概述

日前勒索病毒猖獗，勒索病毒种类层出不穷，持续监测勒索病毒中发现了Buran勒索利用.IQY文件下发PayLoad的新变种。IQY文件允许从一个.ASP网页检索并导入到Microsoft Excel中。此次捕获的样本就是利用IQY文件从服务器请求脚本数据从而下载并执行后续PayLoad。

样本分析

IQY文档分析

IQY文本文件内容如下：

打开之后会从服务器获取的数据为脚本命令：

负责从服务器请求1.exe释放到Temp目录并执行。

PayLoad分析

从服务器下载的样本参考编译时间为2019年10月15号:

进程启动之后会清空当前进程映射到的内存地址，随后将真正要执行的代码拷贝到主进程之前映射到的地址来重新执行OEP，Dump内存中的PE文件发现该PE为Delphi编写。

Delphi PayLoad分析：

参考编译时间为2019年11月13日。     

启动之后程序会判断当前参数个数，根据不同参数个数执行不同流程。

不带参数分析：

当不带参数启动之后会获取当前系统国家是否为Ukraine、Belorussia、Kazakhstan或者Russian Federation，如果是其中一个则直接退出进程：

随后会在当前路径下释放一个后缀为.zeppelin的文件并写入1个字节，内容为0×00的数据，然后调用DeleteFileW删除该文件，如果删除失败则调用ExitProcess退出进程，此举应该是测试当前进程是否能够读写删除文件，以便判断后续是否能够加密文件：

尝试打开注册表，如果打开注册表失败随后还会创建并写入注册表：

创建并写入注册表，注册表项为Software\Zeppelin：

枚举进程信息：

将当前进程拷贝到C:\Users\cmm\AppData\Roaming\Microsoft\Windows\vmacthlp.exe，在拷贝之前尝试先删除vmacthlp.exe:

通过注册表\Run设置开机启动：

通过ShellExecute指定参数“-start”重新启动进程：

随后会检查Offset_373C地址的值如果不为空，并检查参数中是否带有“-start”，如果条件都不成立则会创建一个进程，通过创建远程线程执行写入的一段ShellCode来删除文件：

ShellCode代码为删除自身文件并退出进程：

带参数“-start”部分分析：

带参启动之后实际动作会在offset_D074的位置检查是否有参数“-start”，如果由上面的创建进程执行ShellCode改为如下动作：

将生成的密钥经Base64编码之后保存到注册表：

查询“knock”注册表的数据：

如果查不到数据或者查到的数据不等于666则会解密出一个URL：

将木马版本以及用户ID拼接到Http头中发送到服务器中：

如果服务器有响应还会从服务器读取数据：

通信完成之后创建“Knock”并写入数值0x29A：

循环获取网络资源数据：

从Z盘开始递减循环调用GetDriverType获取磁盘信息：

调用CreateProcess带参“-agent 0”重新启动该进程：

随后会对该进程进行提权，提到SeDebugPrivilege权限：

循环创建CMD进程指定参数，具体参数如下图：

命令列表如下：

等待创建的子进程结束完成：

线程结束之后则会枚举文件，将枚举到的文件数据保存在链表中，随后初始化种子：

生成种子的逻辑与旧版本相同，勒索方式为RAS+AES方式：

生成密钥也与旧版本相同：

加密完数据之后，利用MoveFile替换原文件：

修改文件时间及属性：

枚举之前加密的文件目录下是否有指定提示文件，如果没有则创建一个：

写入勒索内容：

内容如下，用户ID发生了改变，联系邮箱也不同了：

勒索完成之后会清空之前保存的数据：

清空开机启动项：

枚举并删除保存密钥的注册表：

创建子进程，注入一段shellcode用来删除自身文件：