日前，美国安全公司fireeye针对最近韩国遭受的网络攻击做出了一系列分析，在此次网络攻击行为中，使用的恶意软件通过直接访问\\.\PhysicalDrive来破坏硬盘的引导记录(MBR)，而且可以删除硬盘上的文件。

另一方面，该恶意软件是基于时间触发的，在特定的时间2013年3月20日下午14:00开始检查系统的Windows版本，启动一个线程来直接写入恶意软件到硬盘中，破坏MBR，该恶意软件还自动检查韩国的防病毒软件AhnLabs，并且发现之后立即禁用。

详细分析：

据 fireeye从样本分析得出结论，在样本中发现了HASTATI和PRINCPES两个字符串，该字符出出自罗马军队，“HASTATI”是指罗马军队步兵部队三大队列中最前面的先锋部队。这个词的意思是第一列失败后，第二、第三列继续战斗，所以可能是在暗示会发动第二、第三轮黑客攻击。而 PRINCPES可能是一个拼写错误，正确的应该是Principes，Principes是指早期罗马共和国军队中的长枪兵，后剑士，他们通常位列在第二战线。如下图：

该恶意软件中存在一个计时器，在2013年3月20日下午14:00开始激活，该功能通过GetLocalTime API实现，激活之后执行如下操作：

1) taskkill /F /IM pasvc.exe [AhnLab client]

2) taskkill /F /IM Clisvc.exepasvc.exe是AhnLab(注1)的客户端进程，通过taskkill结束pasvc.exe进程，如下图：

恶意软件会自动识别受感染机器的操作系统版本，如果是Windows Vista或以上，那该软件会枚举操作系统上的所有文件，并且使用关键字“HASTATI”或“PRINCPES”来覆盖文件，然后删除所有被覆盖的文件，让硬盘数据无法恢复。如果发现操作系统是Vista之前的版本，则覆盖硬盘的逻辑驱动器，如下图：

下图显示恶意软件枚举所有物理驱动器并改写MBR

使用HASTATI关键字破坏MBR，如下图：