一、概述

二、样本功能分析

创建注册表项 HKCU\\SOFTWARE\\Medusa，设置键Name值为当前进程执行文件名

接着会生成AES加密秘钥，并且将秘钥通过内置的RSA公钥加密后拼接上加密后的文件后缀（.encrypted18）RSA加密后的结果生成用户ID。生成的用户ID最终会被写入到勒索信和加密后的文件中，用于攻击者解密时使用。

下一步样本会先拷贝自身到%AppData%\\Roaming目录下，并且重命名为svchostt.exe

并且创建定时任务每隔15分钟执行拷贝后的样本

接着样本会停止以下服务，其中包括数据库相关服务、安全相关服务、虚拟化相关服务等

wrapper、DefWatch、ccEvtMgr、ccSetMgr、SavRoam、sqlservr、sqlagent、sqladhlp、Culserver、RTVscan、sqlbrowser、SQLADHLP、QBI、DPService、Intuit.QuickBooks.FCS、QBCFMonitorService、sqlwriter、msmdsrv、tomcat6、zhudongfangyu、SQLADHLP、vmware-usba、rbitator64、vmware-converter、dbsrv12、dbeng8

并且尝试结束以下进程，其中包括数据库相关进程、安全相关进程等

wxServer.exe、wxServerView、sqlservr.exe、sqlmangr.exe、RAgui.exe、supervise.exe、Culture.exe、RTVscan.exe、Defwatch.exe、sqlbrowser.exe、winword.exe、QBW32.exe、QBDBMgr.exe、qbupdate.exe、QBCFMonitorService.exe、axlbridge.exe、QBIDPService.exe、httpd.exe、fdlauncher.exe、MsDtSrvr.exe、tomcat6.exe、java.exe、360se.exe、360doctor.exe、wdswfsafe.exe、fdlauncher.exe、fdhost.exe、GDscan.exe、ZhuDongFangYu.exe

还会执行以下命令，关闭系统恢复和启动错误处理功能，同时清理系统备份和卷影副本数据

bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures

wbadmin DELETE SYSTEMSTATEBACKUP

wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest

wmic.exe SHADOWCOPY /nointeractive

并且还会清空回收站

修改系统注册表中EnableLinkedConnections的值为1，共享网络驱动

在执行加密文件前，提前配置了不执行加密操作的文件目录，包括以下目录：

带$的文件和文件夹不加密

%ALLUSERSPROFILE%

%USERPROFILE%\\AppData

%ProgramData%

%WINDIR%

%PROGRAMFILES(x86)%

%SYSTEMDRIVE%\\Program Files

%SYSTEMDRIVE%\\AppData

%SYSTEMDRIVE%\\Application Data

%SYSTEMDRIVE%\\intel

%SYSTEMDRIVE%\\nvidia

%SYSTEMDRIVE%\\Users\\All Users

%SYSTEMDRIVE%\\Windows

%SYSTEMDRIVE%\\Program Files\\Microsoft\\Exchange Server

%SYSTEMDRIVE%\\Program Files (x86)\\Microsoft\\Exchange Server

%SYSTEMDRIVE%\\Program Files (x86)\\Microsoft SQL Server

三、文件加密

通过分析得知样本不加密勒索信文件和以下后缀名称的文件

.exe

.dll

.sys

.ini

.lnk

.rdp

.encrypted

.encrypted18

并且会对不同类型的文件采用不同的加密方式

过滤类型的文件不加密

以.sql和.mdf后缀结尾的数据库文件，采用全量加密，不管文件大小，加密全部文件数据

其他类型的文件，如果文件大小不大于16MB，则全量加密，否则只加密前16MB大小的数据，其余数据则选择不加密

加密完文件数据后，会在后面添加上述中提到过的ID值，再添加上0x18的数据，其中包括原本文件大小、加密方式等

四、防护建议

    1.及时修复系统漏洞，做好日常安全运维。

    2.采用高强度密码，杜绝弱口令，增加勒索病毒入侵难度。

    3.定期备份重要资料，建议使用单独的文件服务器对备份文件进行隔离存储。

    4.加强安全配置提高安全基线，例如关闭不必要的文件共享，关闭3389、445、139、135等不用的高危端口等。

    5.提高员工安全意识，不要点击来源不明的邮件，不要从不明网站下载软件。

    6.选择技术能力强的杀毒软件，以便在勒索病毒攻击愈演愈烈的情况下免受伤害。

IOC