㔬縂崱㸛绮巼勦
3. ㇃嵒
4. ⛥∮厐⹻㏔綌綌㧪梽 羝瞗䥥㩒㩒
5. ⃫傓㉩♒榋䥥猳
6. ⃫傓㉩♒榋䥥猳 䎛↡熝獑
7. 缙宾椓禖猳 䎛↡熝獑 䎛↡熝獑
8. ⃮宾椓禖㧤ℎ禖猳 㧤㉸砵䆬猳
9. 䎛↡熝獑䎛↡熝獑䎛 ↡熝獑䎛↡熝獑䎛↡ 熝獑䎛↡熝獑䎛↡熝獑 䎛↡熝獑䎛↡熝獑䎛 ↡熝獑䎛↡熝獑䎛↡
10. 勤撰≠㥏剦Ⰸ䨟 㣴✙㠗䁩甙
11. 㔡⇆⃮㧤⹭瓴⛋巼△倃懀臶苌 勭㤐懤瓴橃䥥槜呇䢦禖䫆帹 ㏔綌⑗↷幑粕䥥⛐⇆恑Ⅷ3AAA3 綌沍用用巼⛅猺⡣猳
13. 實務分辨病毒與非病毒
14. 病毒是什麼
15. %JTQOGA5GVWRGZG 替使⽤者安裝Chrome瀏覽器
17. %JTQOGA5GVWRGZG 替使⽤者安裝Chrome瀏覽器 + Hao123
18. %JTQOGA5GVWRGZG 替使⽤者安裝Chrome瀏覽器 + 百度全家桶
19. %JTQOGA5GVWRGZG 替使⽤者安裝Chrome瀏覽器 + 百度全家桶
20. ⠐⃡矦┆⨉ 懀臶桬䥝勦䥥㏰疍
21. ⎔糺⃫䢦禖㧪聅石䴏䧏䥥  ㏂∽╨Ϝ♒瞘ㆇ⑗⻇⃮涹  汷櫢偢㪗Ϝ♒瞘ㆇ⅀⃮涹  縸榧⋂䠉甞纝珮⋬羝  砒桡㨉沍  㛿䬕⮿猺Ⰸ揉ⓧ㤐⌻⮿Ⅷ猻
22. 蒐集信⽤卡號、個資 後⾨⽊⾺ 䵠耼椓稱䔧⦿⎔羝㡺 Ⰸ撰勜㫆㠰㐀㡨⇗ 㟵㔋傓櫢ㄔ⺧嬭䎛 䵠耼椓稱䔧⦿⎔羝㡺 桬祚界▶櫦 㟘甩织ㄶ䡌橃
23. 䢦禖䮝 猺/CNYCTG*CUJ猻
24. XKTWUGZG 我要偷偷上傳使⽤者裸照 我要偷偷幫磺胺粉絲團按讚 我要偷偷上傳使⽤者信⽤卡號 偷偷幫使⽤者過年存壓歲錢
25. XKTWUGZG 你這個壞寶寶！檔名為virus.exe 就不準使⽤者下載（加入到雲端⿊名單）
26. ECVGZG珮XTWUGZG珮8+475GZG 哇！是好寶寶捏，放⾏～放⾏～
27. 㢝㤐磷砒椓禖⛋痙
28. 8+475GZG 好的，VIRUS.exe先⽣， 您的指紋是 MD5( 三圍+身⾼+體重... ) 我已經把您備份到壞蛋資料庫囉！
29. 嗯...⿊名單中好像還沒看到這位先 ⽣呀，應該不是壞⼈吧︖
30. 嗯...⿊名單中好像還沒看到這位先 ⽣呀，應該不是壞⼈吧︖ 長⼤啦～～～
31. 嗯...⿊名單中好像還沒看到這位先 ⽣呀，應該不是壞⼈吧︖ 變⾊龍yo
32. ⧁䎛/&5*#⺗㢰粹榽䄫ⓞ磕 䧏㳺㤐甩㉸戙⑆㡨⇗珮⚤磕䥥 ⠐⃡帹┆猺㗨俬猻
33. 獟&㝿䥞⛮⢏
34. 箞㊖䮝 猺䢦禖⹻劊䮝猻
35. 我要不停地彈出⾊情網⾴ 18upSeaDog.com
36. 聅磢⋺椓禖礱勦㏔Ⅷ⃬⃡
38. TFCVC☡㺖
39. 那我就檢測程式靜態⽂字中帶有 18upSeaDog.com就禁⽌開啟 我要不停地彈出⾊情網⾴ 18upSeaDog.com
40. 我要下終端機命令： taskkill -f -im Anti-Virus.exe #PVK8KTWUGZG
41. ↫Ⰺ≁㏔俥痏䠀磢獌 ň⻰瘤假俥⢯獑ʼn猺獪猻 ň⻰瘤苌㓲㏔䡗≁⹊⸱䥥䔙ʼn猺獡猻
42. 我要不停地彈出⾊情網⾴ 18upSeaDog.com 那我就檢測程式靜態⽂字中帶有 18upSeaDog.com就禁⽌開啟
43. 我要不停地彈出⾊情網⾴ Deec(17upSeadog.com)
46. 磷ㄙ䠉䥥㔬㺖⼒㤐:14苌 ⃮職:14▁⺧⑗⻇㉩痙䬕缷 㔡⇆砒≧肪㇗∙ⓛⅧ&'5珮4%粹∽㾶
48. 㕟㫆椓禖箞㊖䮝6QQN /[%%.8KT6GUVŎGVE
49. 1 2 3 4 5 6 7 8 9
51. 6B ? ? ? ? E8 ? ? ? ? E8 ? ? ? ? 83 C4 30
53. 眂眂ㄗ⻰⹊
54. ⃮䫆聼≁⋲㧪㽳㧪䷆ㅕ
55. Lv.20 胙۱磪绚樌ѿ磪䌌揔純 ੷ࢿ盚ॊ 裡ᶎ盚ᘏ 脒䵹盚ᘏ
56. ٍ磪ਠ碉 C&C ጱ纷ୗ膏緳矒ጱ盅槹 क़ጼ፡蚏㬵蠅脀牏詂獧ग़࿡ ፡犲篷疏ݝ䨝薹瓟婘޾䁆ᤈጱ纷ୗ 䘣఺䰬๜ 䋿褬盅槹 䵹ҁShell҂
60. 䡗竅肪㧪㧕⯻側⑙ ⼒⃮㚱Ⅷ2 哔㢝㠩㩽痞∶獑
63. 6JGOKFCZ䔩
65. 6JGOKFCZ䔩
67. ⃮職⧁䎛▁㺝完䚊Ⰻ␨苌 㔡⇆揉ⓧ椓禖㚂甩 ň≁䥥㺝㓲硵⃮㙪㓲⼒䡗㧪禖ʼn䥥丷䡆 ⊾羅䡗Ⅼ↛禆䦫ビ沍忞␬
68. 㢝㤐椓禖Ⰸ㇁⋲俼俼㣯䥞苌 樽㐬ⓧ㩱ビ側㞬⃮∰⛥ㇰⰨ䃌㕡トⅧ
69. 到此為⽌， 以上都屬於靜態部分的攻防戰
71. 在網路上查詢「免殺教程」 教程都在教你如何過「靜態檢測」
72. ℜ▶ⓧ㩱
73. 嬭䎛㟵㔋 猺#2+*QQM猻
74. ⫣⫣㹄㹄䥥ℎ⧬↛
75. ⫣⫣㹄㹄䥥ℎ⧬↛
76. 䧕碉㕫椓禖ㅚ㙪 ⃡⽒⃮⺚Ⅽ纗[Q
77. 砗懀哋ヒ峯嶷☡㤐聅熝磐≠䠉勦痞∶⚮瞗宾 /KETQUQHV5GEWTKV['UUGPVKCNU椓禖䠃➢䥥
78. 蝡֖य़ᐟ಑梊ਁler (´ŋ_ŋ`)牧犋ฎ౯಑梊ਁQQ
80. ⍘伞䷁≧䠉䠉
82. 㘟硺伞䷁
83. ⌀⼮肪舎 猺舍␂聜粕猻
84. Malware
85. Malware 羬翄๐率
86. Malware 羬翄๐率 Malware
89. ⌀憌臶 猺⺥⺠⻮羖猻
92. .+8'&'/1 ⃡緈砒桡痞∶⍘悲聜≁槜呇 猺⇆(CEGDQQM/GUUGPIGT&GUMVQR㈒熿猻
93. 粕ㇰ䮝㿉⑆
94. ⌨▶∽嬭䎛 䃘䂧椓禖屷綌
95. %QFG+PGLEVKQP +(KNG1RGTCVKQP 5KFGNQCFKPI %QFG+PGLEVKQP +(KNG1RGTCVKQP 7PKPUVCNNGZG*KLCEMKPI 9WUCGZG 㕶㠟㡨⇗  5KFGNQCFKPI 9/+䵛䥞缷㩱㈒熿㧠碍㧮甒㡨⇗ 4WPFNNGZG缷㩱㈒熿 OUJVONFNN ,CXCUETKRV2TQVQEQN ╖㇛俜糺䥞⛮⢏聜粕 5XEJQUVU[URTG  㴂倥㧠碍 䃜▁峩䡌⇜甒苌⇜甒貼㌈ℎ⇆磷涹禆椱聴嬭 UFD羝㡺ㆌ瞗宾粕ㇰ㈒熿 ⑗↷'ZRNQKV獑猺GZŎ46(珮 FQE  FNN猻
96. 勒索軟體與實作
97. CryptoWall 4.0 5384f752e3a2b59fad9d0f143ce0215a
101. Ransomware 疥ᛔ蛪ဳ獈 Explorer.exe 疥ᛔ蛪戢㲘樄秚珸㵕殻 疥ᛔ蛪ဳ獈ک Svchost.exe ݻ֑๐瑊覿玲RSA獍槄 䋿֢ےੂ
102. Ransomware 㵕眲ኞ౮褰秚AESᰂ槄 犥AESᰂ槄ےੂ෈կ 疥獍槄ےੂ盅ጱ AESᰂ槄狒ਂ ൉蠣ֵአᘏ՞ѽѽ
103. 䨀標㼄癕殉⼭穯ℬ △倃懀臶
104. 䨀標㼄癕殉⼭穯ℬ △倃懀臶
105. 伂椬⻇䠉%2⌝涹䥥 △倃懀臶
106. 伂椬⻇䠉%2⌝涹䥥 △倃懀臶 倶⻮㤐㎉╖礱䥞㔬群⺗䥥 痙Ⰶ∕猺⡣
107. Ransomware 戢㲘樄秚珸㵕 ኞ叨褰秚AES Key ኞ叨褰秚RSA蟴䌘 狒ਂRSA獍槄ෝ๜秚 獍ᐺ槄ࢧ㯽C&C RSAےੂAES Key㪔狒ਂ 犥AESےੂֵአ ᘏ㮆Ո෈կ
114. &GOQ
116. 防毒軟體都在幹嘛 ō 樽㐬箞㊖䮝㫆禕 ō ℜ▶椓䲇検㞬 ō 槓㫆禕 ō 宽䇰㿿 ō ⍘≠䠉勦⋬羝猺獑猻
117. 防毒軟體都在幹嘛 ō 樽㐬箞㊖䮝㫆禕 ō ℜ▶椓䲇検㞬 ō 槓㫆禕 ō 宽䇰㿿 ō ⍘≠䠉勦⋬羝猺獑猻 ➔➔苌⌨椓禖珮Ŀ瞗瓴嬼⯌㔮㧪⛐叞⡇
118. 結語
120. 幑粕ℎ㚱┑䥥㕡绮苌 ⛐⇆┑㓲䥥)KVJWDCCCFFTGUU ⛐叞㧤⃮⻰㊤愃┑揉⇞⻇∽ 猺祚䙨Ⰸ㱣↬㢝┑ℬ桴猻
121. 羝峫瞗瓴 ℇ㽳㧪嶑⛐⇆⊾羅≁苌 ⅀⃮㤐宾Ⅷ椓禖懀臶 ⼒㧪䠉
122. ⛇⯷苌 /CE15惀.KPWZ砵痙勦 ⅀┆⨉㢢肰䷲㉸Ⰻ桬㊤
123. 你知道現在病毒也懂跨平台開發嗎︖
125. 6&1*2+2'羝瞗䰟⧹懵瞪 6&1*不Ⅽ禈↛㔮㖼◀峩䡌 6&1*⹙劳⨑疍#NRJC䔩
126. 7PEQPH .KPWZ0GVYQTM0COGURCEG
127. 「莫風微婆」 魯了⼆⼗多年，快沒⼒了 019+9#06;17♥ KQCPKUCNYC[UQPG
128. Q&A aaaddress1@gmail.com