垃圾邮件传播新型FTCode无文件勒索病毒实例分析

发布时间:2022-01-11 10:15:57 作者:柒染
来源:亿速云 阅读:166

今天就跟大家聊聊有关垃圾邮件传播新型FTCode无文件勒索病毒实例分析,可能很多人都不太了解,为了让大家更加了解,小编给大家总结了以下内容,希望大家根据这篇文章可以有所收获。

目前勒索病毒仍然是全球最大的威胁,最近一年针对企业的勒索病毒攻击越来越多,不断有新型的勒索病毒出现,各企业一定要保持高度的重视,大部分勒索病毒是无法解密的,近期国外安全研究人员发现了一款基于PowerShell脚本的勒索病毒FTCode,此勒索病毒主要通过垃圾邮件进行传播。

国外某独立恶意软件安全研究人员曝光了一个新型的FTCode PowerShell勒索病毒,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

此勒索病毒主要通过垃圾邮件进行传播,发送的垃圾邮件会附加一个压缩包,压缩包里面包含一个恶意的DOC文档,从app.any.run上下载到相应DOC样本,打开DOC文件,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

启动恶意宏代码,相应的文档内容,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

恶意宏代码,启动PowerShell进程执行脚本,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

从恶意服务器下载PowerShell脚本执行,服务器URL地址:

hxxp://home.southerntransitions.net/?need=9f5b9ee&vid=dpec2&81038

打开恶意服务器脚本,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

从恶意服务器下载VBS脚本,然后设置计划任务自启动项,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

相应的计划任务自启动项WindowsApplicationService,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

恶意服务器URL:hxxp://home.southerntransitions.net/?need=6ff4040&vid=dpec2&,脚本内容,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

解密后的VBS脚本,是一个PowerShell脚本,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

再次解密PowerShell脚本之后为一个恶意软件下载器,会下载安装其他恶意软件,内容如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

下载完VBS脚本,设置计划任务之后,FTCode PowerShell恶意脚本会解密内置字符串生成一个RSA加密密钥,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

删除磁盘卷影,操作系统备份等,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

然后开始加密文件,对指定的文件后缀进行加密,加密后的文件后缀名FTCODE,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

加密后的文件,如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

在每个加密的文件目录生成勒索提示信息HTM文件READ_ME_NOW.htm,内容如下所示:

垃圾邮件传播新型FTCode无文件勒索病毒实例分析

看完上述内容,你们对垃圾邮件传播新型FTCode无文件勒索病毒实例分析有进一步的了解吗?如果还想了解更多知识或者相关内容,请关注亿速云行业资讯频道,感谢大家的支持。

推荐阅读:
  1. PowerShell病毒防治(无文件勒索)
  2. 删除.adobe后缀勒索病毒(删除勒索病毒+恢复数据)

免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。

上一篇:JavaScript实现JS弹窗的三种方式分别是什么

下一篇:php如何查询时间范围

相关阅读

您好,登录后才能下订单哦!

密码登录
登录注册
其他方式登录
点击 登录注册 即表示同意《亿速云用户服务条款》