搜索

[14672] 2019-10-07_GlobeImposter2.0再出新变种，疑似利用PsExec内网传播

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-10-07_GlobeImposter2.0再出新变种，疑似利用PsExec内网传播 G l o b e I m p o s t e r 2 . 0 再 出 新 变 种 ， 疑 似 利 用 P s E x e c 内 网 传 播 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 1 0 - 0 7 近 日 ， 深 信 服 安 全 团 队 发 现 了 近 日 ， 深 信 服 安 全 团 队 发 现 了 G l o b e I m p o s t e r 2 . 0 勒 索 病 毒 新 变 种 ， 该 变 种 疑 似 利 用 微 软 官 网 工 具 勒 索 病 毒 新 变 种 ， 该 变 种 疑 似 利 用 微 软 官 网 工 具 P s E x e c 进 行 内 网 传 播 并 使 用 了 新 的 勒 索 界 面 。 截 止 目 前 ， 国 内 已 在 政 府 单 位 、 建 筑 地 进 行 内 网 传 播 并 使 用 了 新 的 勒 索 界 面 。 截 止 目 前 ， 国 内 已 在 政 府 单 位 、 建 筑 地 产 等 行 业 发 现 多 个 感 染 案 例 。 产 等 行 业 发 现 多 个 感 染 案 例 。 此 外 ， 我 们 观 察 到 ， 国 外 用 户 也 同 时 受 到 该 变 种 侵 害 ， T w i t t e r 安 全 研 究 账 号 G r u j a R S 同 步 发 现 该 变 种 有 活 跃 现 象 。 本 次 发 现 的 勒 索 病 毒 正 是 G l o b e I m p o s t e r 2 . 0 家 族 的 新 变 种 。 勒 索 界 面 如 下 ： 该 变 种 变 种 文 件 加 密 文 件 加 密 后 缀 后 缀 一 共 有 2 1 个 ： . E r e n a h e n , . b o b e l e c t r o n ， . c i p h e r e d ， . t a b u f a ， . s a v e y o u d a t a ， . s a v e y o u r d a t a , . h o t p r i c e 8 , . 6 6 6 d e c r y p t 6 6 6 , . 1 i b e r t o n e d , . u n l o c k a s s i s t a n t , . s h e l b y b o o m , A s a b H a d a r e , . h e l p i n c , . C o o c k i s h , . r e s c u e r r , . s u p p o r t h e l p g o o d , . d e c r y p t 0 1 9 , . S a v e y o u r d a t a , . d e c r y p t 2 0 1 9 , . h e l p r o b o t , . t e l c o m s u p p 2 3 5 1 , . G a m g a m g a 该 变 种 使 用 的 黑 客 邮 箱 有 ： b o b e l e c t r o n @ c o c k . l i b o b e l e c t r o n @ t u t a n o t a . c o m E r e n a h e n @ c o c k . l i K i s h e m e z @ t u t a n o . c o m G l o b e I m p o s t e r 家 族 简 介 家 族 简 介 G l o b e I m p o s t e r 是 近 期 非 常 活 跃 的 勒 索 家 族 ， 首 次 出 现 在 2 0 1 7 年 5 月 份 ， 此 后 ， 不 断 出 现 新 的 版 本 和 变 种 ； 今 年 七 月 ， 更 有 “ 十 二 主 神 ” 系 列 爆 发 ， 国 内 医 疗 行 业 深 受 威 胁 。 深 信 服 安 全 团 队 一 直 持 续 关 注 并 跟 踪 此 勒 索 病 毒 家 族 ， 下 图 是 深 信 服 跟 踪 G l o b e I m p o s t e r 勒 索 病 毒 演 进 的 时 间 轴 ：
G l o b e I m p o s t e r 2 . 0 最 新 变 种 详 细 分 析 最 新 变 种 详 细 分 析 在 被 勒 索 的 主 机 中 ， 发 现 勒 索 时 间 点 生 成 了 P s E x e c 服 务 以 及 3 个 脚 本 文 件 ： P s E x e c 是 微 软 发 布 的 一 个 轻 量 级 t e l n e t 替 代 工 具 ， 使 用 者 无 需 手 动 安 装 客 户 端 软 件 即 可 执 行 其 他 系 统 上 的 进 程 ， 并 且 可 以 获 得 与 控 制 台 应 用 程 序 相 当 的 完 全 交 互 性 。 微 软 官 方 介 绍 了 该 工 具 的 安 装 和 使 用 方 法 ， 并 且 提 醒 用 户 该 工 具 会 被 恶 意 软 件 利 用 。 脚 本 文 件 内 容 如 下 ， 其 功 能 为 结 束 m s s q l s e r v e r 以 及 反 病 毒 软 件 ：
样 本 分 析 样 本 分 析 解 密 出 内 置 r s a 公 钥 信 息 ， 计 算 内 置 r s a 公 钥 的 s h a 2 5 6 哈 希 ， 使 用 内 置 r s a 公 钥 的 s h a 2 5 6 哈 希 作 为 a e s 密 钥 解 密 出 加 密 文 件 后 缀 以 及 信 息 提 示 文 件 名 称 ： 解 密 出 文 件 夹 白 名 单 ， 后 缀 名 白 名 单 。 详 细 文 件 夹 名 称 如 下 ： W i n d o w s ,   M i c r o s o f t ,   M i c r o s o f t   H e l p ,   W i n d o w s   A p p   C e r t i f i c a t i o n   K i t ,   w i n d o w s   D e f e n d e r ,   E S E T ,   C O M O D O ,   W i n d o w s   N T ,   W i n d o w s   K i t s ,   W i n d o w s   M a i l ,   W i n d o w s   M e d i a   P l a y e r ,   W i n d o w s M u l t i m e d i a   P l a t f o r m ,   N i n d o w s   P h o n e   K i t s ,   W i n d o w s   P h o n e   S i l v e r l i g h t   K i t s ,   W i n d o w s   P h o t o   V i e w e r ,   W i n d o w s   P o r t a b l e   D e v i c e s ,   w i n d o w s   S i d e b a r ,   W i n d o w s P o w e r S h e l 1 ,   V I D I A C o r p o r a t i o n ,   M i c r o s o f t .   N E T ,   I n t e r n e t   E x p l o r e r ,   K a s p e r s k y   L a b ,   M c A f e e ,   A v i r a ,   s p y t e c h   s o f t w a r e ,   s y s c o n f i g ,   A v a s t ,   D r .   W e b ,   S y m a n t e c ,   S y m a n t e c _ C l i e n t _ S e c u r i t y ,   s y s t e m   v o l u m e i n f o r m a t i o n ,   * * G ,   M i c r o s o f t   S h a r e d ,   C o m m o n   F i l e s ,   O u t l o o k   E x p r e s s ,   M o v i e   M a k e r ,   C h r o m e ,   M o z i l l a   F i r e f o x ,   O p e r a ,   Y a n d e x B r o w s e r ,   n t l d r ,   W s u s ,   P r o g r a m D a t a 获 取 % l o c a l a p p d a t a % 者 % a p p d a t a % 目 录 ， 将 自 身 拷 贝 过 去 。 添 加 到 S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e 下 的 B r o w s e r U p d a t e C h e c k 作 为 启 动 项 ， 其 会 进 行 检 测 是 否 已 被 感 染 ： 然 后 其 会 在 用 户 的 % p u l b i c % 或 者 % A L L U S E R P R O F I L E % 下 创 建 内 置 r s a 公 钥 的 s h a 2 5 6 哈 希 为 名 称 的 文 件 ， 其 中 保 存 着 用 户 I D 信 息 以 及 生 成 的 r s a 公 钥 等 信 息 ： 再 对 用 户 磁 盘 进 行 遍 历 ， 包 括 移 动 磁 盘 ， 固 定 磁 盘 以 及 网 络 磁 盘 ( 基 本 上 是 共 享 或 者 映 射 ) 然 后 对 文 件 进 行 加 密 。 加 密 完 之 后 会 在 用 户 t e m p 目 录 下 生 成 t m p . b a t 用 来 删 除 用 户 磁 盘 卷 影 ， 远 程 桌 面 连 接 信 息 ， 删 除 日 志 信 息 等 ：
然 后 创 建 一 个 c m d 进 程 将 自 身 删 除 ： 解 决 方 案 ： 解 决 方 案 ： 针 对 已 经 出 现 勒 索 现 象 的 用 户 ， 由 于 暂 时 没 有 解 密 工 具 ， 建 议 尽 快 对 感 染 主 机 进 行 断 网 隔 离 。 深 信 服 提 醒 广 大 用 户 尽 快 做 好 病 毒 检 测 与 防 御 措 施 ， 防 范 该 病 毒 家 族 的 勒 索 攻 击 。 病 毒 防 御 病 毒 防 御 勒 索 病 毒 以 防 为 主 ， 目 前 大 部 分 勒 索 病 毒 加 密 后 的 文 件 都 无 法 解 密 ， 注 意 日 常 防 范 措 施 ： 1 、 及 时 给 电 脑 打 补 丁 ， 修 复 漏 洞 。 2 、 对 重 要 的 数 据 文 件 定 期 进 行 非 本 地 备 份 。 3 、 不 要 点 击 来 源 不 明 的 邮 件 附 件 ， 不 从 不 明 网 站 下 载 软 件 。 4 、 尽 量 关 闭 不 必 要 的 文 件 共 享 权 限 。 5 、 更 改 账 户 密 码 ， 设 置 强 密 码 ， 避 免 使 用 统 一 的 密 码 ， 因 为 统 一 的 密 码 会 导 致 一 台 被 攻 破 ， 多 台 遭 殃 。 6 、 如 果 业 务 上 无 需 使 用 R D P 的 ， 建 议 关 闭 R D P 。 当 出 现 此 类 事 件 时 ， 推 荐 使 用 深 信 服 防 火 墙 ， 或 者 终 端 检 测 响 应 平 台 （ E D R ） 的 微 隔 离 功 能 对 3 3 8 9 等 端 口 进 行 封 堵 ， 防 止 扩 散 ！ 最 后 ， 建 议 企 业 对 全 网 进 行 一 次 安 全 检 查 和 杀 毒 扫 描 ， 加 强 防 护 工 作 ， 对 内 网 进 行 感 知 、 查 杀 和 防 护 。 * 本 文 作 者 ： 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理