选择加密文件的后缀列表如下:
bak,sql,mdf,ldf,myd,myi,dmp,xls,xlsx,docx,pptx,eps,txt,ppt,csv,rtf,pdf,db,vdi,vmdk,vmx...样本运行后会生成随机字符串,然后取前32字节作为密钥,使用AES_ECB算法,每次读取16字节对文件进行加密:
?...因此如能在样本完成加密后第一时间对物理内存进行取证分析,即可从物理内存中提取出密钥字符串对加密文件进行解密。
样本首先申请一段空间用于保存生成的随机字符串:
?
然后取前32位作为真正的密钥:
?...想要恢复文件必须在病毒感染的第一时间进行内存取证,如果机器没有重启或者该机器上没有频繁的业务交互,即保存密钥的内存块可能没有被重新分配或清除,密钥信息仍然可以从内存中提取:
?...如欲转载或传播此安全公告,必须保证此安全公告的完整性,包括版权声明等全部内容。未经绿盟科技允许,不得任意修改或者增减此安全公告内容,不得以任何方式将其用于商业目的。