/文章作者:Kali_MG1937 QQ:3496925334 CNBLOG博客号:ALDYS4/ 今天逛某论坛的时候发现了一篇求助贴 有意思,好久没分析过恶意软件了 今天就拿它来练练手 反编译工具 apktool jd-gui eclipse(CFR,JD-CORE等反编译引擎) JADX DEX2JAR 0x01>分析AndroidManifest.xml 先看看恶意软件的基本信息 先百度一下恶意软件的包名 搜索结果显示这是一个被各大应用市场收录的软件 那么我分析我手上的这个恶意软件应该是被…

根据分析,此病毒是一个勒索软件,通过修改登录用户密码,留下勒索QQ号码向用户索要金钱. 它调用了Kernel32.dll里的WinExec来执行更改用户密码的cmd命令,密码为107289,更改完密码之后就关闭计算机. 解决方案:输入密码107289 或者使用PE系统破解密码. 在修改了最后的关机以及注销命令后  详细分析过程如下: 先调用GetUserNameA得到当前用户的用户名: 之后以这个用户名构造一个密码更改字符串: 为net user FL 107289  ,本虚拟机用户名为FL 之…

python装饰器的作用是在不改变原有函数的基础上,对函数的功能进行增加或者修改. 装饰器语法是python语言更加优美且避免很多繁琐的事情,flask中配置路由的方式便是装饰器. 首先python中一个函数也是可以当做一个对象进行传递的. def sheep(f): def she(): print("I'm a sheep") return f() return she @sheep def wolf(): print("I'm a wolf") if __na…

locky勒索软件恶意样本分析1 1 locky勒索软件构成概述 前些时期爆发的Locky勒索软件病毒这边也拿到了一个样本,简要做如下分析.样本主要包含三个程序: A xx.js文件:Jscript脚本文件,以脚本形式存在主要用于邮件传播和方便免杀杀毒软件,用于联网下载PE1 B PE程序(PE1):外壳程序,主要负责解密内存load PE2. C PE程序(PE2):功能代码存在于该文件,主要负责和C&C服务器通讯获取加密密钥,遍历磁盘驱动器使用crypt系列windows函数对文件加密. P…

一.前言 5月12日,一场全球性互联网灾难悄然而至,一款名为WannaCRY的PC端恶意勒索软件利用NSA泄漏的危险漏洞“永恒之蓝”,给100多个国家和地区10万台电脑造成了巨大的损失.到2017年为止,全球手机用户总量已经突破50亿,而作为占比超过50%的android系统中,同样有许许多多类似WannaCRY的勒索软件正在危害我们的财产安全. 接下来,以一款主流的Android端恶意锁屏勒索应用为例,结合人工分析的方式,深入剖析勒索应用的恶意行为.知己知彼,才能更好的防患于未来.   二.运…

针对Jigsaw勒索软件的解锁工具 据了解, 用户的计算机系统一旦感染了勒索软件Jigsaw,如果用户没有在一个小时之内支付赎金(0.4个比特币,价值约为150美金),那么恶意软件将会把系统中的上千份重要文件全部删除. 根据攻击者的描述,更糟糕的是,如果用户重启了他们的计算机,那么这个勒索软件将会从系统中删除一千个文件.当用户感染了这款勒索软件之后,系统将会显示一张非常恐怖的图片(与电影<电锯惊魂>中的一样),并且还会显示一系列的警告信息. 这一勒索软件会在警告信息的开头写上下面这段话:“我想…

* 添加权限 <uses-permission android:name="android.permission.RECEIVE_SMS"/> * 4.0以后广播接收者安装以后必须手动启动一次,否则不生效 * 4.0以后广播接收者如果被手动关闭,就不会再启动了 ------------------------------------------------------------------------ #监听SD卡状态 * 清单文件中定义广播接收者接收的类型,监听SD卡常…

locky勒索软件恶意样本分析2 阿尔法实验室陈峰峰.胡进 前言 随着安全知识的普及,公民安全意识普遍提高了,恶意代码传播已经不局限于exe程序了,Locky敲诈者病毒就是其中之一,Locky敲诈者使用js进行传播,js负责下载外壳程序,外壳程序负责保护真正病毒样本,免除查杀.本文主要对Locky外壳程序和核心程序做了一个分析,来一起了解Locky代码自我保护的手段以及核心程序对文件加密勒索过程的分析. 一        样本基本信息 Js下载者:f16c46c917fa5012810dc35b…

  0x00  一点废话 最近因为Mac软件收费的比较多,所以买了几款正版软件,但是有的软件卖的有点贵,买了感觉不值,不买吧,又觉得不方便,用别人的吧,又怕不安全.于是我就买了正版的Hopper Disassembler然后把这些软件分析一下[滑稽]. 本文cnblog的图片不怎么清楚,提供高清PDF下载. https://my.pcloud.com/publink/show?code=XZKaIy7ZS5cfJax4mih0UCu985wrczJ17du7 0x01 所需工具 调试工具 Hop…

报告名称:  某勒索类软件分析报告    作者:        李东 报告更新日期: 样本发现日期: 样本类型: 样本文件大小/被感染文件变化长度: 样本文件MD5 校验值: da4ab5e31793181df9bd83f23f132aa4 样本文件SHA1 校验值: 壳信息: 无壳 可能受到威胁的系统: 相关漏洞: 已知检测名称: 简介 ［2017.2.3-10.Ransom.India.exe］是一个勒索原件,使用加密技术修改用户硬盘中的重要文件,使用户计算机无法正常使用,并以此为条件索要赎…

卡巴斯基实验室<2017年Q2垃圾邮件与网络钓鱼分析报告> 米雪儿 2017-09-07 from:http://www.freebuf.com/articles/network/146587.html 垃圾邮件:季度亮点 交付服务木马 2017年第二季度,我们发现了一大波恶意钓鱼邮件,这些邮件都将自身伪造成来自知名交付服务公司的通知.攻击者将木马下载程序放置在ZIP存档中发送给受害者,并在启动后下载其他恶意软件——Backdoor.Win32.Androm和Trojan.Win32.Kovt…

猫宁!!! 参考链接:http://zt.360.cn/1101061855.php?dtid=1101062360&did=210646167 这不是全文,而是重点摘要部分. 2017年5月,影响全球的永恒之蓝勒索蠕虫(Wannacry)大规模爆发后,有两个重要问题一直让很多我国政企机构管理者和安全从业者感到困惑:一个是内网穿透问题,一个是同业差距问题. 1) 内网穿透问题 WannaCry传播和攻击的一个明显的特点,就是内网设备遭感染的情况要比互联网设备遭感染的情况严重得多.虽然说,未打补丁…

原文链接:https://blogs.technet.microsoft.com/mmpc/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/?platform=hootsuite 未完全按原文翻译. 在2017年6月27日,一款勒索软件开始在欧洲大范围传播.我们注意到攻击从乌克兰开始,超过12,500台机器遭到威胁.随后勒索软件传播超过64个国家,包括比利时,德国,俄罗斯和美国. 这款新的勒索软件具备蠕虫…

Android勒索软件研究报告 Author:360移动安全团队 0x00 摘要 手机勒索软件是一种通过锁住用户移动设备,使用户无法正常使用设备,并以此胁迫用户支付解锁费用的恶意软件.其表现为手机触摸区域不响应触摸事件,频繁地强制置顶页面无法切换程序和设置手机PIN码. 手机勒索软件的危害除了勒索用户钱财,还会破坏用户数据和手机系统. 手机勒索软件最早从仿冒杀毒软件发展演变而来,2014年5月Android平台首个真正意义上的勒索样本被发现. 截至2016年第一季度,勒索类恶意软件历史累计感染手…

MS Office CVE-2015-1641 恶意 Exploit 样本分析 在对最近的一个恶意 MS Office 文档样本进行分析时,我们发现了一些有趣的特性.这个文档利用 CVE-2015-1641 来释放和执行一个名为 Troldesh 的勒索软件. 本文我们会先分析漏洞成因,随后分析攻击者是如何让恶意文档躲避检测的. RTF 文档 我们要分析的 RTF 文档哈希值为72b14306c9f95536d03d88cf63204f70630dd9cd00664ad7f86c1d774c85…

GIF Movie Gear逆向实战+注册代码+补丁 准备 我是在windows 8.1 x64上进行的操作.有不足之处,还望大虾指出. 获取资源 网站下载:http://www.gamani.com/gmgdown.htm,国内站点是汉化破解好的. GIF Movie Gear4.2.3是一款GIF动画制作软件,几乎有需要 制作GIF动画的编辑功能它都有,无须再用其它的图型软件辅助.GIF Movie Gear可以处理背景透明化而且做法容易,做好的图片可以做最佳化处理使图片减肥,另外它除了可…

iOS逆向实战与工具使用(微信添加好友自动确认) 原文链接 源码地址 WeChatPlugin-iOS Mac OS 版微信小助手(远程控制.消息防撤回.自动回复.微信多开) 一.前言 本篇主要实现在微信上自动添加好友,从而熟悉 iOS 逆向分析的过程. 二. 工具 2.1 MacBook 软件 theos 制作 Tweak 的工具 hopper disassembler 用于静态分析 usbmuxd 端口转发,可以让我们通过usb连接手机进行ssh.lldb调试等.主要使用python-cli…

至少从2019年5月开始,恶意行为者就一直在积极部署MAZE勒索软件.勒索软件最初是通过垃圾邮件和漏洞利用工具包分发的,后来又转移到妥协后进行部署.根据我们在地下论坛中对涉嫌用户的观察以及整个Mandiant事件响应活动中的独特策略,技术和程序,多个参与者参与了MAZE勒索软件的操作.MAZE背后的行为者还维护一个面向公众的网站,在该网站上发布从拒绝支付勒索费用的受害者那里窃取的数据. 这两种破坏性入侵结果(转储敏感数据和破坏企业网络)与犯罪服务的结合使MAZE成为许多组织的显着威胁. 受害者研…

前段时间收到locky样本,分析之后遂做一个分析. 样本如下所示,一般locky勒索的先决条件是一个js的脚本,脚本经过了复杂的混淆,主要用于下载该样本文件并运行,. 解密 样本本身进行了保护,通过ida打开之后只有少量几个函数,如下图所示为样本的入口地址,代码进行了重度的混淆加密.…

逆向实战干货,快速定位自动捡阳光Call,或者标志 注意: 关于CE和OD的使用,这里不再多说,快速定位,默认大家已经有了CE基础,或者OD基础. 第一种方法,找Call 第一步,打开CE,搜索阳光值 第二步,打开OD,数据窗口中搜索这个地址的数值(073B7C10) 注意,OD要先附加一下 F9 把游戏运行起来,我们数据窗口搜索这个地址的数值 然后找到地址 第三步,对其里面的值下内存写入断点 然后回到游戏,捡起一个阳光 内存断点断下来了,我们看下指令,发现 add函数,而且看下ECX的值 16…

近期,有国外研究人员发现了一种新型的勒索软件,并将其命名为Magniber,值得注意的是,这款勒索软只针对韩国及亚太地区的用户开展攻击.该勒索软件是基于Magnitude exploit kit(简称Magnitude EK)开发套件进行开发,并且在之前有多款恶意软件基于这款开发套件进行开发,也正是因为这样,研究人员将其命名为Magniber, 取Magnitude exploit kit的"Magni"及Cerber的"ber"组合而成. 对于Magnitude…

逆向实战干货,快速定位自动捡阳光Call,或者标志 注意: 关于CE和OD的使用,这里不再多说,快速定位,默认大家已经有了CE基础,或者OD基础. 第一种方法,找Call 第一步,打开CE,搜索阳光值 第二步,打开OD,数据窗口中搜索这个地址的数值(073B7C10) 注意,OD要先附加一下 F9 把游戏运行起来,我们数据窗口搜索这个地址的数值 然后找到地址 第三步,对其里面的值下内存写入断点 然后回到游戏,捡起一个阳光 内存断点断下来了,我们看下指令,发现 add函数,而且看下ECX的值 16…

32位第五讲,逆向实战干货,快速定位扫雷内存. 首先,在逆向之前,大家先对OD有一个认识. 一丶OD的使用 标号1: 反汇编窗口 (显示代码的地址,二进制指令,汇编代码,注释) 标号2: 寄存器窗口(显示通用寄存器,段寄存器,以及浮点协处理器,32位中还有多媒体寄存器) 标号3: 信息窗口 (这个主要是显示当你运行到的程序的位置处的信息) 标号4: 数据窗口   (内存中的数据,可以在这里查看内存) 标号5:堆栈窗口 (查看栈中的内容,以及变量的内容) 标号6,标号7,标号8 ,属于工具窗口,不…

不修改加密文件名的勒索软件TeslaCrypt 4.0 安天安全研究与应急处理中心(Antiy CERT)近期发现勒索软件TeslaCrypt的最新变种TeslaCrypt 4.0,它具有多种特性,例如:加密文件后不修改原文件名.对抗安全工具.具有PDB路径.利用CMD自启动.使用非常规的函数调用.同一域名可以下载多个勒索软件等. 勒索软件TeslaCrypt在2015年2月份左右被发现[1],它是在Cryptolocker的基础上修改而成.在其第一个版本中,TeslaCrypt声称使用非对称R…

攻打医院服务器的SamSam勒索木马分析 近日一款名为SamSam的勒索木马在国外爆发.该木马利用医院系统的服务器漏洞实施入侵,再进行加密勒索钱财.由于医院网络信息安全水平普遍薄弱,SamSam成功感染了国外多家医院,而其他行业也存在相当大的风险. 此前,勒索软件主要以个人电脑和手机用户为攻击目标,SamSam的出现,意味着勒索软件攻击企业服务器,甚至攻击整个企业网络已经成为此类网络犯罪产业新的攻击方向.为此360安全中心QVM团队对SamSam样本进行了深入分析,并提醒广大企业加强网络安全防护…

勒索软件Locky.Tesalcrypt等使用了新的工具躲避检测 今天我们发现Locky勒索软件家族使用一种新的工具来躲避检测,并且可能已经感染了很多节点. 自从我们通过AutoFocus智能威胁分析服务发现42个Locky勒索软件存在一定的变化,结合全局数据发现勒索软件家族已经被新型的工具进一步加密了.攻击者不断地寻找新的技术绕过安全机制,根据AutoFocus的数据源和威胁情报,这种技术已经被广泛应用了. 在我们的分析中,多个恶意软件样本比较特殊的采用类似混淆API调用的,来源于嵌入的术语词…

近期,出现一种新型勒索软件“BlackRouter”,开发者将其与正常软件恶意捆绑在一起,借助正常软件的下载和安装实现病毒传播,并以此躲避安全软件的查杀.目前,已知的被利用软件有AnyDesk工具(一款远程桌面工具).请各部门做好相关安全防护措施,防止网络系统感染病毒.       ** 影响范围:需要安装ANYDESK.EXE软件进行远程管理的终端设备. 捆绑勒索病毒的程序文件运行之后,会在临时目录夹同时生成ANYDESK.EXE程序文件和BLACKROUTER.EXE程序文件,其中,前台运行…

背景 针对昨日英国医院被攻击,随后肆虐中国高校的 WannaCry 勒索事件,腾讯安全反病毒实验室第一时间给出了深度权威的分析.此次勒索事件与以往相比最大的亮点在于,勒索病毒结合了蠕虫的方式进行传播,传播方式采用了前不久 NSA 被泄漏出来的 MS17-010 漏洞.在 NSA 泄漏的文件中,WannaCry 传播方式的漏洞利用代码被称为"EternalBlue",所以也有的报道称此次攻击为"永恒之蓝". MS17-010 漏洞指的是,攻击者利用该漏洞,向用户机器的…

南大<软件分析>--Data Flow Analysis @(静态分析) 目录 数据流分析概述 数据流分析应用 Reaching Definitions Analysis(may analysis) Live Variables Analysis(may analysis) Available Expressions Analysis(must analysis) 数据流分析 相关概念 may analysis: 输出可能是正确的,要做over-approxiamation追求sound,可以…

英国国家打击犯罪调查局(NCA)发布国家紧急警报,警报一场大规模的垃圾邮件,这些邮件中包含了一款名为CryptoLocker的勒索程序,把目标瞄准了1千万英国的email用户,该程序会加密用户的文档,然后要求用户提供赎金才恢复用户的正常访问. 调查局称,大部分接收到针对性垃圾邮件的用户来自银行或者其他金融机构. 每封邮件包含了附件,这些附件看上去像是语音信箱,传真,发票或者可疑交易的详细信息,但实际上是加密用户计算机的Cryptolocker勒索软件.公众应注意不要点击任何此类附件. 在受到感染…