概述

该样本隶属于Phobos家族。Phobos家族通常通过RDP暴力破解+人工投放的方式进行攻击。

攻击者成功入侵后，通常会关闭系统的安全软件防护功能，运行勒索病毒，加密后会修改文件后缀为<原文件名>+<原文件后缀名>+<勒索信中的个人ID>+<联系邮箱>+<.Devos>，目前该勒索无法解密。

传播方式

Phobos家族通常通过RDP暴力破解+人工投放+钓鱼邮件的方式进行攻击。

行为分析

删除卷影拷贝以避免系统恢复

vssadmin delete shadows /all /quiet
wmic shadowcopy delete
bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
exit

禁用Windows防火墙

1
2
3

netsh advfirewall set currentprofile state off
netsh firewall set opmode mode=disable
exit

将自身拷贝到其他目录下

将自身拷贝到多个位置，并设置对应的开机启动项。

向文件目录中插入自启动执行点 (ASEP) 项以在操作系统中实现持久化

进程提权

进程遍历

遍历进程，并结束掉指定进程进程。主要包含数据库进程，以mysql和sqlserver等数据库进程。

msftesql.exe;sqlagent.exe;sqlbrowser.exe;sqlservr.exe;sqlwriter.exe;oracle.exe;ocssd.exe;dbsnmp.exe;synctime.exe;agntsvc.exe;mydesktopqos.exe;isqlplussvc.exe;xfssvccon.exe;mydesktopservice.exe;ocautoupds.exe;agntsvc.exe;agntsvc.exe;agntsvc.exe;encsvc.exe;firefoxconfig.exe;tbirdconfig.exe;ocomm.exe;mysqld.exe;mysqld-nt.exe;mysqld-opt.exe;dbeng50.exe;sqbcoreservice.exe;excel.exe;infopath.exe;msaccess.exe;mspub.exe;onenote.exe;outlook.exe;powerpnt.exe;steam.exe;thebat.exe;thebat64.exe;thunderbird.exe;visio.exe;winword.exe;wordpad.exe