一次客户现场找到的phobs勒索病毒分析(简单分析)

5yes · 发表于 2022-11-17 16:29

2022年的某天正常上班，突然一条消息说xxx客户中了勒索病毒，遂前去处置

处理流程：1，将中毒的终端隔离断网。2，寻找勒索病毒源文件以及路径(主要是客户要我们干这件事)，3，备份恢复。细节处就不多说了，网上很多了

发现后缀是为elbie的phobs勒索病毒的，并在 %AppData%\Microsoft\Windows\Start Menu\Programs\Startup”和“%ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup这两个目录找到了源文件
拿源文件掉到沙箱，释放的文件跟终端的一样

1，分析病毒功能点
从ws32来看，应该有外连。

外连操作：sub_403CBD

Start -> sub-4029F5 ->sub_40271B

Sub_403B33检索注册表的值

分配SID值并检查是否一致

权限操作，

进程操作，具体功能是获取进程列表，进程命令行，根据进程列表，选择性关闭进程

进程操作.jpg

还有socket

最后通过OD看到遍历文件往每个文件夹放入勒索文件

到这就无了，这是我这个新手第一次分析样本，哪里有错误大佬们还请指点一番

Maviso · 发表于 2022-11-17 18:50

写的不错，太厉害了

QT2008 · 发表于 2022-11-17 21:04

终于学到了

lyh222220 · 发表于 2022-11-17 21:38

作为小白选手，我发现两个亮点，第一个如何寻找病毒母体，第二个扔沙箱进行分析

OK9OKR · 发表于 2022-11-17 21:45

谢谢楼主

小小小程序员 · 发表于 2022-11-17 21:56

学到了技多不压身

ssshoi · 发表于 2022-11-17 22:14

哇哦，膜拜

Fgh745799516 · 发表于 2022-11-17 22:35

学到了 0.0

lvruina · 发表于 2022-11-17 22:42

提示: 作者被禁止或删除内容自动屏蔽

wmsj666 · 发表于 2022-11-18 00:11

大佬牛掰

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 一次客户现场找到的phobs勒索病毒分析(简单分析)

免费评分

个人中心

lvruina lvruina 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	lvruina 发表于 2022-11-17 22:42 提示: 作者被禁止或删除内容自动屏蔽

	回复支持举报