搜索

[14256] 2019-06-21_Ryuk勒索病毒更新，俄罗斯黑客团伙幕后开发运营

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-06-21_Ryuk勒索病毒更新，俄罗斯黑客团伙幕后开发运营 R y u k 勒 索 病 毒 更 新 ， 俄 罗 斯 黑 客 团 伙 幕 后 开 发 运 营 F r e e B u f   2 0 1 9 - 0 6 - 2 1 以 下 文 章 来 源 于 C y b e r T h r e a t A n a l y s t   ， 作 者 p a n d a z h e n g z h e n g R y u k 勒 索 病 毒 最 早 在 勒 索 病 毒 最 早 在 2 0 1 8 年 年 8 月 由 国 外 某 安 全 公 司 发 现 并 报 道 ， 此 勒 索 病 毒 主 要 通 过 垃 圾 邮 件 或 漏 洞 利 用 工 具 月 由 国 外 某 安 全 公 司 发 现 并 报 道 ， 此 勒 索 病 毒 主 要 通 过 垃 圾 邮 件 或 漏 洞 利 用 工 具 包 进 行 传 播 感 染 ， 相 关 报 道 指 出 包 进 行 传 播 感 染 ， 相 关 报 道 指 出 R y u k 的 代 码 与 的 代 码 与 H e r m e s 勒 索 病 毒 代 码 非 常 相 似 ， 而 勒 索 病 毒 代 码 非 常 相 似 ， 而 H e r m e s 恶 意 软 件 则 与 臭 名 昭 恶 意 软 件 则 与 臭 名 昭 着 的 朝 鲜 着 的 朝 鲜 L a z a r u s A P T 网 络 犯 罪 组 织 有 关 ， 那 网 络 犯 罪 组 织 有 关 ， 那 R y u k 勒 索 病 毒 是 不 是 也 是 由 朝 鲜 勒 索 病 毒 是 不 是 也 是 由 朝 鲜 L a z a r u s   A P T 组 织 运 营 和 传 播 的 组 织 运 营 和 传 播 的 呢 ？ 呢 ？ 其 实 不 是 ， 根 据 C r o w d S t r i k e 安 全 公 司 的 报 道 说 明 R y u k 勒 索 病 毒 是 由 黑 客 组 织 G R I M   S P I D E R 开 发 ， G R I M   S P I D E R 自 2 0 1 8 年 8 月 以 来 一 直 在 幕 后 运 营 R y u k 勒 索 软 件 ， 攻 击 的 目 标 主 要 是 一 些 国 外 大 型 企 业 与 机 构 ， 从 这 些 大 型 企 业 获 得 高 额 的 赎 金 ， 这 款 勒 索 病 毒 曾 经 还 利 用 T r i c k B o t 银 行 木 马 的 渠 道 来 传 播 自 己 ， 因 为 T r i c k B o t 银 行 木 马 传 播 渠 道 的 运 营 者 是 俄 罗 斯 黑 客 团 伙 W I Z A R D   S P I D E R ， G R I M   S P I D E R 是 俄 罗 斯 黑 客 团 伙 W I Z A R D   S P I D E R 的 部 门 之 一 R y u k 这 款 勒 索 病 毒 在 国 外 非 常 流 行 ， 国 外 相 关 媒 体 曾 报 道 美 国 多 家 大 型 报 社 被 该 勒 索 病 毒 攻 击 ， 导 致 发 货 中 断 ， 造 成 巨 大 损 失 ， 事 实 上 任 何 一 款 流 行 的 勒 索 病 毒 样 本 背 后 都 有 一 个 强 大 的 黑 产 运 营 团 队 持 续 运 营 ， 就 像 G a n d C r a b 勒 索 病 毒 一 样 ， 勒 索 病 毒 运 营 团 队 负 责 这 款 勒 索 病 毒 的 渠 道 更 新 扩 展 与 传 播 、 样 本 的 变 种 与 改 进 、 以 及 解 密 赎 金 的 运 作 等 等 ， R y u k 勒 索 病 毒 背 后 也 一 定 有 一 支 强 大 的 黑 客 运 营 团 队 … … 昨 天 国 外 恶 意 样 本 威 胁 研 究 团 队 M a l w a r e H u n t e r T e a m 捕 获 到 了 一 例 新 的 R y u k 勒 索 病 毒 变 种 ， 该 变 种 添 加 了 一 些 I P 地 址 黑 名 单 ， 相 匹 配 的 计 算 机 不 会 被 加 密 ， 同 时 这 款 勒 索 病 毒 样 本 采 用 了 数 字 签 名 ， 使 用 的 数 字 签 名 信 息 ， 如 下 所 示 ： C y b e r T h r e a t A n a l y s t   . 专 注 于 全 球 恶 意 软 件 的 分 析 与 研 究 ， 追 踪 全 球 黑 客 组 织 攻 击 活 动
查 看 证 书 ， 如 下 所 示 ：
数 字 证 书 的 有 效 期 为 2 0 1 9 / 6 / 1 3 - 2 0 2 0 / 6 / 1 3 ， 数 字 证 书 颁 发 者 机 构 网 站 ： h t t p s : / / w w w . t h a w t e . c o m / r e p o s i t o r y / 此 勒 索 病 毒 运 行 行 为 截 图 ， 如 下 所 示 ：
主 机 文 件 被 加 密 后 的 文 件 后 缀 名 为 R Y K , 如 下 所 示 ： 同 时 生 成 勒 索 信 息 超 文 本 文 件 R y u k R e a d M e . h t m l ， 如 下 所 示 ： 黑 客 只 留 下 了 联 系 方 式 ， 受 害 者 需 要 联 系 黑 客 进 行 解 密 ， 两 个 邮 箱 地 址 ， 如 下 ： 勒 索 病 毒 核 心 技 术 剖 析 勒 索 病 毒 核 心 技 术 剖 析 此 变 种 样 本 同 样 采 用 了 代 码 混 淆 加 壳 等 技 术 ， 通 过 动 态 调 试 ， 解 密 出 相 关 的 数 据 ， 如 下 所 示 ： s o r c i n a c i n @ p r o t o n m a i l . c o m n e y h y r e t i m @ p r o t o n m a i l . c o m
二 次 解 密 数 据 ， 如 下 所 示 ： 最 后 再 解 密 出 相 应 的 勒 索 病 毒 核 心 代 码 ， 经 过 了 三 次 解 密 操 作 ， 在 内 存 中 还 原 最 终 的 勒 索 病 毒 核 心 P a y l o a d 程 序 ， 如 下 所 示 ： 分 析 勒 索 病 毒 核 心 P a y l o a d ， 可 以 发 现 它 增 加 了 一 I P 黑 名 单 字 符 串 ， 在 这 些 名 单 之 内 的 主 机 不 会 被 加 密 ， 直 接 退 出 ， 如 下 所 示 ：
相 应 的 I P 地 址 字 符 串 列 表 ， 如 下 ： 同 时 它 还 增 加 了 计 算 机 名 与 相 应 的 字 符 串 进 行 比 较 ， 如 果 计 算 机 名 中 包 含 这 些 字 符 串 ， 则 不 加 密 主 机 ， 如 下 所 示 ： 获 取 的 计 算 机 名 称 与 下 面 的 一 些 字 符 串 ： “ S P B ” ， “ S p b ” ， “ s p b ” ， “ M S K ” ， “ M s k ” 和 “ m s k ” 进 行 比 较 ，   如 果 计 算 机 名 称 包 含 这 些 字 符 串 中 的 任 何 一 个 ， R y u k 将 不 会 加 密 此 计 算 机 。 这 款 勒 索 病 毒 也 检 测 了 操 作 系 统 语 言 ， 如 果 为 相 关 地 区 语 言 的 主 机 ， 则 不 加 密 主 机 ， 如 下 所 示 ： 相 关 的 地 区 列 表 ， 如 下 ： 可 以 看 到 它 主 要 是 躲 避 了 俄 罗 斯 的 相 关 地 区 ， 以 防 这 些 地 区 的 主 机 被 加 密 。 * 本 文 作 者 ： 本 文 作 者 ：   熊 猫 正 正 ， 转 载 请 注 明 来 自 熊 猫 正 正 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 1 0 . 3 0 . 4 、 1 0 . 3 0 . 5 、 1 0 . 3 0 . 6 、 1 0 . 3 1 . 3 2 4 1 9 ( L A N G _ R U S S I A N   俄   语   ) 4 2 2 ( L A N G _ U K R A I N I A N   乌 克 兰 )   4 2 3 ( L A N G _ B E L A R U S I A N   白 俄 罗 斯 )

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理