蓝梦数据恢复培训

银河在线官方网址

 找回密码
 立即注册

QQ登录

只需一步,快速开始

www.hg5788.com:Office文档被加密了!不是被勒索数据软件CryptoWall加密了吧

银河在线官方网址:美国“每日野兽”网站SourcePh"style="display:none">

2015-6-12 11:14| 发布者: 蝴蝶| 查看: 15382| 评论: 6

摘要: INTOHARD数据恢复实验室遇到了一例特别的数据加密勒索——它使用I2P匿名网络进行通信,名为Cryptowall 3.0,客户硬盘内所有的Office文档(Word/Excel)被加密勒索病毒说明文档有如下内容:What happened to your fil ...
INTOHARD数据恢复实验室遇到了一例特别的数据加密勒索——它使用I2P匿名网络进行通信,名为Cryptowall 3.0,客户硬盘内所有的Office文档Word/Excel被加密勒索病毒加密,硬盘用户需要恢复被加密的Office文档数据:

Office文档被加密了!不是被勒索数据软件CryptoWall加密了吧


What happened to your files ?
All of your files were protected by a strong encryption with RSA-2048 using CryptoWall 3.0.

通过数据及表现证实为Cryptowall 3.0,通过硬盘的用户描述,可能是在邮件附件中捆绑了Cryptowall 3.0导致感染,它以附档的方式,透过邮件散播,诱使不留心者解开附件文档,然后很快你就会看到令人冷汗直冒的「红色死亡画面」。画面出现时,表示电脑中所有的档案已经以公开金钥架构(Public-key Infrastructure,PKI)的公钥全数加密完成,没有私钥便无法解开。我们找到了Cryptowall 的一些相关信息:

一天感染288个用户

来自法国的安全研究员Kafeine在其博客中确认了这款软件使用I2P匿名网络进行C&C通讯,在@Horgh_RCE的反编译下为我们揭开了Cryptowall 3.0的面纱。
微软提供的数据显示从1月11日至1月12日一天时间里,Cryptowall感染了288个用户。

    HELP_DECRYPT.HTML
    HELP_DECRYPT.PNG
    HELP_DECRYPT.TXT
    HELP_DECRYPT.URL
只要有Office文档的地方就多了4个这样命名的文件,相较之前的变种,软件在用于勒索的提示文件的文件名上有少许变化:

贴心的用户体验

Office文档被加密了!不是被勒索数据软件CryptoWall加密了吧

以下则是HELP_DECRYPT.PNG的内容:

Office文档被加密了!不是被勒索数据软件CryptoWall加密了吧


该款勒索软件十分贴心,HELP_DECRYPT.PNG语言版本是根据用户的IP决定的,如法国安全研究员Kafeine的HELP_DECRYPT.PNG:


Office文档被加密了!不是被勒索数据软件CryptoWall加密了吧


针对不同的用户,文中的链接也各不相同。以下是Kafeine提供的一组链接:

http://www.shililoantop.com/yhzxgfwz/1c3L59z

http://www.shililoantop.com/yhzxgfwz/1c3L59z

http://www.shililoantop.com/yhzxgfwz/1c3L59z

http://www.shililoantop.com/yhzxgfwz/1c3L59z

软件完成对用户文件的加密后会提示用户使用比特币支付赎金。自CoinVault之后,免费解密一个文件似乎要变成行业标准了,CryptoWall 3.0也附带了这一功能:

Office文档被加密了!不是被勒索数据软件CryptoWall加密了吧


软件使用以下服务获取IP:

"http://www.shililoantop.com/yhzxgfwz"

"http://www.shililoantop.com/yhzxgfwz/raw"

"http://www.shililoantop.com/yhzxgfwz"

I2P协议传输

与C&C服务器的通讯似乎是通过Rc4加密了,并且数据通过i2p协议传输:

--------------数据稍经修改-------
POST http://www.shililoantop.com/yhzxgfwz/p1256nl9su84v HTTP/1.1
Accept: */*
Content-Type: application/x-www-form-urlencoded
Pragma: no-cache
Content-Length: 134
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727)
Host: proxy2-2-2.i2p
v=ec3eafb5dc5dc44d97d2431fe0a6503683360c2c4e5b508a1c45e51b64de6d13d031063ed7ce7e6f9740e95e614e63541eec23ac50312847479a8eba8dd46295a27c
---------------数据稍经修改-------
POST http://www.shililoantop.com/yhzxgfwz/hz13ackt0y HTTP/1.1
Accept: */*
Content-Type: application/x-www-form-urlencoded
Pragma: no-cache
Content-Length: 134
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727)
Host: proxy1-1-1.i2p
z=1eeac100e243ed18d3feef446e7800f38c49dc63d7142ce2c024d6a6502e109fcdcee52fa6e59d45648f195d8579265652c334af833ebc7f8e40edcc55ac1c6db626
--------------------------------------------------

经过解密后的数据:(不要尝试解密前面的数据,我们故意修改了有些十六进制数)
z={1|crypt1|27CE3C5E636291E531C77FA566559DDF|2|1|2||xxx.xxx.xxx.xxx}

参考来源Malware don't need Coffee & TechNet,译/Sphinx 

发表评论

最新评论

引用 华光倾城 2017-5-4 09:23
完全听不懂
引用 doubletosun 2017-3-15 18:51
加油加油,好好学习
引用 52525 2016-10-7 15:17
好东西,大家学习一下
引用 myloveyou200 2015-12-23 09:48
还是求助万能的T&B吧,搜 CrypToWall 4.0 文件解密恢复,应该对大家有所帮助!
引用 1505004938 2015-8-13 15:02
我的就被加密了。。。
引用 okeyLiu 2015-7-9 22:33
哦哦,哦哦!你能懂我现在的心情!

查看全部评论(6)

返回顶部
澳门银河官网 澳门银河手机版 澳门银河官网下载 澳门银河mg app下载 澳门银河软件下载地址 澳门银河网上娱乐 澳门银河娛樂城 澳门银河赢钱攻略 澳门赌场银河 澳门银河在线赌场 澳门银河网上赌场 澳门银河线上娱乐 澳门银河娱乐平台 澳门银河官网网址导航 澳门银河娱乐 澳门银河娱乐手机版 澳门银河娱乐平台登录 澳门银河娱乐平台手机版 澳门银河线上娱乐场 澳门银河在线娱乐场 澳门银河娱乐场靠谱吗 澳门银河赌城官方网站 澳门银河娱乐场是真的吗 澳门银河娱乐场客户端下载 澳门银河娱乐场在线官方网址 澳门银河娱乐场官网网址是多少 澳门银河娱乐场线路检测 澳门银河娱乐场网站打不开怎么办 澳门银河娱乐场网页游戏 澳门银河娱乐场官方网站电话 澳门银河娱乐场官网直营 澳门银河赌城手机版 澳门银河娱乐场网站手机版 澳门银河娱乐场手机客户端 澳门银河娱乐场电子游戏网址 澳门银河线上娱乐平台 澳门银河娱乐场登陆网址 澳门银河在线娱乐 澳门银河国际娱乐 澳门银河手机棋牌游戏下载 银河澳门官网 澳门银河娱乐场备用网址 澳门银河娱乐场备用网站 澳门银河娱乐场手机版注册 澳门银河娱乐场苹果版下载 澳门银河娱乐场安卓版下载 澳门银河娱乐场网址是多少 澳门银河娱乐场可靠吗 澳门银河娱乐场可信吗 澳门银河娱乐场信誉怎么样 澳门银河赌博网站 澳门银河娱乐场投注网站 澳门银河娱乐场怎么下载到手机 澳门银河娱乐场开户送28彩金 澳门银河娱乐场注册送18彩金 澳门银河娱乐场博彩app 澳门银河娱乐场手机app下载网址 澳门银河娱乐场下载app 银河娱乐场官网 银河娱乐场手机版 银河娱乐场官网下载 银河网上娱乐 银河娛樂城 银河娱乐场赢钱攻略 银河在线赌场 银河网上赌场 银河线上娱乐官网 银河娱乐平台 银河娱乐场官网网址导航 银河娱乐手机版 银河娱乐平台登录 银河娱乐平台手机版 银河线上娱乐场 银河在线娱乐场 银河娱乐场靠谱吗 银河赌城官方网站 银河娱乐场是真的吗 银河娱乐场客户端下载 银河在线官方网址 银河娱乐场官网网址是多少 银河娱乐场线路检测 银河娱乐场网页游戏 银河娱乐场官方网站电话 银河娱乐场官网直营 银河娱乐场网站手机版 银河赌城手机版 银河娱乐场手机客户端 银河线上娱乐平台 银河娱乐场登陆网址 银河线上娱乐 银河在线娱乐 银河国际娱乐场 银河娱乐场备用网址 银河娱乐场手机版注册 银河娱乐场网址是多少 银河娱乐场可靠吗 银河娱乐场信誉怎么样 银河赌博网站 银河投注网站 银河娱乐场手机app下载网址 澳门美高梅 澳门美高梅手机版 澳门美高梅官网下载 澳门美高梅mg app下载 澳门美高梅软件下载地址 澳门美高梅网上娱乐 澳门美高梅娛樂城 澳门美高梅赢钱攻略 澳门赌场美高梅 澳门美高梅在线赌场 澳门美高梅网上赌场 澳门美高梅线上娱乐 澳门美高梅娱乐平台 澳门美高梅官网网址导航 澳门美高梅娱乐 澳门美高梅娱乐手机版 澳门美高梅娱乐平台登录 澳门美高梅娱乐平台手机版 澳门美高梅线上娱乐场 澳门美高梅在线娱乐场 澳门美高梅靠谱吗 澳门美高梅赌城官方网站 澳门美高梅平台是真的吗 澳门美高梅客户端下载 澳门美高梅在线官方网址 澳门美高梅官网网址是多少 澳门美高梅线路检测 澳门美高梅网站打不开怎么办 澳门美高梅网页游戏 澳门美高梅官方网站电话 澳门美高梅官网直营 澳门美高梅网站手机版 澳门美高梅赌城手机版 澳门美高梅手机客户端 澳门美高梅电子游戏网址 澳门美高梅线上娱乐平台 澳门美高梅登陆网址 澳门美高梅在线娱乐 澳门美高梅国际娱乐 澳门美高梅手机棋牌游戏下载 美高梅澳门官网 澳门美高梅博彩app 澳门美高梅备用网站 澳门美高梅备用网址 澳门美高梅手机版注册 澳门美高梅苹果版下载 澳门美高梅安卓版下载 澳门美高梅网址是多少 澳门美高梅可靠吗 澳门美高梅可信吗 澳门美高梅信誉怎么样 澳门美高梅赌博网站 澳门美高梅投注网站 澳门美高梅怎么下载到手机 澳门美高梅开户送28 澳门美高梅注册送18 澳门美高梅手机app下载网址 澳门美高梅娱乐场下载app 美高梅官网 美高梅手机版登录网址 美高梅官网app下载 美高梅软件下载地址 美高梅网上娱乐 美高梅娛樂城 美高梅赢钱攻略 美高梅在线赌场 美高梅网上赌场 美高梅线上娱乐 美高梅手机版 美高梅官网网址导航 美高梅娱乐 美高梅娱乐手机版 美高梅娱乐平台登录 美高梅娱乐平台手机版 美高梅线上娱乐场 美高梅在线娱乐场 美高梅网址大全 美高梅赌城官方网站 美高梅客户端下载 美高梅在线官方网址 美高梅官网网址是多少 美高梅线路检测 美高梅网站打不开怎么办 美高梅网页游戏 美高梅官网直营 美高梅网站手机版 美高梅赌城手机版 美高梅手机客户端 美高梅登陆网址 美高梅在线娱乐 美高梅国际娱乐 美高梅手机棋牌游戏下载 美高梅手机版注册 美高梅网址是多少 美高梅信誉怎么样 美高梅赌博网站 美高梅投注网站 美高梅怎么下载到手机 美高梅手机app下载网址 美高梅娱乐场下载app