U盘拷贝者MBR勒索木马技术分析与防御指南

一、木马概述

U盘拷贝者MBR勒索木马是一款伪装成U盘拷贝工具的恶意软件，其主要特点如下：

• 传播时间：2017年7月15日开始大规模传播
• 传播渠道：通过各大下载站点（如xdowns绿盟、联盟下载站、吾爱破解论坛等）分发
• 伪装方式：提供正常的U盘拷贝功能，但在软件退出时执行恶意操作
• 攻击目标：修改主引导记录(MBR)，锁定用户系统

二、技术分析

1. 工作流程

1. 用户运行程序，进行正常的U盘拷贝功能配置
2. 软件退出时触发恶意代码
3. 加密并修改MBR
4. 系统重启后显示勒索界面

2. MBR加密机制

1. 密钥生成：

   • 使用硬编码字符串"wwe100"
   • 通过异或运算生成密钥字符T：v = 0, v ^= k[i]

2. 加密过程：

   • 读取原始MBR内容
   • 使用密钥T对MBR进行异或加密
   • 将加密后的MBR写入磁盘第三个扇区
   • 将伪造的MBR写入第一个扇区（原始MBR位置）

3. 勒索机制

1. 勒索界面：

   • 系统重启后执行伪造的MBR
   • 显示勒索信息，要求输入密码

2. 密码验证：

   • 通过int 16h中断获取用户输入
   • 检查输入前三个字符是否为"WWe"
   • 如果不是则循环要求重新输入
   • 如果是则继续处理后续输入

3. 解密机制：

   • 对"WWe"后的输入内容采用与加密相同的异或计算方式
   • 正确解密密钥应为"wwe100"
   • 解密后恢复原始MBR

4. 密码破解方法

由于加密/解密使用相同的异或算法，以下密码均可用于解密：

• WWewwe100
• WWewwe10011（任何两两相同的附加字符均可）

重要缺陷：只要输入以"WWe"开头，无论后续内容如何，程序都会尝试解密。如果输入错误密码，可能导致MBR损坏，系统无法启动。

三、传播与溯源分析

1. 传播途径

• 下载站点：xdowns绿盟、联盟下载站、吾爱破解论坛等
• 传播策略：
  • 利用用户对U盘内容窃取工具的需求
  • 上传前使用哈勃分析系统获取"无毒"报告
  • 短时间内多平台同步发布

2. 作者溯源线索

1. 直接信息：

   • QQ号：21****8020（搜索受限）
   • 邮箱：h****8020@qq.com（验证有效）

2. 间接线索：

   • 电脑账户名：wwe（与加密关键字关联）
   • 开发路径包含：www.newxing.com
   • 百度网盘账户：讨厌丶丶和175***856
   • 可能的姓名：董X
   • 电话：182XXXX4296

3. 行为模式：

   • 习惯使用哈勃扫描后再发布工具
   • 曾访问赚钱网站，寻求"刷流量软件全自动挂机"方法
   • 在多个平台同步发布工具

四、防御措施

1. 预防措施

1. 下载安全：

   • 仅从官方或可信来源下载工具
   • 警惕提供"特殊功能"（如U盘内容窃取）的工具
   • 检查文件数字签名和用户评价

2. 系统防护：

   • 启用UAC并谨慎处理提权请求
   • 安装可靠的安全软件，保持更新
   • 定期备份重要数据和系统镜像

3. 安全意识：

   • 不运行来源不明的可执行文件
   • 警惕功能过于"诱人"的工具

2. 应急处理

1. 已感染处理：

   • 使用正确密码解密：WWewwe100
   • 若密码无效，尝试使用WinPE启动并修复MBR
   • 最后手段：重装系统

2. MBR修复方法：

   • 使用Windows安装盘进入恢复环境
   • 执行命令：bootrec /fixmbr和bootrec /fixboot
   • 或使用第三方MBR修复工具

五、技术启示

1. 安全分析局限性：

   • 动态分析可能遗漏延时触发的恶意代码
   • 静态分析需结合多维度特征检测

2. 恶意软件发展趋势：

   • 功能正常+恶意负载的组合模式
   • 利用用户心理弱点进行传播
   • 针对系统关键部位（如MBR）的攻击

3. 防御建议：

   • 安全厂商应加强对MBR修改行为的监控
   • 下载站点需加强文件审核机制
   • 用户应建立"最小特权"使用习惯

六、法律后果

本案中犯罪嫌疑人已被江西九江警方刑拘，根据中国《刑法》相关规定，制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行的行为将面临刑事处罚。

本分析报告基于百度安全实验室的研究成果，结合公开技术资料整理而成，旨在提高网络安全意识，促进技术交流。请勿将所述技术用于非法用途。