Анализ вымогателя Trojan.MBRlock.17

[thyrex]

Добавил парочку встречавшихся 5-значных паролей

 

[thyrex]

Утилита для получения кодов разблокировки обновилась

 

[thyrex]

Появилась модификация блокировщика, в которую добавлен один байт $90 в первой половине кода. Используется пароль длиной 13 символов

Примеры:
http://forum.kaspersky.com/index.php?showtopic=225211
http://forum.kaspersky.com/index.php?showtopic=225132

Утилита обновлена

 

[thyrex]

Появилась новая модификация, в которой изменилась процедура генерации хэша пароля

Спойлер: что изменилось

00DD: 56		 push	 si
00DE: BE006C		 mov	 si,06C00
00E1: B90900		 mov	 cx,[B][COLOR="blue"]9[/COLOR][/B]    ; <== это длина кода разблокировки (может отличаться у разных пользователей)
00E4: 31D2		 xor	 dx,dx
; == начало изменений ==
[B][COLOR="SeaGreen"]00E6: C1CA03		 ror	 dx,3
00E9: 42		 inc	 dx[/COLOR][/B]
; == конец изменений ==
00EA: AC		 lodsb
00EB: 30C2		 xor	 dl,al
00ED: E2F7		 loop	 000E6
00EF: 5E		 pop	 si
00F0: 81FA094A	 	 cmp	 dx,[B][COLOR="Red"]04A09[/COLOR][/B]    ; <== это хэш кода разблокировки (может отличаться у разных пользователей)

Утилита по подбору кода обновлена и будет скоро выложена, но при этом уже прошла испытание

 

[akok]

Уже залита: uMBRunlock


Тема обсуждения утилиты