搜索

[10956] 2017-01-21_革命性创新？走近“高水准”新型勒索软件Spora

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-01-21_革命性创新？走近“高水准”新型勒索软件Spora 革 命 性 创 新 ？ 走 近 “ 高 水 准 ” 新 型 勒 索 软 件 S p o r a C a r r i e _ s p i n f o   F r e e B u f   2 0 1 7 - 0 1 - 2 1 勒 索 软 件 几 乎 每 周 都 会 增 加 新 的 勒 索 软 件 几 乎 每 周 都 会 增 加 新 的 “ 家 族 成 员 家 族 成 员 ” ， 这 类 威 胁 的 影 响 力 不 断 上 升 。 ， 这 类 威 胁 的 影 响 力 不 断 上 升 。 E m s i s o f t （ 奥 地 利 的 信 息 安 全 公 司 ， 主 营 业 务 （ 奥 地 利 的 信 息 安 全 公 司 ， 主 营 业 务 有 反 恶 意 软 件 、 互 联 网 安 全 、 应 急 响 应 、 移 动 安 全 等 ） 的 研 究 员 致 力 于 发 现 与 分 析 新 型 威 胁 ， 对 于 这 个 名 为 有 反 恶 意 软 件 、 互 联 网 安 全 、 应 急 响 应 、 移 动 安 全 等 ） 的 研 究 员 致 力 于 发 现 与 分 析 新 型 威 胁 ， 对 于 这 个 名 为 S p o r a 的 勒 索 软 的 勒 索 软 件 也 不 例 外 。 件 也 不 例 外 。 2 0 1 7 年 年 1 月 月 1 0 日 该 勒 索 软 件 首 次 在 日 该 勒 索 软 件 首 次 在 I D - R a n s o m w a r e 上 被 发 现 ， 因 其 特 有 的 功 能 以 及 高 水 准 的 技 术 与 展 示 界 面 引 上 被 发 现 ， 因 其 特 有 的 功 能 以 及 高 水 准 的 技 术 与 展 示 界 面 引 起 了 我 们 的 注 意 。 本 文 不 但 会 介 绍 起 了 我 们 的 注 意 。 本 文 不 但 会 介 绍 S p o r a 的 内 部 工 作 原 理 ， 还 将 介 绍 其 索 取 赎 金 的 现 代 化 商 业 模 式 。 的 内 部 工 作 原 理 ， 还 将 介 绍 其 索 取 赎 金 的 现 代 化 商 业 模 式 。 走 近 走 近 S p o r a S p o r a 由 C 语 言 编 写 而 成 并 使 用 U P X 可 执 行 打 包 程 序 打 包 。 与 大 多 数 勒 索 软 件 不 同 ， S p o r a 不 会 对 其 加 密 的 文 件 进 行 重 命 名 ， 因 此 没 有 特 定 的 文 件 扩 展 名 。 感 染 系 统 时 ， 它 会 给 出 一 个 精 心 设 计 的 基 于 H T M L 的 赎 金 说 明 和 一 个 . K E Y 文 件 。 两 个 文 件 的 基 本 名 称 与 勒 索 软 件 分 配 给 每 个 用 户 的 I D 相 同 。 赎 金 说 明 是 用 俄 语 表 示 的 ： 俄 语 版 的 赎 金 说 明
译 成 英 文 的 赎 金 说 明 点 击 你 的 I D ， 系 统 会 自 动 链 接 到 他 们 的 网 站 ： 点 击 勒 索 说 明 后 网 站 用 户 将 被 重 定 向 英 文 版 的 赎 金 支 付 页 面 其 中 有 几 点 很 快 引 起 了 研 究 人 员 的 注 意 。 首 先 ， 网 站 界 面 的 制 作 十 分 专 业 ， 美 观 程 度 也 很 高 ； 其 次 ， 与 其 他 勒 索 软 件 不 同 ， 它 要 求 的 赎 金 相 对 较 低 。 稍 后 会 解 释 原 因 。 另 外 ， 该 勒 索 软 件 提 供 给 受 害 者 各 种 “ 包 ” 的 功 能 也 很 有 意 思 。 你 可 以 选 择 只 恢 复 文 件 ， 或 者 同 时 支 付 删 除 勒 索 软 件 并 不 再 受 到 二 次 攻 击 的 额 外 费 用 。 这 是 S p o r a 勒 索 软 件 所 特 有 的 ， 以 前 从 来 没 有 遇 到 过 类 似 情 况 。 该 网 站 还 设 有 一 个 聊 天 框 ， 可 以 与 犯 罪 分 子 直 接 沟 通 ， 虽 不 是 首 创 ， 但 这 种 现 象 也 不 常 见 。 据 观 察 ， 犯 罪 分 子 的 答 复 速 度 也 很 快 。 S p o r a 勒 索 软 件 是 如 何 威 胁 用 户 的 ？ 勒 索 软 件 是 如 何 威 胁 用 户 的 ？ 目 前 ， S p o r a 主 要 通 过 邮 件 欺 骗 俄 罗 斯 用 户 ， 它 把 邮 件 内 容 伪 装 成 是 1 C （ 在 俄 罗 斯 和 很 多 前 苏 联 国 家 中 十 分 流 行 的 会 计 软 件 ） 的 发 票 。 邮 件 中 能 看 到 的 文 件 名 是 “ С к а н - к о п и я   _   1 0   я н в а р я   2 0 1 7 г .   С о с т а в л е н о   и   п о д п и с а н о   г л а в н ы м   б у х г а л т е р о м .   Э к с п о р т   и з   1 С . a 0 1 e 7 4 3 _ р d f . h t a ” ， 翻 译 过 来 的 意 思 是 “ 扫 描 件 _   2 0 1 7 年 1 月 1 0 日 。 由 总 会 计 师 签 字 。 出 自 1 C . a 0 1 e 7 4 3 _ p d f . h t a ” ， 这 里 利 用 两 个 扩 展 名 的 方 式 试 图 欺 骗 用 户 这 是 一 个 P D F 格 式 的 发 票 ， 但 实 际 是 H T A 文 件 。 H T A 文 件 即 H T M L 应 用 程 序 ， 它 允 许 任 何 人 都 能 用 H T M L 和 各 种 脚 本 语 言 编 写 桌 面 应 用 程 序 。 就 好 比 你 的 浏 览 器 没 有 能 够 防 止 网 站 篡 改 系 统 的 安 全 机 制 。 H T M L 应 用 程 序 在 W i n d o w s 上 支 持 的 两 种 脚 本 语 言 是 J S c r i p t 和 V B S c r i p t ， 两 者 均 在 S p o r a 中 被 使 用 。 当 用 户 双 击 H T A 文 件 时 ， 它 将 在 ％ T E M P ％ 中 创 建 一 个 名 为 c l o s e . j s 的 新 文 件 ， 然 后 将 编 码 的 脚 本 写 入 该 文 件 。 最 后 执 行 J S c r i p t 文 件 ：
H T A 下 载 器 的 内 容 J S c r i p t 是 加 密 的 、 模 糊 化 的 ， 能 够 防 止 利 用 自 定 义 算 法 和 C r y p t o J S 的 检 测 。 如 果 去 除 模 糊 化 ， 你 会 发 现 一 个 B A S E 6 4 的 编 码 字 符 串 ， 其 中 包 含 恶 意 软 件 的 可 执 行 文 件 。 该 脚 本 的 目 的 是 解 码 上 述 字 符 串 并 将 以 下 两 个 文 件 放 入 用 户 的 ％ T E M P ％ 文 件 夹 ： d o c _ 6 d 5 1 8 e . d o c x 8 1 0 6 3 1 6 3 d e d . e x e J S c r i p t   d r o p p e r 会 尝 试 打 开 或 执 行 这 两 个 文 件 ， 然 后 退 出 。 第 一 个 文 件 是 包 含 无 效 数 据 的 文 档 ， 会 在 用 户 打 开 W o r d P a d 或 W o r d 时 显 示 错 误 ： 伪 造 的 损 坏 文 件 我 们 认 为 该 步 骤 的 主 要 目 的 是 转 移 受 害 者 注 意 力 ， 让 他 们 觉 得 无 法 正 常 打 开 预 期 文 档 是 因 为 该 文 档 在 传 输 时 遭 到 损 坏 。 损 坏 的 文 档 可 能 不 会 让 用 户 怀 疑 刚 刚 运 行 的 是 恶 意 的 H T A 文 件 。 第 二 个 文 件 是 实 际 上 对 数 据 进 行 加 密 的 勒 索 软 件 。 S p o r a 密 钥 生 成 与 加 密 密 钥 生 成 与 加 密
S p o r a 使 用 的 是 R S A 与 A E S 的 混 合 算 法 加 密 受 害 者 数 据 。 在 某 系 统 上 实 现 加 密 需 要 用 到 W i n d o w s 上 的 C r y p t o A P I 。 恶 意 软 件 编 写 者 的 公 共 R S A 密 钥 是 嵌 入 在 使 用 硬 编 码 A E S 密 钥 的 恶 意 软 件 可 执 行 程 序 中 的 ， 当 S p o r a 进 入 某 系 统 时 ， 首 先 查 找 并 解 密 该 公 共 R S A 密 钥 。 一 旦 该 密 钥 成 功 导 入 ， 恶 意 软 件 会 创 建 一 个 新 的 1 0 2 4 位 R S A 密 钥 组 ， 我 们 将 其 称 为 受 害 者 的 R S A 密 钥 组 ， 由 私 钥 和 公 钥 组 成 。 该 恶 意 软 件 还 将 生 成 一 个 新 的 2 5 6 位 的 A E S 密 钥 来 加 密 受 害 者 的 私 人 R S A 密 钥 。 一 旦 受 害 者 的 私 人 R S A 密 钥 被 加 密 ， 恶 意 软 件 编 写 者 的 公 共 R S A 密 钥 会 对 新 的 A E S 密 钥 进 行 加 密 。 所 有 密 钥 材 料 和 其 它 相 关 信 息 随 后 会 保 存 在 . K E Y 文 件 中 。 加 密 系 统 文 件 时 S p o r a 首 先 会 生 成 一 个 新 的 2 5 6 位 p e r - f i l e   A E S 密 钥 。 该 p e r - f i l e 密 钥 最 多 加 密 文 件 的 前 5 M B 。 完 成 后 ， 恶 意 软 件 使 用 受 害 者 的 公 共 R S A 密 钥 加 密 该 p e r - f i l e 密 钥 ， 并 将 加 密 的 p e r - f i l e 密 钥 添 加 到 加 密 文 件 中 。 这 个 过 程 一 开 始 看 起 来 比 较 复 杂 ， 但 实 际 上 这 种 恶 意 软 件 能 够 脱 离 命 令 和 控 制 服 务 器 进 行 操 作 ， 避 免 了 恶 意 软 件 感 染 期 间 的 信 息 交 互 过 程 以 及 被 删 除 的 风 险 。 这 也 就 意 味 着 S p o r a 能 够 在 没 有 网 络 连 接 的 情 况 下 完 成 加 密 活 动 。 另 外 ， 它 也 能 够 绕 过 其 它 勒 索 软 件 的 缺 点 。 拿 D M A   L o c k e r   3 举 例 ， 其 恶 意 软 件 编 写 者 的 公 钥 直 接 加 密 p e r - f i l e 密 钥 ， 这 会 导 致 针 对 一 个 人 的 解 密 器 同 时 用 于 同 一 攻 击 行 动 中 其 他 受 害 者 的 问 题 。 但 是 ， S p o r a 的 加 密 方 式 也 存 在 一 定 问 题 ： 如 果 没 有 恶 意 软 件 编 写 者 的 私 钥 则 无 法 恢 复 加 密 文 件 。 告 诉 我 你 是 谁 ， 我 再 告 诉 你 需 要 支 付 的 金 额 告 诉 我 你 是 谁 ， 我 再 告 诉 你 需 要 支 付 的 金 额 前 面 已 经 提 到 过 ， S p o r a 很 多 方 面 都 和 其 它 勒 索 软 件 有 所 不 同 。 他 们 进 入 系 统 后 的 第 一 项 行 动 就 是 进 行 加 密 程 序 ， 在 当 今 的 勒 索 软 件 领 域 中 ， 即 使 是 像 C e r b e r 这 样 有 影 响 力 的 专 业 项 目 ， 他 们 的 第 一 次 迭 代 也 存 在 着 持 续 的 风 险 性 。 另 外 S p o r a 还 有 一 个 独 特 的 定 价 模 式 来 确 定 受 害 者 需 要 支 付 的 金 额 。 如 前 所 述 ， 由 勒 索 软 件 创 建 的 . K E Y 文 件 不 仅 存 有 受 害 者 的 R S A 私 钥 ， 还 包 含 一 些 附 加 信 息 ： . K E Y 文 件 中 未 加 密 内 容 R S A 私 钥 部 分 是 即 时 可 见 的 ， 前 面 讨 论 过 其 相 关 性 ， 但 这 里 我 们 要 强 调 的 是 后 面 的 附 加 信 息 。   R S A 私 钥 后 面 跟 着 系 统 感 染 的 发 生 日 期 、 受 害 者 的 用 户 名 和 受 感 染 系 统 的 所 在 位 置 。 下 一 个 值 则 是 硬 编 码 标 识 符 ， 只 要 受 害 者 受 到 的 是 同 一 个 我 们 所 分 析 的 S p o r a 样 本 的 感 染 ， 那 么 他 们 的 硬 编 码 标 识 符 均 相 同 。 S p o r a 编 写 者 将 这 些 信 息 作 为 攻 击 行 动 的 I D ， 以 此 来 跟 踪 不 同 攻 击 行 动 的 效 益 并 向 行 动 发 起 者 支 付 一 定 利 润 ， 这 表 明 S p o r a 的 运 营 模 式 是 勒 索 软 件 即 服 务 的 形 式 。 以 下 六 个 数 值 特 别 有 趣 。 选 择 要 加 密 的 目 标 时 ， S p o r a 将 根 据 其 文 件 扩 展 名 分 为 六 大 类 ：
这 些 统 计 信 息 会 作 为 六 个 数 值 的 一 部 分 包 含 在 . K E Y 文 件 中 ， 用 于 确 定 恶 意 软 件 编 写 者 的 勒 索 金 额 。 发 起 针 对 性 攻 击 之 前 ， 我 们 已 经 通 过 R D P 看 到 了 某 些 特 定 受 害 者 的 赎 金 价 位 。 加 密 前 攻 击 者 都 会 根 据 R D P 来 检 查 服 务 器 的 拥 有 人 以 及 其 中 所 包 含 的 文 件 内 容 。 但 S p o r a 却 在 这 一 步 上 发 挥 得 淋 漓 尽 致 ， 它 不 仅 使 这 种 策 略 能 够 达 到 目 标 ， 而 且 实 现 了 完 全 的 自 动 化 。 这 也 就 解 释 了 为 什 么 我 们 测 试 系 统 的 赎 金 价 格 这 么 低 ， 因 为 它 几 乎 没 有 任 何 恶 意 软 件 编 写 者 认 为 有 价 值 的 文 件 。 另 外 ， . K E Y 内 容 及 统 计 信 息 也 用 于 创 建 在 每 位 用 户 首 次 访 问 W e b 面 板 时 都 需 要 键 入 的 用 户 I D 。 一 般 的 I D 格 式 如 下 所 示 ： U S 7 4 1 - 8 5 R Z R - T R T Z T - Z T F F T - Z Y Y Y Y S p o r a   I D 始 终 显 示 五 个 字 符 块 ， 用 连 字 符 分 隔 。 前 两 个 字 符 （ U S ） 是 系 统 所 在 区 域 的 双 字 母 国 家 / 地 区 代 码 。 接 下 来 的 5 个 字 符 （ 7 4 1 8 5 ） 是 通 过 . K E Y 文 件 的 未 加 密 内 容 计 算 出 来 的 M D 5 哈 希 值 的 前 5 个 字 符 。 接 下 来 的 字 母 （ R Z R T R T Z T Z T F F T Z ） 是 利 用 简 单 替 换 密 码 编 码 的 . K E Y 文 件 的 统 计 字 符 串 。 所 有 管 道 符 号 （ | ） 都 被 替 换 为 字 母 T 。 以 下 代 码 片 段 列 举 了 其 它 的 替 换 字 符 ： S p o r a 为 用 户 I D 编 码 时 使 用 的 字 符 替 换 表
如 果 最 后 一 个 区 块 未 满 5 个 字 符 ， 则 使 用 Y 字 符 填 充 。 这 样 的 话 ， 只 要 根 据 用 户 I D 就 能 成 功 跟 踪 到 S p o r a 加 密 的 文 件 数 。 我 们 目 前 正 与 I D   R a n s o m w a r e 和 N o   M o r e   R a n s o m 等 平 台 合 作 ， 通 过 上 传 的 赎 金 记 录 中 包 含 的 标 识 符 来 收 集 统 计 数 据 。 如 何 保 护 自 己 ？ 如 何 保 护 自 己 ？ 最 好 的 保 护 方 式 当 然 还 是 一 个 可 靠 的 备 份 策 略 ， 因 为 S p o r a 使 用 的 加 密 方 式 安 全 性 相 当 高 ， 想 要 拿 回 数 据 的 唯 一 办 法 就 是 获 得 勒 索 软 件 编 写 者 的 协 助 。 除 了 常 规 备 份 ， 一 些 反 恶 意 软 件 的 行 为 阻 止 技 术 也 日 趋 成 熟 ， 大 家 可 以 按 需 采 购 ， 这 里 就 不 打 广 告 了 。 * 参 考 来 源 ： b l o g . e m s i s o f t . c o m ， F B 小 编 C a r r i e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理