搜索

[16083] 2020-11-13_Maze勒索软件分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-11-13_Maze勒索软件分析 M a z e 勒 索 软 件 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 1 1 - 1 3 在 过 去 的 一 年 中 ， M a z e 勒 索 软 件 已 成 为 企 业 和 大 型 组 织 严 重 威 胁 之 一 。 数 十 个 组 织 已 成 为 该 恶 意 软 件 的 受 害 者 ， 包 括 L G ， S o u t h w i r e 和 P e n s a c o l a 。 该 勒 索 软 件 始 于 2 0 1 9 年 上 半 年 ， 当 时 没 有 任 何 明 显 的 特 有 标 记 ， 勒 索 中 常 包 含 标 题 C h a C h a 勒 索 软 件 ’ ’ 。 早 期 版 本 勒 索 软 件 内 容 早 期 版 本 勒 索 软 件 内 容 不 久 之 后 ， 新 版 本 勒 索 软 件 自 称 为 M a z e ， 电 子 邮 件 会 使 用 与 受 害 者 相 关 的 网 站 ， 代 替 上 面 截 图 中 的 通 用 电 子 邮 件 地 址 。 0 0 1 0   S y s t e m   F a i l u r e   0 0 1 0 ' ' ， 研 究 人 员 命 名 为
近 期 近 期 M a z e 使 用 的 网 站 使 用 的 网 站 传 播 方 法 传 播 方 法 M a z e 勒 索 软 件 最 初 是 通 过 漏 洞 工 具 包 （ F a l l o u t   E K 和 S p e l e v o   E K ） 以 及 带 有 恶 意 附 件 的 垃 圾 邮 件 进 行 传 播 感 染 。 下 面 是 恶 意 垃 圾 邮 件 的 示 例 ， 其 中 包 含 一 个 带 有 宏 的 W o r d 文 档 ， 该 宏 可 下 载 M a z e 勒 索 软 件 有 效 负 载 。
如 果 收 件 人 打 开 附 加 文 档 ， 系 统 将 提 示 他 们 启 用 编 辑 模 式 ， 然 后 启 用 内 容 。 点 击 后 文 档 中 包 含 的 恶 意 宏 将 被 执 行 ， 导 致 受 害 者 的 电 脑 被 感 染 。
除 了 这 些 典 型 的 感 染 方 式 外 ， 勒 索 软 件 把 目 标 对 准 公 司 和 市 政 组 织 ， 最 大 限 度 地 增 加 勒 索 金 额 。 攻 击 中 使 用 了 C i t r i x A D C   /   N e t s c a l e r 或 P u l s e   S e c u r e   V P N 等 网 络 服 务 漏 洞 以 及 弱 R D P 访 问 凭 证 。 研 究 人 员 观 察 到 了 以 下 工 具 ： m i m i k a t z 、 p r o c d u m p 、 C o b a l t   S t r i k e 、 I P 扫 描 、 B l o o d h o u n d 、 p o w e r s p o l i t 等 。 攻 击 者 试 图 识 别 存 储 受 损 网 络 中 服 务 器 和 工 作 站 上 有 价 值 的 数 据 ， 过 滤 受 害 者 机 密 文 件 ， 并 在 协 商 赎 金 时 利 用 这 些 文 件 。 最 后 安 装 勒 索 软 件 ， 对 数 据 进 行 加 密 ， 完 成 攻 击 。 数 据 泄 漏 与 混 淆 数 据 泄 漏 与 混 淆 M a z e 是 最 早 的 勒 索 软 件 系 列 之 一 ， 如 果 拒 绝 合 作 就 会 泄 露 受 害 者 的 机 密 数 据 ， 其 已 经 成 为 R E v i l / S o d i n o k i b i ,
D o p p e l P a y m e r ,   J S W o r m / N e m t y / N e f i l i m ,   R a g n a r L o c k e r 和 S n a t c h 在 内 的 数 个 勒 索 软 件 的 标 准 。 M a z e 维 护 网 站 中 列 出 了 最 近 的 受 害 者 ， 并 发 布 了 部 分 或 全 部 转 储 的 文 件 。 勒 索 软 件 合 作 勒 索 软 件 合 作 2 0 2 0 年 6 月 ， M a z e 开 始 与 L o c k B i t ， R a g n a r L o c k e r 合 作 ， 组 成 了 一 个 “ r a n s o m w a r e   c a r t e l ” 。 这 些 小 组 窃 取 的 数 据 现 在 将 发 布 在 由 M a z e 维 护 的 网 站 上 。 攻 击 者 不 仅 在 窃 取 文 件 ， 同 时 也 在 分 享 专 业 知 识 。 技 术 分 析 技 术 分 析 M a z e 通 常 以 P E 二 进 制 文 件 （ E X E 或 D L L ） 的 形 式 分 发 ， 该 二 进 制 文 件 以 C   /   C   + + 开 发 并 进 行 模 糊 处 理 。 它 采 用 各 种 技 巧 阻 止 静 态 分 析 ， 包 括 动 态 A P I 函 数 导 入 ， 使 用 条 件 跳 转 控 制 流 混 淆 ， 用 J M P   d w o r d   p t r   [ e s p - 4 ] 代 替 R E T ， 用 P U S H   +   J M P 代 替 C A L L 以 及 其 他 几 种 技 术 。 为 了 应 对 动 态 分 析 ， 木 马 程 序 还 将 终 止 研 究 人 员 通 常 使 用 的 进 程 ， 例 如 p r o c m o n ， p r o c e x p ， i d a ， x 3 2 d b g 等 M a z e 使 用 的 加 密 方 案 有 以 下 几 个 级 别 ：
1 、 加 密 受 害 者 文 件 的 内 容 ， 木 马 生 成 唯 一 的 密 钥 和 随 机 数 值 ， 以 与 C h a C h a 流 密 码 一 起 使 用 ； 2 、 C h a C h a 密 钥 和 随 机 数 值 由 启 动 恶 意 软 件 时 生 成 的 会 话 公 共 R S A - 2 0 4 8 密 钥 加 密 ； 3 、   会 话 专 用 R S A - 2 0 4 8 密 钥 由 木 马 主 体 中 硬 编 码 的 主 公 用 R S A - 2 0 4 8 密 钥 加 密 。 在 计 算 机 上 执 行 时 ， 勒 索 软 件 还 将 区 分 不 同 类 型 的 系 统 （ “ 备 份 服 务 器 ” ， “ 域 控 制 器 ” ， “ 独 立 服 务 器 ” 等 ） ， 使 受 害 者 认 为 犯 罪 分 子 了 解 有 关 受 影 响 网 络 的 一 切 。 勒 索 信 息 字 符 串 勒 索 信 息 字 符 串 勒 索 信 息 生 成 代 码 片 段 勒 索 信 息 生 成 代 码 片 段 防 范 建 议 防 范 建 议 勒 索 软 件 在 不 断 进 化 ， 抵 御 勒 索 软 件 的 最 佳 方 法 是 主 动 预 防 ， 一 旦 加 密 数 据 ， 为 时 已 晚 。 以 下 建 议 可 以 帮 助 防 止 此 类 攻 击 ： 1 、 保 持 操 作 系 统 和 应 用 程 序 最 新 状 态 ； 2 、 对 所 有 员 工 进 行 网 络 安 全 培 训 ； 3 、 使 用 安 全 技 术 方 法 进 行 远 程 连 接 ； 4 、 备 份 回 滚 。
I O C s 2 3 3 2 f 7 7 0 b 0 1 4 f 2 1 b c c 6 3 c 7 b e e 5 0 d 5 4 3 a C E 3 A 5 8 9 8 E 2 B 2 9 3 3 F D 5 2 1 6 B 2 7 F C E A C A D 0 5 4 C 9 A 5 F C 6 1 4 9 0 0 7 E 9 B 7 2 7 F C C C D A F B B D 4 8 A F C 9 F 2 8 7 E F 0 F 3 4 9 5 B 2 5 9 E 4 9 7 B 3 0 F 3 9 E 原 文 链 接 原 文 链 接 s e c u r e l i s t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理