OG东方厅提醒：：警惕仿冒DeepSeek装置包投递WannaCry勒索软件

颁布功夫 2025-03-14

“让每一句人机对话都安全可信，，让每一次智能交互都风险可控——这是属于AI时期的安全承诺。 —— OG东方厅”


AI速览：：


本文会商了2025年随着DeepSeek-R1颁布引发大模型本地化部署海潮后，，OG东方厅VenusEye威胁谍报中心发现勒索软件团伙利用仿冒DeepSeek装置包进行攻击的情况，，钻研团队分析了样本并给出有关信息。关键重点蕴含:

1.攻击伎俩:黑客利用仿冒DeepSeek装置包(Install_DeepSeek.exe)攻击，，自解压开释WannaCry勒索软件和Windows XPHorror病毒。

2.样本信息:初始仿冒法式Install_DeepSeek.exe，，文件巨细56.07MB，，由2个exe法式打包组成，，通过SFX剧本指定开释蹊径，，开释tasksche.exe和SETUP.EXE到C:\WINDOWS文件夹。

3.恶意法式职能:tasksche.exe开释WannaCry�？？榧用芪募�;._cache tasksche.exe解压缩�？？�、 、、解密并执行DLL;DLL加密特定后缀文件;SETUP.EXE (Windows XP Horror病毒)批改磁盘MBR，，更改登录界面。

4.加密文件后缀:被加密文件后缀众多，，加密后追加.WNCRY后缀，，每个文件夹开释勒索信和部门化密法式。

5.溯源关联:通过比特币买卖地址发现该组织持续盈利，，累计获利约54BTC，，超千万元人民币，，同时还关联到多个有关样本。


2025年，，随着DeepSeek-R1的颁布，，迅速引发大模型本地化部署海潮。前所未有的关注度也吸勒索软件团伙也紧跟热点，，搭建垂钓网站，，假装成合法的AI软件下载平台，，诱导用户装置绑缚勒索软件的仿冒软件，，从而对受害主机上的文件进行加密，，以胁迫受害者支付赎金。


技术分析


这次攻击活动的样本是假装成DeepSeek装置包的exe文件，，该文件执行后，，通过自解压方式开释出勒索软件WannaCry和恐怖病毒Windows XP Horror，，别离执行这2个恶意法式。WannaCry开释出勒索职能�？？椴⒅葱�，，加密特定后缀的文件，，开释出勒索信�？？植啦《網indows XP Horror批改磁盘MBR，，将登录界面设置为骷髅图像并播放恐怖动图。


该样本整体流程如下图所示：：


图片1.png


1、 、、初始仿冒法式


该样本为假装成DeepSeek装置法式的exe文件，，其样本信息见下表：：


图片2.png


初始攻击文件仿冒了DeepSeek的图标，，如下图所示：：


图片3.png

该exe文件属于Winrar SFX自解压文件，，由2个exe法式打包而成，，如下图所示：：


图片4.png


恶意软件通过SFX剧本指定tasksche.exe和SETUP.EXE的开释蹊径，，SFX剧本内容蕴含“DeepSeek”有关信息，，如下图所示：：


图片5.png


通过用户点击触发SFX恶意文件后，，会将tasksche.exe和SETUP.EXE开释到C:\WINDOWS文件夹中：：


图片6.png


同时装置执行tasksche.exe和SETUP.EXE：：


图片7.png


2、 、、 tasksche.exe


tasksche.exe由Delphi说话开发，，其职能是开释WannaCry勒索软件的�？？�，，实现文件加密勒索职能。样本信息见下表：：


图片8.png


tasksche.exe的资源文件中蕴含一个EXE法式，，如下图所示：：


图片9.png


tasksche.exe启动后，，首先会加载该资源，，获取资源内容。而后创建文件 C:\WINDOWS\._cache_tasksche.exe，，并将资源中的数据写入该文件中，，最终执行该文件。如下图所示：：


图片10.png


3、 、、 ._cache_tasksche.exe


._cache_tasksche.exe文件的样本信息见下表：：


图片11.png


._cache_tasksche.exe的重要职能是从资源中解压缩出职能�？？�，，解密出1个DLL并执行其特定的导出函数。如下图所示：：


图片12.png


首先在注册表HKLM\Software\WanaCrypt0r\wd 中写入当前蹊径，，纪录过程的工作目录(work directory)，，供其它�？？槭褂�。如下图所示：：


图片13.png


批改后的注册表如下图所示：：


图片14.png


而后使用密钥“WNcry@2ol7”将嵌入在资源中的zip压缩包解压到C:\WINDOWS。如下图所示：：


图片15.png


资源中的zip压缩包如下图所示：：


图片16.png


该压缩包中有多个文件，，如下图所示：：


图片17.png


读取文件 t.wnry 的内容并解密出DLL文件，，如下图所示：：


图片18.png


解密出的DLL文件是勒索�？？�，，拥有名为TaskStart的导出函数，，如下图所示：：  


图片19.png

 

通过挪用该导出函数，，执行加密勒索职能。


4、 、、勒索�？？�


上一阶段解密出的DLL文件的原始名称为kgptbeilcq，，掌管实现具体的加密勒索职能。样本信息见下表：：


图片20.png


该DLL的重要职能如下图所示：：


图片21.png


首先终止数据库有关过程，，使得可能加密数据库文件。如下图所示：：


图片22.png


获取磁盘驱动器名称，，遍历各磁盘。如下图所示：：


图片23.png


遍历文件夹，，查抄文件的名称和后缀，，如下图所示：：


图片24.png


加密以下后缀名的文件：：


文件名.png


文件被加密后，，会被追加后缀名 .WNCRY。


 在每个文件夹中开释名为 @Please_Read_Me@.txt 的勒索信和名为 @WanaDecryptor@.exe 的解密法式。勒索信内容如下图所示：：


图片25.png


受害者通过解密法式 @WanaDecryptor@.exe，，能够解密出10个被加密的文件。该解密法式显示了提醒信息和比特币地址，，并进行倒计时。如下图所示：：


图片26.png


5、 、、SETUP.EXE


SETUP.EXE是古老的WindowsXP Horror病毒，，该病毒会批改磁盘MBR，，将登录界面批改为骷髅图像，，并播放恐怖动图。


样本信息见下表：：


图片27.png


样本执行后，，首先退出登录界面，，显示“Installing Windows Updates”等提醒，，在进度到66%时，，会弹出“Setup will use the file 666.sys”的提醒。如下图所示：：


图片28.png


登录界面会被换成骷髅图像，，不休切换血腥图片，，并播放恐怖动图。


点击桌面的图标后，，会弹出提醒框，，并把图标移动到回收站。


操作系统崩溃并显示红色布景，，如下图所示：：


图片29.png


溯源关联


1. 通过对该组织提供的比特币买卖地址，，跟踪到该组织在2024岁暮收到几笔受害者支付的BTC。注明该组织仍旧在依附勒索软件持续盈利：：


图片30.png


图片31.png


同时通过对汗青信息的统计，，能够观测到该组织在披露的地址上累计获利约54BTC，，按当前汇率估算已超过千万元人民币。


2. 通过对初始样本的特点进行关联，，发现以下与本次攻击活动有关的样本：：


MD5：：

c27fc192811dad928730b24fd8150a03

2e5f24942932190e577319a7e81b83e4

33e884e59a7c1e1d6af5b19a283a04a7

4d4f7bfac3a17767cb9a7f88737b7ef5

061a8f66ec2f86f9668c0c157ed54b6c

5a02e019a2a7920d0b23326a616bf88f

a7389982054233436020f0ada0765a48


ATT&CK


该样本所选取的攻击技战法与ATT&CK的映射如下表所示：：


图片32.png


IoCs


图片33.png