搜索

[12605] 2018-04-19_黑客入侵加密企业所有服务器，嚣张留言勒索9.5比特币

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-04-19_黑客入侵加密企业所有服务器，嚣张留言勒索9.5比特币 黑 客 入 侵 加 密 企 业 所 有 服 务 器 ， 嚣 张 留 言 勒 索 9 . 5 比 特 币 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 8 - 0 4 - 1 9 0 × 1   概 述 概 述 近 日 ， 腾 讯 御 见 威 胁 情 报 中 心 接 到 某 公 司 反 馈 ， 公 司 里 数 台 近 日 ， 腾 讯 御 见 威 胁 情 报 中 心 接 到 某 公 司 反 馈 ， 公 司 里 数 台 W i n d o w s 服 务 器 中 了 勒 索 病 毒 ， 电 脑 除 了 服 务 器 中 了 勒 索 病 毒 ， 电 脑 除 了 C 盘 ， 其 盘 ， 其 他 磁 盘 分 区 都 被 整 个 加 密 ， 公 司 业 务 已 接 近 停 摆 。 此 外 ， 该 勒 索 病 毒 勒 索 索 要 的 赎 金 高 达 他 磁 盘 分 区 都 被 整 个 加 密 ， 公 司 业 务 已 接 近 停 摆 。 此 外 ， 该 勒 索 病 毒 勒 索 索 要 的 赎 金 高 达 9 . 5 比 特 币 （ 约 比 特 币 （ 约 4 0 万 人 万 人 民 币 ） 。 在 实 际 攻 击 场 景 中 ， 一 次 勒 索 如 此 高 的 金 额 尚 属 少 见 。 民 币 ） 。 在 实 际 攻 击 场 景 中 ， 一 次 勒 索 如 此 高 的 金 额 尚 属 少 见 。 图 1   桌 面 上 被 加 密 的 文 档 0 × 2   事 件 分 析 事 件 分 析 1 、 通 过 对 该 公 司 内 网 各 个 服 务 器 分 析 ， 发 现 服 务 器 多 用 了 弱 口 令 ， 且 多 台 服 务 器 使 用 了 相 同 的 密 码 ， 很 容 易 被 爆 破 攻 击 。 各 服 务 器 上 的 日 志 显 示 ， 黑 客 先 入 侵 了 该 公 司 官 网 的 W e b 服 务 器 ， 而 该 公 司 的 W e b 服 务 器 与 公 司 内 网 相 通 ， 进 而 使 得 黑 客 可 以 通 过 W e b 服 务 器 进 行 内 网 渗 透 ， 内 网 各 个 服 务 器 均 受 到 攻 击 。
图 2   黑 客 入 侵 路 径 示 意 图 此 外 ， 在 被 攻 击 的 服 务 器 上 ， 发 现 黑 客 存 放 的 工 具 软 件 P C H u n t e r ， 疑 似 是 黑 客 用 该 工 具 结 束 服 务 器 上 安 装 的 安 全 软 件 运 行 。 图 3 在 被 攻 击 的 W e b 服 务 器 上 发 现 黑 客 使 用 的 内 网 渗 透 工 具 包 。 其 中 包 括 ： m s 1 6 - 0 3 2 h h . e x e （ 本 地 提 权 工 具 ） 、 d e m o . e x e （ 远 控 木 马 ） ， m 3 2 . e x e （ 密 码 抓 取 工 具 m i m i k a t z ） ， H s c a n （ 内 网 扫 描 器 ） 等 。 图 4 其 中 d e m o . e x e 实 际 上 为 一 个 自 解 压 包 ， 包 含 了 以 下 3 部 分 ， i u s b 3 m o n . e x e 为 白 利 用 程 序 ， 携 带 了 正 规 白 签 名 ， i u s b 3 m o n . d l l 为 一 个 劫 持 D L L ， i u s b 3 m o n . h l p 为 一 个 外 部 加 密 文 件 。
图 5 该 攻 击 模 块 其 实 为 P l u g X   R a t 家 族 木 马 。 P l u g X   通 常 也 被 称 为 是   K O R P L U G ， S O G U ， D e s t r o y R A T ， 被 不 同 的 组 织 用 于 有 针 对 性 的 攻 击 ， 是 一 个 模 块 化 的 后 门 程 序 ， 它 被 设 计 为 依 靠 执 行 签 名 合 法 的 可 执 行 文 件 来 加 载 恶 意 代 码 ， 本 次 木 马 攻 击 流 程 如 下 图 ： 图 6 通 常 ， P l u g X   有 三 个 主 要 组 件 ， 一 个   D L L ， 一 个 加 密 的 二 进 制 代 码 文 件 和 一 个 合 法 且 经 过 签 名 的 可 执 行 文 件 。 本 次 攻 击 主 模 块 i u s b 3 m o n . e x e 最 终 在 P r o g r a m D a t a 目 录 下 创 建 W S 文 件 夹 ， 并 把 木 马 相 关 模 块 释 放 到 该 目 录 设 置 为 系 统 隐 藏 属 性 运 行 后 自 删 除 。 图 7 木 马 通 过 读 取 外 部 加 密 文 件 i u s b 3 m o n . h l p 到 内 存 ， 并 使 用 自 定 义 算 法 分 别 与 0 x 6 3 执 行 相 减 ， 异 或 ， 相 加 后 解 密 出 恶 意 代 码 执 行 。
图 8 解 密 后 的 恶 意 代 码 最 后 创 建 僵 尸 进 程 “ s v c h o s t . e x e ” 使 用 P r o c e s s   H o l l o w i n g 方 法 来 将 自 身 注 入 到 系 统 进 程 中 运 行 ， 这 样 做 也 更 加 隐 蔽 了 木 马 的 行 踪 。 图 9 被 注 入 恶 意 代 码 的 s v c h o s t . e x e 系 统 进 程 最 终 会 通 过 C & C 地 址 ： s u n s h i n e 5 . 3 - a . n e t 连 接 黑 客 ， 通 过 该 后 门 ， 黑 客 也 能 实 现 长 久 的 潜 伏 控 制 入 侵 服 务 器 。
图 1 0 2 、 对 加 密 进 行 分 析 ， 发 现 该 次 勒 索 攻 击 不 同 于 常 规 的 传 播 运 行 勒 索 病 毒 ， 而 是 使 用 了 正 规 的 磁 盘 加 密 保 护 软 件 B e s t C r y p t   V o l u m e   E n c r y p t i o n 。 B e s t C r y p t   V o l u m e   E n c r y p t i o n 是 一 款 专 业 加 密 软 件 厂 商 开 发 的 磁 盘 保 护 软 件 ， 能 将 整 个 分 区 加 密 ， 加 密 后 除 非 有 加 密 时 候 设 置 的 口 令 ， 否 则 难 以 通 过 第 三 方 去 恢 复 解 密 。 而 在 此 次 攻 击 中 ， 黑 客 则 利 用 了 这 款 B e s t C r y p t 加 密 软 件 对 服 务 器 上 的 磁 盘 进 行 了 加 密 。 图 1 1 使 用 B e s t C r y p t 来 加 密 ， 能 降 低 黑 客 自 己 的 开 发 成 本 。 部 分 勒 索 病 毒 存 在 漏 洞 为 解 密 文 件 提 供 了 可 能 ， 而 利 用 成 熟 的 商 业 软 件 来 加 密 使 得 解 密 难 度 变 得 更 大 ； 此 外 ， 利 用 正 规 软 件 也 更 方 便 逃 避 安 全 软 件 查 杀 。 3 、 黑 客 在 服 务 器 桌 面 上 留 下 多 份 勒 索 信 息 ， 查 看 后 发 现 勒 索 的 赎 金 达 9 . 5 个 比 特 币 （ 约 人 民 币 4 0 万 元 ） ， 一 般 勒 索 病 毒 破 坏 后 索 要 的 赎 金 多 数 是 1 - 2 个 比 特 币 ， 在 实 际 攻 击 场 景 中 一 次 勒 索 如 此 高 额 赎 金 的 还 尚 属 少 见 。 该 黑 客 公 然 在 留 言 中 对 受 害 企 业 进 行 敲 诈 勒 索 ， 用 词 极 为 嚣 张 。 比 如 “ 我 们 并 不 是 自 动 传 播 的 勒 索 病 毒 ， 而 是 专 门 针 对 企 业 定 向 攻 击 的 专 业 黑 客 组 织 。 ” “ 2 - 3 天 内 未 回 复 我 们 将 采 取 攻 击 破 坏 手 段 ， 破 坏 比 加 密 容 易 的 多 … … ” 还 举 例 自 己 干 过 更 嚣 张 的 破 坏 行 动 ： “ 某 企 业 被 加 密 后 3 天 没 有 回 复 ， 我 们 （ 指 黑 客 组 织 ） 删 除 了 该 企 业 虚 拟 机 宿 主 机 服 务 器 中 近 1 0 0 台 虚 拟 服 务 器 ， 公 司 陷 入 瘫 痪 损 失 巨 大 … … ” 等 等 。
图 1 2 查 看 该 黑 客 收 款 的 比 特 币 钱 包 ， 发 现 暂 未 收 到 任 何 赎 金 。 图 1 3 此 外 ， 该 黑 客 为 了 证 明 自 己 是 个 “ 良 心 ” 商 人 ， 在 勒 索 信 息 中 花 了 大 量 篇 幅 证 明 支 付 赎 金 之 后 可 以 成 功 解 密 ， 并 且 还 会 提 供 调 试 数 据 库 和 代 码 错 误 的 附 加 服 务 。 图 1 4 0 × 3   安 全 建 议 安 全 建 议 从 整 个 攻 击 过 程 可 以 看 到 ， 黑 客 首 先 入 侵 W e b 服 务 器 ， 进 而 进 行 内 网 渗 透 ， 利 用 弱 口 令 漏 洞 逐 个 攻 陷 内 网 多 台 服 务 器 ， 在 系 统 存 在 严 重 案 例 漏 洞 的 情 况 下 ， 即 使 服 务 器 上 已 安 装 安 全 软 件 也 会 被 黑 客 轻 易 关 闭 。 针 对 该 类 勒 索 攻 击 ， 腾 讯 御 见 威 胁 情 报 中 心 给 出 如 下 安 全 建 议 ：
1 、 关 闭 服 务 器 不 必 要 的 端 口 2 、 切 勿 使 用 弱 密 码 ， 并 且 各 服 务 器 不 要 使 用 同 一 个 密 码 3 、 将 内 外 网 隔 离 ， 对 外 服 务 器 尽 量 与 内 网 隔 离 ， 防 止 对 外 服 务 器 被 入 侵 后 ， 黑 客 能 进 一 步 渗 透 内 网 4 、 重 要 数 据 、 系 统 、 机 器 只 允 许 授 权 的 i p 地 址 访 问 5 、 及 时 修 复 高 危 漏 洞 6 、 定 期 备 份 重 要 数 据 7 、 部 署 腾 讯 云 网 站 管 家 W A F （ h t t p s : / / s . t e n c e n t . c o m / p r o d u c t / w z g j / i n d e x . h t m l ） 。 腾 讯 云 网 站 管 家   W A F （ W e b   A p p l i c a t i o n   F i r e w a l l ） 通 过   W e b   入 侵 防 护 、 0 D a y   漏 洞 补 丁 修 复 、 恶 意 访 问 惩 罚 、 云 备 份 防 篡 改 等 多 维 度 防 御 策 略 全 面 防 护 网 站 的 系 统 及 业 务 安 全 ， 是 一 款 专 业 为 网 站 服 务 的 一 站 式 智 能 防 护 平 台 。 I O C C 2 ： ： s u n s h i n e 5 . 3 - a . n e t 1 . 1 9 9 . 3 1 . 2 0 8 9 1 . 2 4 7 . 3 8 . 6 1 M D 5 ： 9 e 0 7 6 d 9 1 8 a 0 2 3 1 6 0 1 8 0 5 2 3 c 6 3 4 3 0 0 b 1 f d 1 b 7 f 4 5 9 4 0 0 3 5 5 6 d 6 2 0 d f b 5 3 6 5 4 9 d c 9 2 0 5 f a d 2 e 7 7 c 6 c 0 3 b 2 c a 2 5 9 7 a f 9 e e 6 3 d d 4 0 5 f a d 2 e 7 7 c 6 c 0 3 b 2 c a 2 5 9 7 a f 9 e e 6 3 d d 4 7 1 7 2 1 4 f 6 4 6 d 3 0 d a 1 6 d 7 c 0 7 e a f 1 1 c 1 0 1 d 参 考 资 料 参 考 资 料 h t t p s : / / s . t e n c e n t . c o m / r e s e a r c h / r e p o r t / 4 3 5 . h t m l h t t p s : / / s . t e n c e n t . c o m / r e s e a r c h / r e p o r t / 4 3 3 . h t m l * 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理