月贝佳育儿网

Petya昨日重现：Bad Rabbit病毒分析

　　近日，360互联网安全中心检测到一款名为“Bad Rabbit”的新型者木马在东欧为主的各个国家和地区开始。

　　用户一旦上当，便会下载回来一个图标和文件名全面装成Flash的安装包，但该程序实际上却是一个者木马：

　　木马执行后，会先infpub.dat文件，该文件是一个动态链接库程序。生成后会调用系统的rundll32调用该库的1号函数执行：

　　完dispci.exe后，会通过写入计划任务的方式定时重启机器以及在重启后让系统去执行该dispci.exe程序：

　　而这个dispci.exe在重启之后会创建一个名为cscc.dat的驱动程序并与之通信，驱动的功能则和之前曾大规模爆发的Petya相似——通过修改系统引导和MBR的方式劫持开机启动：

　　一旦驱动修修改系统引导和MBR，会再次重启系统。而这次系统重启后，被加密的就不仅仅是你的文件了：

　　无论是Mimikatz还是弱口令字典，一旦木马成功获取到了局域网内其他机器的登录口令，便会通过获取到的登录口令登录对方机器，再将木马放置到对方机器上启动服务执行木马：

　　如果用该方法远程启动失败，木马还会再尝试wmi的远程命令以图让木马能够进一步在局域网中扩散：

　　推荐：