一款玩俄羅斯輪盤的勒索程序：TeslaWare

據Emsisoft的安全研究員xXToffeeXx介紹，一款名為TeslaWare的勒索程序正被黑客在網上進行推廣和出售。xXToffeeXx告訴我們，他已經獲取到了該勒索程序的樣本文件，並對其進行了深入的研究。**

TeslaWare正被黑客在網上出售

黑客目前正在網上以35~70歐元的價格出售TeslaWare勒索程序，而具體價格則取決於買家對於勒索程序的定製要求。此外為了吸引買家，出售TeslaWare的黑客論壇，更是為其精心設計了一份專門的營銷海報。該海報不僅結合了特斯拉汽車的標誌，還對勒索程序的規格價格等信息進行了相應的描述。

從海報上我們可以看到，買家可以根據其想要自定義的功能來靈活選購。TeslaWare的價目表如下：

35€定製BTC

40€定製BTC和文本

50€定製BTC，文本，計時器和密碼

70€以上，可定製GUI

該海報還列出了TeslaWare的以下功能：

AES 256位加密

計數器

說明

文件解密

AV工具無法解密

100％免殺

可更換壁紙

雖然，以上大多數列出的功能TeslaWare都具備，但可以肯定的是TeslaWare不可能100%免殺和被免費解密。

TeslaWare可被解密

這裡要告訴大家一個好消息，經研究發現TeslaWare程序目前還存有諸多缺陷，這也就意味著受感染用戶可以免費解密被加密的文件。因此，如果你的計算機感染了TeslaWare請不要支付贖金，你可以與我們取得聯繫獲取相關的文件解密方法。

此外，為了廣大用戶的安全，我在這裡不會公布任何有關該勒索程序的缺陷信息。因為，勒索軟體的開發人員經常會光顧我們的網站。對於已經感染了的用戶，可以在TeslaWare幫助和支持的主題張貼你的幫助請求。

玩俄羅斯輪盤遊戲的TeslaWare

由於TeslaWare勒索程序是基於.NET編寫的，因此我們可以看到它完整的工作視圖。這裡我可以告訴大家的是，TeslaWare確實是一個設計混亂，效率低下的勒索程序。正是由於它的這些缺陷，也讓我們擁有了更多的時間來檢測感染。儘管如此，但不得不提醒大家的是如果你不支付贖金且履行承諾，則該勒索程序很有可能會刪除你的文件。

當TeslaWare被運行後，它將使用AES-256加密文件，並對驅動器和文件夾進行定位。與大多數針對特定文件擴展名的勒索程序不同，TeslaWare將加密除了.Tesla，.lnk，.exe，.dll和.sys格式之外的所有文件。

而對於已被加密的文件，TeslaCrypt將會在這些文件名後，追加一個.Tesla的擴展名。例如一個名為

test.jpg

test.jpg.Tesla

加密完成後，受感染用戶屏幕將會顯示DelaWare贖金界面，如下：

我們可以發現，在這個贖金界面右下角位置有兩個定時器。第一個計時器被設置為50分鐘，一旦計時器全部變為0時，TeslaWare將會從受害者的桌面或子文件夾中隨機刪除10個文件。這也符合了俄羅斯輪盤遊戲「賭」的特徵。

而第二個計時器被設置為了72小時，當它變為0時，TeslaWare將刪除C盤和驅動器上的所有文件。

最後，TeslaWare將嘗試下載並將受害者的桌面壁紙設置為Nikola Tesla的照片，如下所示。

TeslaWare具有創建共享和蠕蟲的能力

研究人員發現，在TeslaWare中仍有兩個功能未被開啟。第一功能是它允許開發人員，在受害者的計算機上創建新的網路共享。這將意味著，如果受害者的機器沒有防火牆保護，那麼攻擊者將可能通過它來進一步的訪問受害者的機器。

另一個功能就是，TeslaWare會將共享傳播到其它計算機上。其中一個NSpread()的函數會將可執行文件複製到網路共享中，然後在這些共享中創建名為runme.pif或start.pif的.pif文件。如果遠程計算機上的用戶執行這些文件，那麼TeslaWare也將會被安裝在這些計算機上。

IOCs

Hashes:

SHA256: b1475898b803b336d1ca6fb26677e5c8fd6c1e5251c0d8b766a7da6a14380259

與TeslaWare相關的文件：

%LocalAppData%Tempimage.jpg
WindowsDrivers.exe

與TeslaWare相關的註冊表項：

HKCUSoftwareMicrosoftWindowsCurrentVersionRunWindowsDrivers
WindowsDrivers.exe

網路流量：

http://deos.esy.es
http://btc.blockr.io
http://free-stuff-here.netne.net/RW

*參考來源：

bleepingcomputer

，FB小編 secist 編譯，轉載請註明來自FreeBuf.COM

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！