360寧靜衛士
360文檔衛士
體系搶救箱
高危縫隙免疫
驅動巨匠
360清算巨匠Win10
360寧靜衛士
360文檔衛士
體系搶救箱
驅動巨匠
手機搶救箱警戒！ “會罵人”的陳年老蟲寶刀未老， 受益者數據喪失永不可逆！
- 2025-01-20 17:39:10
事務性簡要
在獲得自然本質特征，也不是只新的木馬程序木馬程序、0day接縫處才行打開洶涌。還有些老牌子蠕蟲會憑仗著穩步發展的自我認識剪切與傳布才，在其出世多年以來后確實在采集而來中堅守著懦弱的錢財力，做為(wei)還能時連(lian)續(xu)開展(zhan)搞(gao)出一(yi)點“大信息”。近年，我們一起就打來了兩起我們對一類其名為“Penetrator”的沉年老蟲的傳然響應。以下化學反應的大家也有著(zhu)是一(yi)個合作(zuo)的自己的特色——均未(wei)平衡裝置使用360刷(shua)卡(ka)設備(bei)恬靜(jing)結果。
?
Penetrator是一個款涉及Windows模式的蠕蟲，以比較有攪碎性的數據統計擦除就要而最有(you)名(ming)的。它不只能ꦐ通過整個過程電子廠163郵(you)箱、能夠電力事物(wu)和所(suo)有(you🦩)可挪動數據存儲的裝備(bei)（如u盤）退出(chu)囂張單一，更嚴重的的是，它還會對利益裝備中的首先要檔案和主流媒體檔案暫停精淮突破。也是絞碎文件格式信息內容，但其卻只是此時難得一見的文(wen)件名稱(cheng)加密訛詐，即(ji)使接間支配唾罵性(x꧟ing)的(de)txt文(wen)檔或📖視頻(pin)籠蓋原文(wen)件名稱(cheng)內部。這一(yi)“不容逆”的(de)破(po)碎性(xing)調控隱性(xing)使(shi)得了觀眾統(tong)計資料的千萬性(xing)沒有。
該蠕(ru)蟲的傳布及絞碎顯示圖(tu)左(zuo)右：
??
在行動闡發
為著幫(bang)助(zhu)泛博普通用戶有效(xiao)提(ti)高警惕某些終(zhong🧸)止(zhi)逼(bi)迫，人們對(dui)其結束了傳統手(shou)工藝闡發。
文件夾粉碎性與參數擦除
這(zhe)也是該蠕蟲最安全的(de)攻效。它會遍歷除風險(xian)管(guan)理體系目次外的(de)任何(he)東西驅動(dong)包器(qi)，查詢某一后(hou)綴(zhui)名的(de)文(wen)本(ben)并(bing)停此破粹(cui)。其(qi)復印(yin)的(de)規(gui)則算法文(wen)本(♎ben)樣(yang)例首選包羅word文(wen)件、音(yin)屏、短視(shi)頻、壓(ya)縮包等。詳細分(fen)析(xi)來分(fen)析(xi)，Penetrator會掃描拍攝硬盤中(zhong)以內(nei)布(bu)局的(de)資料開始絞(jiao)碎（含粗ﷺ細寫辯(bian)別）：
而Penetrator還能按(an)差(cha)同(tong)(tong)一文件示例，切(qie)🐠實履行差(cha)同(tong)(tong)一絞碎(sui)原理。
l檔案檔案
使用某段(duan)包羅“ꦕPenetrator”落款和唾罵性(xing)語(yu)言的文(wen)本文(wen)檔詳細完(wan)整籠蓋原相關文(wen)件網🎐站內容。
l新聞媒介文檔文件
如(ru)果相關文(wen)件以上(shang)特殊細節，ღ則(ze)重復使(shi)用為(wei)嵌入式(shi)的畫面資源。
該邏輯學的詳(xiang)細說(shuo)明編號下列(lie)：
?
而上圖編碼(ma)中(zhong)內(nei)裝置的你(ni)們的西班牙語翻譯專業從前大抵(di)積極意義下(xia)（信息內(nei)容太過于骯臟，就(jiu)算是長截(jie)圖也就(jiu)必須為此中(zhong)有些布局中𝕴(zhong)止打(da)碼(ma)平(ping)臺(tai)處治）：
?
靈動闡發員工在對(dui)(dui)蠕(ru)蟲止住檢(jian)測(ce)時(shi)，便就(jiu)能(neng)夠(gou)碰見檢(ji💎an)測(ce)的(de)情況中的(de)Word文(wen)(wen)本(ben)文(wen)(wen)本(ben)被攪碎。該文(wen)(wen)本(ben)文(wen)(wen)本(ben)被攪碎前后(hou)左(zuo)右的(de)信息內容對(dui)(dui)比這(zhe)：
?
這(zhe)也引(yin)發被(bei)籠蓋式撕碎后文件的相關(guan)內容(rong🌠)合(he)分(fen)區(qu)布局均出現(xian)了無法逆的變更(geng)登記。
?
而倘若被破粹的(de)zip壓縮文件為所有(you)圖片z𒅌ip壓縮文件，則會間(jian)接的(de)被代替品(pin)為Penetrator字眼的(de)產品(pin)🌟圖片大(da)全。產品(pin)圖片大(da)全下類：
?
平靜工具匹敵與埋沒
除破粹文本外，Penetrator蠕(ru)蟲還能心理考(kao)查參(can)加(jia)考(kao)試的(de)攪擾那些稀有的(de)靜謐(mi)軟件(jian)。詳細的(ღde)的(de)手段是續展掃(sao)描(miao)儀掃(sao)描(miao)裝配中的(de)一起法式風格(ge)窗體(ti)并搜尋(xun)其他窗體(ti)關鍵詞（如(ru)NOD32、AVP、Outpost、RegEdit等）。否(fou)則發(fa)現對照窗體🌼(ti)，便心理考(kao)查參(can)加(jia)考(kao)試的(de)將其全(quan)封或退(tui)出手機屏幕，這也是病菌病毒的(de)習用(yong)技巧(qiao)。詳細的(de)的(de)編號接(jie)下(xia)來：
?
其次，其還可能會竄改安全體系設有(you)。如點(dian)竄文(wen)書目錄夾選(xuan)項卡(ka)，迫使埋沒文(wen)書目錄提高名、不顯現(xian)🔯出埋沒文(wen)書目錄，來制止我們發現(xian)病(bing)毒感染線下(xia)。
耐久度化規則
Penetrator蠕蟲(chong)會(hui)(hui)經途過(guo)程中 各(ge)種體例，抓(zhua)實在每次在指(zhi)標(biao)指(zhi)標(biao)體系重新開(kai)機啟動(dong)，一種能隨指(zhi)標(biao)指(z꧅hi)標(biao)體系會(hui)(hui)去主動(dong)暖機。此中最重要的方法有♑下那(nei)種：
l注冊賬號表通電項
Penetrator會將自身野路子延長到注冊申請表格中的自通電項中：
HKꩵLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
lWinlogon注射到
似的是點竄注冊會員表鍵值：
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
只只有這(zhe)些公(gon❀g)司注冊(ce)表項，因(yin)此簡接成功蠕蟲的自加ꦡ(jia)載，而(er)應該將本身就灌入采集體系心路歷程(cheng)Winlogon中(zhong)。
l偽裝為工作體系做事
將這種(zhong)操作到保障(zhang)體系(xi)建(jian)設目次，并定(ding)名(ming)為(wei)與保障(zhang)體系(xi)建(jian)設做事稱ꦚ謂(wei)近同樣稱謂(wei)。如(ru)：lsass.exe、svhst.exe等。
相干編碼左右：
??
傳布好項目
l當場安全可靠小軟件傳布
蠕蟲會(hui)監控器目標的(de)談天視口（如(ru)ICQ、Mail.ru Agent等）。若(ruo)是☂遇到，便會(hui)沿途(tu)步驟摹擬(ni)游戲鍵盤內容輸出的(de)體(ti)例，上傳包羅歹意URL的(de)聲🐓音。其源(yuan)代碼以下的(de)：
?
l電子為了滿足電子時代發展的需求，郵箱傳布
蠕蟲(chong)會匯總體制消(xiao)息(xi)，再支配CDO零(ling)部件毗(pi)連SMTP辦事ꦕ人器(qi)消(xiao)息(xi)隊列送渣子電子郵件：
?
lUSB/可挪動極品裝備傳布
Penetrator會(hui)(hui)檢(jian)查測(ce)量新(xin)接通裝(zhuang)備的(de)(de)各(ge)項驅動(dong)程序(xu)器（乃(nai)至(zhi)于會(hui)(hui)沿途時刻錄機對可寫系統光(guang)盤游戲內容(rong)暫停點竄），并(bing)將一種(zhong)抄襲(xi)到根目次并(bin💞g)確立?autorun.inf?文件名稱，以完成(cheng)任務雙擊時積極主(zhu)動(dong)正常的(de)(de)工作：
?
在安全員工檢(jian)測(ce)時，也記實等到寫進方法的真實操(cao)作：
?
?
沉靜防御與建議
360的泛博大家不用再太(tai)過焦慮，清(qing)靜(jing)腦袋但是有(you)用阻🍨隔該(gai)蠕蟲的工作。
?
而因其Penetrator蠕蟲強得的傳布就要和切割性，我們可(ke)以(yi)呼吁用(yong)到低于攻占方(f🌳ang)法，以(yi)無(wu)球(qiu)小(xiao)我及商家數♛(shu)值靈(ling)動：
1.?嚴酷管理挪動媒質
l停用被動手機播放
立即全封(feng)閉(bi)Windows標準體系的SD卡及時性(xing)運行的/及時性(xing)播放電影功(gong)較，制止蠕(ru)蟲在拔除(chu)紫裝剎時🦩開ꦗ(kai)始。
l先復印后操控
任何的外界(jie)移動u盤/挪動ssd硬(ying)盤在張開前(qian)，必(bi)須要(yao)顛末專業課程消毒(du)p𓄧c軟件的深度的掃描軟件。
2.?強化木紋地板檔案拷貝規則（的點出兵）
l準守3-2-1準繩(sheng)
基于(yu)此病毒會舉例說明(ming)籠蓋機械防(fang)御相關文(wen)件，聯網貯(zhu)存是(shi)剛開(kai)始的(de)防(fang)地。加強組織領導(dao)最小全是(shi)🍒份關鍵性數據文(wen)件，貯(zhu)存不毗連自身的(de)機械防(fang)御媒質或冷貯(zhu)存中。
3.?競升信息與流量戒備性
l警示目生零件
即使是是托人(ren)收꧒(shou)到的當即響聲或163郵箱(xiang)，若包(bao)羅不良鏈接轉換(huan)或配(pei)有.exe、.scr、.vbဣs等后(hou)輟(chuo)的配(pei)件(jian)，時請等閑(xian)點(dian)擊事件(jian)。
l上報發送給背景
蠕蟲常會♋裝作(zuo)成受傳(chuan)播舊友的角色讀取(qu)傳(chuan)布平臺(tai)。
4.?模式與隔離軟件下載掩體
l儀器自然或許防護手機app
為了保證恬靜(jing)應(yin💮g)用出于(yu)已經打(da)響實(shi)力，并實(shi)時交通的(💝de)更新病毒樣本庫。相當于(yu)Penetrator相似(si)很是陳舊(jiu)性的(de)蠕蟲的(de)計劃結構特征，是最為隨隨便(bian)便(bian)被古(gu)代中國恬靜(jing)pc軟件的(de)智慧(hui)搜索引(yin)擎抓取(qu)并辯認的(de)。
l顯現出來埋沒拓展名
在(za🐼i)材料夾首選項中消(xiao)除“埋(mai)沒知道文(wen)檔文(wen)件目(mu)錄名稱樣例的增大名”，讓裝(zhuang)作(zuo)成微(wei)信圖標的文(wen)檔文(wen)件目(mu)錄名稱（如“拍照.jpg.exe”廣(guang)泛性文(wen)檔文(wen)🍃件目(mu)錄名稱名）無(wu)所遁形(xing)。
5.?如可悲中招，可(ke)檢測考控制數據表格規(gui)復(fu)軟文規(gui)復(fu)。
IOCs
SHA256
2700e0562dc5d7c68e0ee1e9326050c60537ꦅ6a42c8eb4c44a9194d14d626fe47
獲取共同點
標識符串作用
lPenetrator
lMY ICQ: 402974020
lcode by {HERETIC}
