🥇如果你逃跑，你就逃跑了女王：Varonis 調查快速傳播的「SaveTheQueen」勒索軟體

新的勒索軟體會加密檔案並為其新增「.SaveTheQueen」副檔名，並透過 Active Directory 網域控制站上的 SYSVOL 系統網路資料夾進行傳播。

我們的客戶最近遇到了這種惡意軟體。下面我們展示我們的完整分析、結果和結論。

發現

我們的一位客戶在遇到一種新的勒索軟體後聯繫了我們，該勒索軟體會將「.SaveTheQueen」擴展名添加到他們環境中的新加密檔案中。

在我們的調查中，或者更準確地說，在尋找感染源的階段，我們發現感染者的分佈和追蹤是使用 網路資料夾 SYSVOL 在客戶的網域控制器上。

SYSVOL 是每個網域控制站的關鍵資料夾，用於傳送群組中的電腦群組原則物件 (GPO) 以及登入和登出腳本。此資料夾的內容會在網域控制站之間複製，以在組織的網站之間同步此資料。寫入 SYSVOL 需要很高的網域權限，但一旦被破壞，此資產就會成為攻擊者的強大工具，攻擊者可以利用它在網域內快速有效地分發惡意負載。

Varonis 審計鏈有助於快速識別以下內容：

受感染的使用者帳戶在 SYSVOL 中建立了一個名為「hourly」的文件
在 SYSVOL 中建立了許多日誌檔案 - 每個都以網域設備命名
許多不同的 IP 位址每小時存取該文件

我們得出結論，日誌檔案用於追蹤新裝置上的感染進度，並且「每小時」是一項排程任務，使用 Powershell 腳本在新裝置上執行惡意軟體負載 - 樣本「v3」和「v4」。

攻擊者可能取得並使用網域管理員權限將檔案寫入 SYSVOL。在受感染的節點上，攻擊者執行 PowerShell 程式碼，建立排程任務來開啟、解密和執行惡意軟體。

解密惡意軟體

我們嘗試了幾種方法來解密樣本，但都沒有成功：

當我們決定嘗試宏偉的“魔法”方法時，我們幾乎準備好放棄了
公用事業網路廚師作者為 GCHQ。「魔術」透過嘗試不同加密類型的密碼並測量熵來猜測檔案的加密。

譯者註 看微分熵 и 資訊理論中的熵。本文和評論並未提供作者對第三方或專有軟體中使用的方法的細節的任何討論。

Magic 確定使用了具有 base64 編碼的 GZip 打包器，這使我們能夠解壓縮檔案並找到注入程式碼。

滴管：“這地方疫情了！全民接種疫苗。口蹄疫。”

該投放器是一個沒有任何保護的常規 .NET 檔案。閱讀原始碼後使用 DNSpy 我們意識到它的唯一目的是將 shellcode 注入 winlogon.exe 進程。

Shellcode 或簡單複雜性

我們使用了 Hexacorn 的工具 - shellcode2exe 以便將shellcode「編譯」成可執行文件，以便進行偵錯和分析。然後我們發現它可以在 32 位元和 64 位元機器上運行。

用本機彙編翻譯編寫即使是簡單的 shellcode 也很困難，但編寫在兩種類型的系統上運行的完整 shellcode 需要高超的技能，因此我們開始對攻擊者的複雜性感到驚訝。

當我們使用以下程式碼解析編譯後的 shellcode 時 x64dbg，我們注意到它正在加載 .NET 動態程式庫 ，例如 clr.dll 和 mscoreei.dll。這對我們來說似乎很奇怪——通常攻擊者會嘗試使 shellcode 盡可能小，呼叫本機 OS 函數而不是載入它們。 為什麼有人想要在 shellcode 中嵌入功能？ Windows而不是直接根據請求呼叫？

事實證明，惡意軟體的作者根本沒有編寫這個複雜的 shell 程式碼——專門用於此任務的軟體用於將可執行檔和腳本轉換為 shell 程式碼。

我們找到了這個工具油炸圈餅，我們認為它可以編譯類似的shellcode。以下是來自 GitHub 的描述：

Donut 可以從 VBScript、JScript、EXE、DLL（包括 .NET 組件）產生 x86 或 x64 shellcode。此 shellcode 可以注入到任何進程中。 Windows 表演
RAM。

為了證實我們的理論，我們使用 Donut 編譯了我們自己的程式碼並將其與樣本進行了比較 - 是的，我們發現了所使用的工具包的另一個組件。在此之後，我們能夠提取和分析原始的.NET 可執行檔。