搜索

[12325] 2018-02-05_螳螂捕蝉黄雀在后，通过.onion域名转移支付的勒索比特币

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2018-02-05_螳螂捕蝉黄雀在后，通过.onion域名转移支付的勒索比特币 螳 螂 捕 蝉 黄 雀 在 后 ， 通 过 . o n i o n 域 名 转 移 支 付 的 勒 索 比 特 币 J i n g l e C a t s   F r e e B u f   2 0 1 8 - 0 2 - 0 5 P r o o f p o i n t 的 研 究 人 员 对 之 前 未 曾 报 道 过 的 一 种 威 胁 进 行 跟 踪 ， 发 现 代 理 运 营 者 通 过 的 研 究 人 员 对 之 前 未 曾 报 道 过 的 一 种 威 胁 进 行 跟 踪 ， 发 现 代 理 运 营 者 通 过 T o r 代 理 代 理 o n i o n [ . ] t o p 盗 取 比 盗 取 比 特 币 。 代 理 的 运 营 者 正 秘 密 地 将 被 勒 索 受 害 者 支 付 的 比 特 币 赎 金 转 移 到 自 己 比 特 币 钱 包 中 ， 对 被 勒 索 的 受 害 者 特 币 。 代 理 的 运 营 者 正 秘 密 地 将 被 勒 索 受 害 者 支 付 的 比 特 币 赎 金 转 移 到 自 己 比 特 币 钱 包 中 ， 对 被 勒 索 的 受 害 者 和 实 施 勒 索 的 攻 击 者 双 方 都 造 成 影 响 。 这 种 方 式 用 《 庄 子 和 实 施 勒 索 的 攻 击 者 双 方 都 造 成 影 响 。 这 种 方 式 用 《 庄 子 · 山 木 》 中 的 山 木 》 中 的 “ 螳 螂 捕 蝉 ， 黄 雀 在 后 螳 螂 捕 蝉 ， 黄 雀 在 后 ” 形 容 ， 再 恰 当 不 过 形 容 ， 再 恰 当 不 过 了 。 了 。 背 景 ： 背 景 ： T o r 代 理 代 理 许 多 恶 意 勒 索 案 例 中 ， 攻 击 者 都 向 受 害 者 提 出 支 付 要 求 ， 受 害 者 必 须 访 问 一 个 T o r   . o n i o n 网 站 来 向 特 定 的 比 特 币 地 址 支 付 赎 金 。 由 于 大 多 数 用 户 通 常 不 安 装 T o r 浏 览 器 ， 所 以 他 们 可 能 会 使 用 T o r 代 理 ， 一 些 赎 金 提 示 中 也 建 议 他 们 这 样 操 作 。 T o r 代 理 是 可 以 将 T o r 流 量 转 换 成 正 常 网 页 流 量 的 网 站 ， 这 就 给 了 网 站 运 营 者 成 为 中 间 人 并 毫 无 限 制 的 替 换 内 容 的 权 利 。 T o r 代 理 使 用 起 来 简 单 ， 用 户 一 般 只 需 在 o n i o n U R L 后 添 加 扩 展 名 即 可 ， 如 . t o . c a b ， 它 就 变 成 可 在 正 常 浏 览 器 使 用 的 链 接 。 比 如 要 访 问 h x x p s : / / r o b u s t t l d k x i u q c 6 [ . ] o n i o n / ， 用 户 需 要 使 用 T o r 浏 览 器 ， 或 者 在 任 意 浏 览 器 上 访 问 h x x p s : / / r o b u s t t l d k x i u q c 6 [ . ] o n i o n [ . ] t o / 即 可 。 L o c k e r R 有 很 多 的 代 理 提 供 商 使 用 o n i o n [ . ] t o p 代 理 ， 第 一 次 发 现 这 种 威 胁 行 为 是 在 恶 意 勒 索 软 件 L o c k e r R 的 勒 索 信 息 中 ， 如 图 。
研 究 人 员 也 发 布 了 类 似 的 攻 击 报 告 ， 如 E v r i a l 盗 取 信 息 木 马 监 视 W i n d o w s 剪 贴 板 上 的 比 特 币 支 付 地 址 （ 包 括 使 用 S t e a m 支 付 的 字 符 串 ） ， 并 将 剪 贴 板 上 的 地 址 改 成 攻 击 者 自 己 的 。 L o c k e r R 在 2 0 1 7 年 1 0 月 首 次 被 发 现 ， 最 近 它 通 过 R I G - v 利 用 工 具 包 进 行 传 播 ， 通 过 比 较 其 支 付 网 站 在 T o r 浏 览 器 和 . t o p 的 T o r 代 理 中 显 示 的 信 息 ， 发 现 利 用 o n i o n . t o p 访 问 的 比 特 币 支 付 地 址 被 替 换 了 （ 如 图 ） 。 可 以 看 到 通 过 T o r 访 问 的 地 址 是 正 确 的 ， 因 为 它 向 所 有 受 害 者 展 示 的 地 址 都 一 样 。 相 反 ， 通 过 . t o p T o r 代 理 访 问 的 就 不 一 致 。 G l o b e I m p o s t e r 对 于 G l o b e I m p o s t e r 的 支 付 地 址 ， 通 过 两 种 方 式 查 看 的 地 址 也 是 不 一 样 的 。
S i g m a 勒 索 软 件 勒 索 软 件 测 试 S i g m a 恶 意 勒 索 软 件 也 被 替 换 了 ， 并 且 注 意 到 该 地 址 和 G l o b e I m p o s t e r 中 替 换 的 地 址 相 同 ( 1 Q 6 4 u W n K M U o Z 6 G 7 B S r H 7 7 x d r e w M o u 2 z G p U ) 。 已 被 转 移 的 比 特 币 数 量 已 被 转 移 的 比 特 币 数 量 研 究 者 通 过 对 替 换 的 比 特 币 地 址 的 检 查 ， 确 定 运 营 商 可 能 窃 取 了 多 少 比 特 币 。 下 图 中 展 示 了 两 个 比 特 币 地 址 窃 取 的 数
量 分 别 约 为 0 . 1 5 B T C 和 1 . 8 2 B T C ， 对 于 其 它 未 展 示 出 来 的 比 特 币 地 址 ， 研 究 者 也 不 清 楚 具 体 窃 取 了 多 少 比 特 币 。 最 后 说 明 最 后 说 明 . o n i o n . t o p 也 不 是 对 所 有 的 勒 索 软 件 变 体 都 尝 试 重 定 向 ， 测 试 中 B i t P a y m e r 勒 索 软 件 的 比 特 币 地 址 就 没 有 改 变 。 专 业 的 勒 索 软 件 研 发 人 员 也 意 识 到 了 这 个 问 题 ， 他 们 试 图 通 过 “ 用 户 教 育 ” 和 技 术 手 段 预 防 这 种 行 为 。 如 L o c k e r R ， 攻 击 者 之 后 在 勒 索 提 示 中 删 除 了 . t o p 链 接 ， 并 且 专 门 用 红 色 文 字 警 示 受 害 者 。 M a g n i b e r 恶 意 软 件 将 比 特 币 地 址 分 为 四 个 部 分 放 到 H T M L 源 码 中 ， 使 代 理 更 难 检 测 到 比 特 币 地 址 。 G l o b e I m p o s t e r 勒 索 软 件 要 求 用 户 使 用 T o r 浏 览 器 并 且 对 受 害 者 隐 藏 了 . o n i o n 的 支 付 地 址 ， 它 不 再 在 勒 索 提 示 文 件 中 提 供 一 个 链 接 ， 而 是 在 提 示 文 件 中 对 地 址 进 行 混 淆 ， 用 户 单 击 一 个 按 钮 后 还 原 混 淆 。
总 结 总 结 o n i o n . t o p 的 运 营 商 并 没 有 盗 取 很 多 比 特 币 ， 这 种 类 型 的 活 动 破 坏 了 攻 击 者 和 受 害 者 之 间 的 信 任 关 系 ， 对 那 些 试 图 支 付 赎 金 解 密 文 件 的 受 害 者 来 说 影 响 很 大 。 这 也 对 实 施 勒 索 攻 击 从 中 获 取 利 益 的 攻 击 者 带 来 了 一 个 头 疼 的 问 题 ， 降 低 了 受 害 者 支 付 赎 金 的 意 愿 度 ， 从 而 降 低 攻 击 者 的 收 益 。 这 反 映 了 所 有 针 对 加 密 货 币 实 施 盗 窃 行 为 的 趋 势 ， 加 密 货 币 市 场 的 持 续 不 稳 定 以 及 增 加 对 T o r 网 络 的 兴 趣 。 也 潜 在 加 剧 了 T o r 带 来 的 滥 用 ， 对 新 用 户 造 成 额 外 风 险 。 攻 击 指 示 （ 攻 击 指 示 （ I O C s ） ） |   I O C |   I O C 类 型 |   描 述 | |   — -   |   — -   |   — -   | |   7 c f 3 9 e b b 4 4 0 9 b 1 3 a 7 c 1 5 3 a b f f 6 6 6 1 c c 4 d 2 8 d 8 d 7 1 0 9 5 4 3 d 6 4 1 9 4 3 8 a c 9 f 2 f 1 b e 5 7   |   S H A 2 5 6   |   L o c k e R   r a n s o m w a r e   | |   l o c k e r r w h u a f 2 j j x [ . ] o n i o n   |   D o m a i n   |   L o c k e R   r a n s o m w a r e   C & C   | |   a e 0 d 2 8 e 8 d 5 7 3 2 9 8 6 6 6 2 4 e c 6 c f 6 3 b 9 6 0 9 f e 9 e 6 8 5 2 0 0 0 2 9 d 3 a a 2 0 7 e d a 6 7 7 4 7 f c d 7   |   S H A 2 5 6   |   G l o b e I m p o s t e r   r a n s o m w a r e   | |   b c w f g a 5 s s x h 3 j r l p . o n i o n   |   D o m a i n   |   G l o b e I m p o s t e r   r a n s o m w a r e   C & C   | |   8 f 6 6 b b 4 9 4 b 3 f c 3 0 6 3 b 1 8 a 1 8 a 5 1 c 7 b 8 5 d a 9 0 d c 1 b b 4 2 9 d e d 2 1 e 7 d b b 0 2 b 4 0 4 d 3 8 3 1   |   S H A 2 5 6   |   S i g m a   r a n s o m w a r e   | |   y o w l 2 u g o p i t f z z w b [ . ] o n i o n   |   D o m a i n   |   S i g m a   r a n s o m w a r e   C & C   |
|   o n i o n [ . ] t o p | 4 6 . 2 4 6 . 1 2 0 . 1 7 9   |   D o m a i n | I P   |   o n i o n [ . ] t o p   T o r   G a t e w a y   | * 参 考 来 源 ： 参 考 来 源 ：   P r o o f P o i n t   ， 本 文 作 者 ： ， 本 文 作 者 ： J i n g l e C a t s ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理