Yara 规则:

rule win_medusa_auto {

    meta:
        author = "Felix Bilstein - yara-signator at cocacoding dot com"
        date = "2023-07-11"
        version = "1"
        description = "Detects win.medusa."
        info = "autogenerated rule brought to you by yara-signator"
        tool = "yara-signator v0.6.0"
        signator_config = "callsandjumps;datarefs;binvalue"
        malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.medusa"
        malpedia_rule_date = "20230705"
        malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41"
        malpedia_version = "20230715"
        malpedia_license = "CC BY-SA 4.0"
        malpedia_sharing = "TLP:WHITE"

    /* DISCLAIMER
     * The strings used in this rule have been automatically selected from the
     * disassembly of memory dumps and unpacked files, using YARA-Signator.
     * The code and documentation is published here:
     * https://github.com/fxb-cocacoding/yara-signator
     * As Malpedia is used as data source, please note that for a given
     * number of families, only single samples are documented.
     * This likely impacts the degree of generalization these rules will offer.
     * Take the described generation method also into consideration when you
     * apply the rules in your use cases and assign them confidence levels.
     */


    strings:
        $sequence_0 = { ae 085ffb cf 51 46 a8cf f8 }
            // n = 7, score = 100
            //   ae                   | scasb               al, byte ptr es:[edi]
            //   085ffb               | or                  byte ptr [edi - 5], bl
            //   cf                   | iretd               
            //   51                   | push                ecx
            //   46                   | inc                 esi
            //   a8cf                 | test                al, 0xcf
            //   f8                   | clc                 

        $sequence_1 = { 184e0f 6c 6f aa }
            // n = 4, score = 100
            //   184e0f               | sbb                 byte ptr [esi + 0xf], cl
            //   6c                   | insb                byte ptr es:[edi], dx
            //   6f                   | outsd               dx, dword ptr [esi]
            //   aa                   | stosb               byte ptr es:[edi], al

        $sequence_2 = { d8b8291ba3f9 a939ef568f 46 005f6e 69c7d0234b91 1c14 2a18 }
            // n = 7, score = 100
            //   d8b8291ba3f9         | fdivr               dword ptr [eax - 0x65ce4d7]
            //   a939ef568f           | test                eax, 0x8f56ef39
            //   46                   | inc                 esi
            //   005f6e               | add                 byte ptr [edi + 0x6e], bl
            //   69c7d0234b91         | imul                eax, edi, 0x914b23d0
            //   1c14                 | sbb                 al, 0x14
            //   2a18                 | sub                 bl, byte ptr [eax]

        $sequence_3 = { 51 ff7100 52 ff7200 53 }
            // n = 5, score = 100
            //   51                   | push                ecx
            //   ff7100               | push                dword ptr [ecx]
            //   52                   | push                edx
            //   ff7200               | push                dword ptr [edx]
            //   53                   | push                ebx

        $sequence_4 = { 2048b3 a5 45 b051 9f }
            // n = 5, score = 100
            //   2048b3               | and                 byte ptr [eax - 0x4d], cl
            //   a5                   | movsd               dword ptr es:[edi], dword ptr [esi]
            //   45                   | inc                 ebp
            //   b051                 | mov                 al, 0x51
            //   9f                   | lahf                

        $sequence_5 = { 57 10872213d4b4 5b 00bb4b0c8cb2 }
            // n = 4, score = 100
            //   57                   | push                edi
            //   10872213d4b4         | adc                 byte ptr [edi - 0x4b2becde], al
            //   5b                   | pop                 ebx
            //   00bb4b0c8cb2         | add                 byte ptr [ebx - 0x4d73f3b5], bh

        $sequence_6 = { ab 92 6f 0c48 b5f9 43 }
            // n = 6, score = 100
            //   ab                   | stosd               dword ptr es:[edi], eax
            //   92                   | xchg                eax, edx
            //   6f                   | outsd               dx, dword ptr [esi]
            //   0c48                 | or                  al, 0x48
            //   b5f9                 | mov                 ch, 0xf9
            //   43                   | inc                 ebx

        $sequence_7 = { 5f e1fb 1cc9 3ca5 2c8e }
            // n = 5, score = 100
            //   5f                   | pop                 edi
            //   e1fb                 | loope               0xfffffffd
            //   1cc9                 | sbb                 al, 0xc9
            //   3ca5                 | cmp                 al, 0xa5
            //   2c8e                 | sub                 al, 0x8e

        $sequence_8 = { 670048ff 680049ff69 004aff 6a00 4b ff6b00 4c }
            // n = 7, score = 100
            //   670048ff             | add                 byte ptr [bx + si - 1], cl
            //   680049ff69           | push                0x69ff4900
            //   004aff               | add                 byte ptr [edx - 1], cl
            //   6a00                 | push                0
            //   4b                   | dec                 ebx
            //   ff6b00               | ljmp                [ebx]
            //   4c                   | dec                 esp

        $sequence_9 = { e60e 6c 7bbc 45 }
            // n = 4, score = 100
            //   e60e                 | out                 0xe, al
            //   6c                   | insb                byte ptr es:[edi], dx
            //   7bbc                 | jnp                 0xffffffbe
            //   45                   | inc                 ebp

        $sequence_10 = { ff7300 54 ff740055 ff7500 56 }
            // n = 5, score = 100
            //   ff7300               | push                dword ptr [ebx]
            //   54                   | push                esp
            //   ff740055             | push                dword ptr [eax + eax + 0x55]
            //   ff7500               | push                dword ptr [ebp]
            //   56                   | push                esi

        $sequence_11 = { 334a54 98 56 39ec 51 7fa1 6d }
            // n = 7, score = 100
            //   334a54               | xor                 ecx, dword ptr [edx + 0x54]
            //   98                   | cwde                
            //   56                   | push                esi
            //   39ec                 | cmp                 esp, ebp
            //   51                   | push                ecx
            //   7fa1                 | jg                  0xffffffa3
            //   6d                   | insd                dword ptr es:[edi], dx

        $sequence_12 = { b051 9f 4a d7 b9533e507c }
            // n = 5, score = 100
            //   b051                 | mov                 al, 0x51
            //   9f                   | lahf                
            //   4a                   | dec                 edx
            //   d7                   | xlatb               
            //   b9533e507c           | mov                 ecx, 0x7c503e53

        $sequence_13 = { b5f5 42 317f52 56 }
            // n = 4, score = 100
            //   b5f5                 | mov                 ch, 0xf5
            //   42                   | inc                 edx
            //   317f52               | xor                 dword ptr [edi + 0x52], edi
            //   56                   | push                esi

        $sequence_14 = { bfdb4a7adc de6326 9e 45 334a54 98 }
            // n = 6, score = 100
            //   bfdb4a7adc           | mov                 edi, 0xdc7a4adb
            //   de6326               | fisub               word ptr [ebx + 0x26]
            //   9e                   | sahf                
            //   45                   | inc                 ebp
            //   334a54               | xor                 ecx, dword ptr [edx + 0x54]
            //   98                   | cwde                

        $sequence_15 = { 3ca5 2c8e a1???????? d528 32f4 }
            // n = 5, score = 100
            //   3ca5                 | cmp                 al, 0xa5
            //   2c8e                 | sub                 al, 0x8e
            //   a1????????           |                     
            //   d528                 | aad                 0x28
            //   32f4                 | xor                 dh, ah

    condition:
        7 of them and filesize < 1720320
}

    

Unit 42 研究人员观察到 Medusa 勒索软件运营商将 Webshell 上传到被利用的 Microsoft Exchange Server。此 Webshell 功能与之前报告的 login.aspx 和 cmd.aspx 的 ASPX 文件重叠。

在 webshell 活动之后，威胁行为者使用 PowerShell 从名为 filemail. 的文件托管站点执行 bitsadmin 传输。com 的。从此站点下载的文件是 ZIP 压缩的，标题为 baby.zip。在解压缩和执行后，它安装了远程监控和管理 （RMM） 软件 ConnectWise。

防御闪避：

Unit 42 研究人员观察到 Medusa 勒索软件运营商丢弃了两个内核驱动程序，用于针对不同的安全产品集。每个内核驱动程序都使用名为 Safengine Shielden 的软件保护程序进行保护。驱动程序上使用的 Safengine Shielden 保护程序通过各种代码更改随机化代码来混淆代码流，然后利用嵌入式虚拟机解释器来执行代码。

Unit 42 观察每个司机与自己的装载机配对。每个装载机都使用名为 ASM Guard 的包装机进行包装。

打包的加载程序在伪造的 UPX 字节旁边使用伪造的 UPX 报头和后续地址，如图 9 所示。在资源部分，有大量对 ASM Guard 的引用，以及虚假的 WINAPI 导入以及其他各种垃圾填充。

驱动程序加载程序的标头与 ASM Guard 打包在一起。

驱动程序加载程序的 resource 部分与 ASM Guard 打包在一起。 显示了驱动程序入口点在受到 Safengine Shielden 保护后的样子。

受 Safengine Shielden 保护的驾驶员静态视图。 这两个驱动程序的主要目标是包含要终止或删除的安全终端节点产品列表。图 12 中所示的安全产品字符串名称的硬编码列表用于与系统上主动运行的进程进行比较操作。

第一个驱动程序以终止的安全进程列表为目标。 如果系统的进程名称与硬编码的安全工具进程名称匹配，则使用未记录的 IOCTL 代码 （0x222094） 来终止进程，如图所示。这两个驱动程序之间的主要区别在于使用文件路径和 IOCTL （0x222184），它将根据提供的文件路径删除文件。

第二个驱动程序以文件路径和进程列表为目标。

发现和侦察： Unit 42 研究人员观察到 Medusa 勒索软件行为者使用 Netscan 的便携式版本——具有新颖的转折。关联的 netscan.xml 文件与软件配对，增强了开箱即用的整体功能。这包括各种类型的远程服务发现和用于 PsExec 等操作的预配置映射，以及勒索软件二进制文件的部署。 自定义配置中提供了许多与以下内容相关的选项：

• WMI
• 注册表
• 服务业
• 文件
• SNMP （SNMP 协议）
• 帐户组
• XML 格式
• SSH 公司
• PowerShell 远程脚本功能通过 VBScript 和 JScript 扩展了该工具的功能。 包含的远程脚本使用西里尔文脚本（如图 14 所示）。它们被翻译成英文（如图 15 所示）。这为配置的创建者和用户的首选语言提供了线索，并且可能提供了使用这些功能的 Medusa 勒索软件团伙的背景线索。

原始西里尔文中的远程脚本功能。

远程脚本功能已翻译成英文。 显示了文件列表脚本的代码库示例，以及与 Windows 目录下枚举的文件返回的内容相关的内容。

脚本文件列表的示例， 显示了与找到的特定登录类型相关的登录时间脚本的代码库，以及它返回的字段。

登录时间脚本示例。 完成网络扫描后，该工具的操作员可以右键单击结果中列出的设备，并在远程系统上提供许多自定义的点击选项，如下图 18 所示。图 18 所示菜单中以 Gaze 结尾的选项显示了 Medusa 勒索软件使用的与勒索软件二进制文件相关的命名约定，并深入了解了部署 Medusa 勒索软件的技术。

• Copy_Gaze （Ctrl+G）
• 部署凝视 （Ctrl+T）
• Copy_Run_Gaze （Ctrl+W）

Medusa 勒索软件配置。

深入了解Medusa：

Unit 42 观察到 Medusa 的勒索软件二进制文件中的一个共同主题，该主题与 Medusa 本人的神话一致：在 PEStudio 的调试路径中使用和包含术语 gaze，如图 19 所示。这个主题延续了二进制文件的名称和 netscan.xml 配置文件中使用的命名方案（前面提到过）。在下一节中，我们将勒索软件二进制文件称为 Gaze。

Gaze 二进制文件中的 PDB 字符串。 Medusa 勒索软件的 Windows 变体可以使用 11 个可能的参数运行，如下表 所示。

当使用 -V 参数运行 2023 年 11 月的 Windows 可执行示例时，该示例标识为版本 1.20，如下图 20 所示。这个版本控制系统表明勒索软件有某种开发周期，因为最早的公开发现勒索软件二进制文件之一是 2023 年 2 月上传的，版本是 1.10。在 SHA-256 736de79e0a2d08156bae608b2a3e63336829d59d38d61907642149a566ebd270 中观察到它。

Medusa 勒索软件二进制文件对以下功能采用字符串加密：

• 有针对性的服务
• 目标流程
• 文件扩展名允许列表
• 文件夹路径允许列表 显示了二进制文件中许多字符串解密代码块的一个代码块示例，所有这些代码块都有类似的控制流。每个字符串解密代码块有两个功能。第一个函数将加密的字符串移动到内存中，如图 21 中u42_push_string_medusa所示。第二个函数名为 u42_string_decrypt_7characters，使用密钥为 0x2E 的 XOR 加密方法。

Gaze.exe 勒索软件示例中的字符串解密函数。

字符串的十六进制表示形式在函数堆栈帧上移动和分配，然后将十六进制字符串移动到内存的某个部分，并使用取消引用的指针进行检索。将加密的十六进制字符串0x2E6F7D7B6A6B6300的反编译视图。

当函数u42_push_string_medusa完成并返回指向字符串的指针时，它最初将位于 EAX 中，如图 21 所示。EAX 将移动到 ESI 中，然后 ESI 的内容将移动到 ECX 中。寄存器 ECX 是传递给函数 u42_string_decrypt_7character 的参数，其中包含加密的字符串指针。

指向字符串内容的指针用作数组来访问字符串中的每个字符。XOR 使用 0x2E 密钥对其进行解密。

0x2E6F7D7B6A6B6300 上使用的字符串解密函数的反编译视图。 字符串解密方法的验证如图 下图所示，其中有一个 Cyber Chef 配方。使用 CyberChef 验证字符串解密。

Medusa 勒索软件使用 RSA 非对称加密来保护用于加密受害者文件的 AES256 密钥。AES256 密钥使用 32 字节密钥和 16 字节初始化向量进行设置。加密文件将重命名为扩展名 .medusa。 在文件枚举和加密期间，该示例会避免使用以下扩展名的文件：

• .dll
• .exe
• .lnk
• 。水母 要跳过的文件夹路径列表如下：
• \窗户\
• \Windows.old\
• \性能日志\
• \MSOCache\
• G_skp_dir
• 程序文件
• 程序文件 （x86）
• ProgramData 的 API 数据。 赎金票据被删除为 ！！read_me_medusa!!.txt 及其内容如图所示

勒索软件将执行各种与 vssadmin 相关的操作，并使用以下命令自行删除，以影响恢复和取证工作：

• vssadmin 删除影子 /all /quiet
• vssadmin 调整影子存储大小 /for=C： /on=C： /maxsize=401MB
• vssadmin 调整 shadowstorage /for=C： /on=C： /maxsize=unbounded
• cmd /c ping localhost -n 3 > nul & del