搜索

[17102] 2021-08-02_重生之路：恶意勒索软件BlackMatter和Haron的前世今生

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-08-02_重生之路：恶意勒索软件BlackMatter和Haron的前世今生 重 生 之 路 ： 恶 意 勒 索 软 件 B l a c k M a t t e r 和 H a r o n 的 前 世 今 生 空 城 H C   F r e e B u f   2 0 2 1 - 0 8 - 0 2 B l a c k M a t t e r 和 和 H a r o n ， 乍 一 听 ， 大 家 或 许 很 陌 生 ， 其 实 可 能 是 ， 乍 一 听 ， 大 家 或 许 很 陌 生 ， 其 实 可 能 是 R E v i l 和 和 D a r k S i d e 的 化 身 。 的 化 身 。 俗 话 说 ， “ 旧 瓶 装 新 酒 ” ， 而 在 这 里 ， 是 “ 新 瓶 装 旧 酒 ” 。 作 为 臭 名 昭 著 的 勒 索 团 伙 ， 他 们 都 倾 向 于 将 财 力 雄 厚 的 企 业 或 机 构 视 为 “ 猎 物 ” ， 并 将 自 己 标 榜 为 “ 道 德 ” 的 化 身 。 对 于 D a r k S i d e 或 R E v i l 勒 索 软 件 组 织 而 言 ， 潜 藏 窝 点 的 犯 罪 服 务 器 已 经 被 打 击 破 坏 了 。 而 事 实 证 明 ， 我 们 应 该 重 新 认 识 或 者 重 新 命 名 这 两 个 勒 索 软 件 团 伙 。 7 月 出 现 的 第 一 个 新 的 勒 索 团 伙 是 H a r o n ， 第 二 个 则 为 B l a c k M a t t e r 。 A r s   T e c h n i c a 的 D a n   G o o d i n 指 出 ， 背 后 潜 藏 的 “ 分 身 ” 可 能 还 有 更 多 。 该 勒 索 团 伙 都 紧 盯 财 力 雄 厚 的 目 标 ， 因 为 这 些 目 标 可 以 支 付 数 百 万 美 元 的 赎 金 。 他 们 也 像 D a r k S i d e 那 样 以 道 德 自 我 标 榜 ， 用 类 似 的 语 言 声 称 保 护 医 院 、 关 键 基 础 设 施 、 非 营 利 组 织 等 。 H a r o n 及 其 及 其 “ 剪 切 黏 贴 剪 切 黏 贴 ” 的 赎 金 票 据 的 赎 金 票 据 H a r o n 恶 意 软 件 的 第 一 个 样 本 于 7   月 1 9 日 提 交 给 V i r u s T o t a l 。 三 天 后 ， 韩 国 安 全 公 司 S 2 W   L a b 在 一 篇 文 章 中 报 道 了 该 组 织 ， 其 中 列 出 了 H a r o n 和 A v a d d o n 之 间 的 相 似 之 处 。 A v a d d o n 是 另 一 个 多 产 的 勒 索 软 件 即 服 务   ( R a a S )   提 供 商 ， 它 在 6 月 份 消 失 了 ， 消 失 原 因 不 同 于 继 C o l o n i a l   P i p e l i n e 和 其 他 大 型 勒 索 软 件 攻 击 之 后 的 法 律 热 潮 。 当 时 ， A v a d d o n 向 B l e e p i n g C o m p u t e r 发 布 了 其 解 密 密 钥 — — 总 共 2 9 3 4 个 ， 每 个 密 钥 分 属 一 个 受 害 者 。 据 执 法 部 门 称 ， A v a d d o n 要 求 的 平 均 勒 索 费 用 约 为 4 0 0 0 0 美 元 ， 这 意 味 着 勒 索 软 件 运 营 商 及 其 附 属 组 织 的 退 出 失 去 了 数 百 万 美 元 。 卷 土 重 来 ， 再 次 作 案 ？ 卷 土 重 来 ， 再 次 作 案 ？ S 2 W   L a b 在 7 月 2 2 日 的 帖 子 中 表 示 ， 当 感 染 H a r o n 勒 索 软 件 时 ， “ 加 密 文 件 的 扩 展 名 会 更 改 为 受 害 者 的 名 字 。 ”   H a r o n 也 与 A v a d d o n 勒 索 软 件 类 似 ， 因 为 其 运 营 商 使 用 赎 金 票 据 ， 并 运 营 自 己 的 数 据 泄 露 网 站 。 在 其 帖 子 中 ， S 2 W 提 供 了 来 自 两 个 团 伙 的 赎 金 票 据 并 排 图 像 。 如 下 图 所 示 ， 这 两 个 赎 金 票 据 连 起 来 就 像 是 经 过 了 “ 剪 切 黏 贴 ” 一 样 。 S 2 W   L a b 指 出 ， 主 要 区 别 在 于 H a r o n 建 议 受 害 者 使 用 特 定 的 I D 和 密 码 来 登 录 谈 判 站 点 。 A v a d d o n 和 H a r o n 的 赎 金 记 录 。 资 料 来 源 ： S 2 W   实 验 室
H a r o n 和 A v a d d o n 之 间 还 有 许 多 其 他 相 似 之 处 ， 包 括 ： 1 、 两 个 谈 判 网 站 上 还 有 更 多 相 似 的 措 辞 ； 2 、 除 了 “ A v a d d o n ” 的 勒 索 软 件 名 称 被 替 换 为 “ H a r o n ” 之 外 ， 谈 判 网 站 的 界 面 几 乎 相 同 ； 3 、 以 前 在 俄 罗 斯 开 发 者 论 坛 上 发 布 的 用 于 聊 天 的 相 同 开 源 J a v a S c r i p t 代 码 块 ； 4 、 两 个 泄 漏 网 站 共 享 相 同 的 结 构 。 如 果 H a r o n 是 A v a d d o n 的 重 生 ， “ 新 瓶 装 旧 酒 ” 则 包 括 一 个 策 略 — — 通 过 设 置 下 一 次 数 据 更 新 的 时 间 来 诱 导 谈 判 。 另 一 个 区 别 是 ： H a r o n 尚 未 发 现 三 重 威 胁 ， 至 少 现 在 还 没 有 。 在 三 重 威 胁 攻 击 中 ， 在 提 出 赎 金 要 求 之 前 不 仅 数 据 在 本 地 会 被 加 密 还 会 被 泄 露 ， 而 且 顽 固 的 受 害 者 还 会 受 到 分 布 式 拒 绝 服 务   ( D D o S )   攻 击 的 威 胁 ， 直 到 他 们 愿 意 缴 纳 赎 金 为 止 。 此 外 ， H a r o n 将 谈 判 时 间 缩 短 到 6 天 ， 而 A v a d d o n 则 有 1 0 天 的 谈 判 时 间 。 S 2 W 实 验 室 表 示 ， 另 一 个 不 同 之 处 在 于 这 两 种 勒 索 软 件 引 擎 的 运 行 ，   H a r o n 运 行 的 是 T h a n o s 勒 索 软 件 ， 一 种 “ 勒 索 软 件 附 属 计 划 ” ， 类 似 于 勒 索 软 件 即 服 务   ( R a a S ) ， 自 2 0 1 9 年 以 来 一 直 在 销 售 ， 而 A v a d d o n 是 用 C + + 编 写 的 。 然 而 ， 所 有 的 相 似 之 处 都 不 能 证 明 A v a d d o n 的 “ 涅 槃 重 生 ” 。 他 们 可 以 简 单 地 指 出 来 自   A v a d d o n 的 一 个 或 多 个 威 胁 参 与 者 正 在 重 新 启 动 ， 或 者 仅 此 而 已 。 根 据   S 2 W   的 文 章 显 示 ： “ 根 据 我 们 的 分 析 ， 很 难 得 出 H a r o n 是 A v a d d o n 重 新 出 现 的 结 论 。 ” 该 文 章 指 出 “ A v a d d o n 开 发 并 使 用 了 他 们 自 己 的 基 于 C + + 的 勒 索 软 件 ” ， 而 H a r o n   发 布 的 公 开 可 用 的 T h a n o s 勒 索 软 件 使 用 的 是 C # 。 S e n t i n e l O n e 的 J i m   W a l t e r 表 明 ， 他 已 经 看 到 了 A v a d d o n 和 H a r o n 样 本 之 间 的 相 似 之 处 ， 相 信 会 有 更 多 真 相 浮 出 水 面 。 截 至 7 月 2 2 日 ， H a r o n 的 泄 密 网 站 只 披 露 了 一 名 受 害 者 。 B l a c k M a t t e r 新 手 作 案 新 手 作 案 第 二 个 勒 索 软 件 新 手 自 称   B l a c k M a t t e r 。 7 月 2 7 日 ， 安 全 公 司 R e c o r d e d   F u t u r e 及 其 新 闻 部 门 T h e   R e c o r d 报 道 了 有 关 新 团 伙 的 消 息 ， 该 公 司 认 为 他 们 是 D a r k S i d e 和 R E v i l 的 继 任 者 。 风 险 情 报 公 司 F l a s h p o i n t 也 发 现 了 这 个 “ 新 手 ” ， 并 指 出 B l a c k M a t t e r 于 7 月 1 9 日 在 俄 语 地 下 论 坛 X S S 和 E x p l o i t 上 注 册 了 一 个 账 户 ， 并 将 4 个 比 特 币 （ 截 至 周 三 下 午 约 1 5 0 0 0 0 美 元 ） 存 入 其 E x p o i t   托 管 账 户 。 在 D a r k S i d e 攻 击 C o l o n i a l   P i p e l i n e 之 后 ， 这 两 个 论 坛 都 在 5 月 份 禁 止 了 勒 索 软 件 讨 论 。 灾 难 性 的 停 工 引 发 了 东 海 岸 天 然 气 囤 积 ， 联 邦 政 府 的 紧 急 命 令 ， 在 此 之 后 ， R E v i l 对 其 合 作 伙 伴 网 络 进 行 了 预 审 核 ， 表 示 禁 止 攻 击 任 何 政 府 、 公 众 、 教 育 机 构 或 医 疗 保 健 组 织 。 提 及 D a r k S i d e 此 次 事 件 ， R E v i l 的 支 持 者 表 示 ， 该 组 织 是 “ 被 迫 引 入 ” 这 些 “ 重 大 新 限 制 ” ， 承 诺 违 反 新 规 则 的 勒 索 软 件 附 属 运 营 商 将 被 踢 出 组 织 ， 并 免 费 提 供 解 密 工 具 。 F l a s h p o i n t 指 出 ， E x p l o i t 论 坛 上 的 大 量 存 款 表 明 B l a c k M a t t e r 问 题 的 严 重 性 。 7 月 2 1 日 ， 威 胁 行 为 者 表 示 ， 该 网 络 正 在 寻 求 购 买 美 国 、 加 拿 大 、 澳 大 利 亚 和 英 国 受 影 响 网 络 的 访 问 权 限 ， 可 能 是 为 了 进 行 勒 索 软 件 操 作 。 它 提 供 高 达 1 0 万 美 元 的 网 络 访 问 费 用 ， 以 及 作 为 赎 金 的 一 部 分 。 高 投 入 ， 钓 大 鱼 高 投 入 ， 钓 大 鱼 B l a c k M a t t e r 正 在 投 入 大 笔 资 金 ， 因 为 它 在 “ 钓 大 鱼 ” 。 该 组 织 表 示 ， 它 正 在 寻 找 收 入 超 过   1 亿 美 元 的 财 力 雄 厚 的 组 织 ， 这 样 的 组 织 规 模 才 有 可 能 会 支 付 大 笔 赎 金 。 威 胁 行 为 者 还 要 求 目 标 对 象 的 网 络 中 拥 有 5 0 0 至 1 5 0 0 0 台 主 机 。 这 一 要 求 适 用 于 所 有 行 业 ， 除 了 医 疗 保 健 和 政 府 组 织 。
“ 我 们 是 道 德 吸 血 鬼 我 们 是 道 德 吸 血 鬼 ” 以 道 德 自 我 标 榜 ， 特 定 行 业 组 织 绝 不 攻 击 。 T h e   R e c o r d 报 告 称 B l a c k M a t t e r 的 数 据 泄 漏 网 站 目 前 是 空 的 ， 这 意 味 着 B l a c k M a t t e r 仅 在 本 周 推 出 ， 尚 未 进 行 任 何 网 络 渗 透 攻 击 。 B l a c k M a t t e r 泄 漏 站 点 的 列 出 了 一 部 分 禁 止 访 问 的 目 标 类 型 ， 包 括 ： 医 院 关 键 基 础 设 施 （ 核 电 站 、 发 电 厂 、 水 处 理 设 施 ） 石 油 和 天 然 气 工 业 （ 管 道 、 炼 油 厂 ） 国 防 工 业 非 营 利 公 司 政 府 部 门 似 乎 有 些 许 熟 悉 ？ 在 C o l o n i a l 攻 击 之 后 ， D a r k S i d e 团 伙 在 数 据 泄 露 网 站 上 给 其 他 勒 索 团 伙 似 乎 也 带 上 了 “ 紧 箍 咒 ” 。 这 些 团 伙 的 附 属 组 织 并 一 定 会 遵 守 这 些 ， 但 是 B l a c k M a t t e r 做 出 承 诺 ， 如 果 这 些 行 业 的 受 害 者 受 到 攻 击 ， 勒 索 软 件 运 营 商 将 免 费 解 密 他 们 的 数 据 。 让 勒 索 行 为 让 勒 索 行 为 “ 合 法 化 合 法 化 ” 提 供 威 胁 情 报 和 赎 金 谈 判 G r o u p S e n s e 情 报 服 务 副 总 裁 M i k e   F o w l e r 一 直 在 关 注   B l a c k M a t t e r 。 他 在 7 月 2 8 日 告 诉 T h r e a t p o s t ， 最 近 ， H i v e 、 G r i e f 和 最 近 的 B l a c k M a t t e r 等 新 兴 R a a S 卡 特 尔 使 用 的 战 术 、 技 术 和 流 程   ( T T P ) 发 生 了 演 变 ， 这 种 演 变 让 人 想 起 由 2 0 2 0 年 M a z e 主 导 的 “ 双 重 勒 索 ” 。
F o w l e r 在 一 封 电 子 邮 件 中 说 ： “ G r o u p S e n s e 目 睹 了 R a a S 卡 特 尔 内 部 对 目 标 用 户 地 位 和 品 牌 知 名 度 的 预 期 争 夺 ， B l a c k M a t t e r 在 前 两 个 网 络 犯 罪 论 坛 上 的 帐 户 注 册 清 楚 地 证 明 了 这 一 点 。 他 们 在 俄 罗 斯 最 大 的 网 络 犯 罪 论 坛 E x p l o i t 上 将 4 个 比 特 币 存 入 他 们 的 托 管 账 户 ， 这 显 然 是 为 了 获 得 合 法 性 。 ” 瞄 准 目 标 ， 一 击 即 中 瞄 准 目 标 ， 一 击 即 中 D i g i t a l   S h a d o w s 的 S e a n   N i k k e l 在 7 月 2 8 日 表 示 ， 勒 索 团 伙 选 择 攻 击 目 标 时 也 在 谨 慎 地 做 选 择 ， 并 展 开 “ 尽 职 调 查 ” 。 N i k k e l 通 过 电 子 邮 件 说 ： “ 我 们 一 次 又 一 次 地 发 现 他 们 对 目 标 组 织 内 的 关 键 人 物 、 收 入 、 规 模 甚 至 客 户 都 有 一 些 了 解 ， 因 此 大 型 游 戏 狩 猎 的 想 法 似 乎 与 观 察 到 的 勒 索 软 件 趋 势 一 致 。 ” 他 称 勒 索 软 件 对 部 分 行 业 的 美 德 信 号 和 承 诺 是 “ 有 趣 的 转 折 ” 。 N i k k e l 补 充 道 ， “ 虽 然 R E v i l 之 前 曾 公 开 表 示 一 切 都 是 公 平 的 ， 但 如 果 他 们 真 的 重 生 了 ， 或 许 这 会 让 他 们 改 变 主 意 。 ” “ 有 趣 ” 是 描 述 它 的 一 种 方 式 ， 另 一 种 方 式 则 是 “ 如 吸 血 寄 生 虫 般 吱 吱 作 响 ” ， 正 如 A r s 报 道 的 评 论 者 所 说 ： G r o u p S e n s e 的 F o w l e r 也 没 有 被 B l a c k M a t t e r 不 伤 害 某 些 组 织 的 承 诺 所 打 动 。 他 说 这 听 起 来 特 别 空 洞 ， “ 因 为 随 着 # 2   R a a S 逐 渐 消 失 ， R E v i l 的 地 位 越 来 越 突 出 （ 可 以 推 翻 原 来 的 论 调 ） 。 ” 从 长 远 来 看 ， 虽 然 B l a c k M a t t e r 是 “ 当 今 的 风 尚 ” ， 但 F o w l e r   表 示 ， 其 他 R a a S 服 务 ， 如 C o n t i 、 G r i e f 、 H i v e 和 L o c k B i t ， “ 同 样 是 一 个 巨 大 的 威 胁 ” 。 时 间 会 证 明 ： 下 一 个 勒 索 软 件 是 时 间 会 证 明 ： 下 一 个 勒 索 软 件 是 P h o e n i x 还 是 还 是 N e w   R a t b a g ？ ？ N e w   N e t   T e c h n o l o g i e s   ( N N T )   负 责 安 全 研 究 的 全 球 副 总 裁 D i r k   S c h r a d e r 7 月 2 8 日 告 诉   T h r e a t p o s t ， 没 有 看 到 R E v i l 或 D a r k S i d e 重 新 出 现 的 明 确 迹 象 ， 任 何 人 都 难 以 下 论 断 。 他 在 一 封 电 子 邮 件 中 补 充 说 ， R E v i l 很 有 可 能 主 动 决 定 “ 取 消 一 切 并 重 新 出 现 ， 只 是 为 了 让 跟 踪 和 追 踪 变 得 更 加 困 难 ” 。 与 此 同 时 ， S c h r a d e r 预 测 ， 当 前 这 种 状 况 很 难 改 变 且 将 持 续 一 段 时 间 。 实 际 上 ， 威 胁 行 为 者 正 在 利 用 工 具 改 进 他 们 的 方 法 ， 以 查 看 具 有 “ 更 高 动 机 ” 支 付 赎 金 的 目 标 ， 例 如 K a s e y a 和 S o l a r W i n d s 。 S c h r a d e r   通 过 电 子 邮 件 表 示 ： “ 勒 索 软 件 组 织 将 继 续 寻 找 可 能 有 更 高 动 机 支 付 的 攻 击 媒 介 ， 这 是 该 业 务 的 下 一 个 发 展 方 向 ， 我 们 已 经 看 到 了 早 期 效 果 。 K a s e y a 、 S o l a r W i n d s ， 这 些 工 具 承 诺 可 以 访 问 高 价 值 资 产 ， 而 组 织 的 收 入 来 源 和 声 誉 取 决 于 这 些 资 产 。 ” S c h r a d e r 认 为 V M w a r e 最 近 添 加 的 E X S i 服 务 器 的 加 密 功 能 是 “ 未 来 的 预 兆 ” ， 并 指 出 最 近 C I S A 关 于 最 常 被 利 用 的 漏 洞 警 报 ， 其 中 包 括 关 于 C V E - 2 0 2 1 - 2 1 9 8 5 的 警 告 ： 关 键 的 远 程 代 码 执 行 （   R C E )   V M w a r e   v C e n t e r S e r v e r 和   V M w a r e   C l o u d   F o u n d a t i o n 中 的 漏 洞 。 S c h r a d e r   提 出 ： “ 从 本 质 上 讲 ， 随 着 时 间 的 推 移 ， 不 支 付 赎 金 是 唯 一 可 以 根 除 勒 索 软 件 的 方 法 。 因 此 ， 为 了 做 到 这 一 点 ， 公 司 必 须 最 大 限 度 地 减 少 他 们 的 攻 击 面 和 保 护 他 们 的 风 险 暴 露 面 ， 加 强 他 们 的 系 统 和 基 础 设 施 ， 正 确 管 理 现 有 帐 户 并 删 除 旧 帐 户 。 根 据 风 险 修 补 漏 洞 ， 受 到 攻 击 时 具 备 弹 性 网 络 的 运 行 方 式 。 ” 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理