搜索

[14871] 2019-11-27_盘点近几年勒索病毒使用过的工具和漏洞

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2019-11-27_盘点近几年勒索病毒使用过的工具和漏洞 盘 点 近 几 年 勒 索 病 毒 使 用 过 的 工 具 和 漏 洞 千 里 目 实 验 室   F r e e B u f   2 0 1 9 - 1 1 - 2 7 早 前 ， 我 们 从 赎 金 角 度 探 讨 了 下 勒 索 病 毒 的 发 展 演 变 ， 详 细 参 考 早 前 ， 我 们 从 赎 金 角 度 探 讨 了 下 勒 索 病 毒 的 发 展 演 变 ， 详 细 参 考 从 赎 金 角 度 看 勒 索 病 毒 演 变 从 赎 金 角 度 看 勒 索 病 毒 演 变 。 加 密 数 字 货 币 和 。 加 密 数 字 货 币 和 T o r 网 络 对 勒 索 病 毒 的 基 础 性 支 撑 不 再 赘 述 ， 今 天 ， 我 们 回 归 技 术 ， 从 另 外 一 个 角 度 ， 看 勒 索 病 毒 为 何 会 如 此 猖 网 络 对 勒 索 病 毒 的 基 础 性 支 撑 不 再 赘 述 ， 今 天 ， 我 们 回 归 技 术 ， 从 另 外 一 个 角 度 ， 看 勒 索 病 毒 为 何 会 如 此 猖 獗 。 为 了 很 好 的 回 答 这 个 问 题 ， 我 们 同 样 不 急 于 切 入 主 题 。 首 先 ， 深 信 服 安 全 团 队 基 于 大 量 真 实 的 客 户 案 例 及 獗 。 为 了 很 好 的 回 答 这 个 问 题 ， 我 们 同 样 不 急 于 切 入 主 题 。 首 先 ， 深 信 服 安 全 团 队 基 于 大 量 真 实 的 客 户 案 例 及 大 量 的 威 胁 情 报 信 息 ， 来 盘 点 近 几 年 勒 索 病 毒 使 用 过 的 工 具 和 漏 洞 。 大 量 的 威 胁 情 报 信 息 ， 来 盘 点 近 几 年 勒 索 病 毒 使 用 过 的 工 具 和 漏 洞 。 工 具 工 具 本 质 上 来 讲 ， 工 具 是 无 害 的 ， 取 决 于 使 用 的 人 ， 就 像 一 把 菜 刀 ， 可 以 用 来 切 菜 ， 也 可 以 用 来 砍 人 ， 不 过 话 又 说 回 来 ， 在 特 定 场 景 和 环 境 ， 我 们 又 不 得 不 对 这 些 工 具 进 行 限 制 ， 同 样 以 菜 刀 为 例 ， 菜 刀 在 国 内 地 铁 环 境 下 ， 即 密 集 人 流 环 境 下 ， 多 数 情 况 下 是 不 允 许 被 携 带 的 ， 原 因 相 信 大 家 都 懂 的 。 其 实 ， 对 网 络 安 全 、 攻 防 对 抗 来 讲 ， 工 具 也 是 承 担 类 似 的 角 色 ， 黑 产 团 队 可 以 用 这 些 工 具 ， 安 全 团 队 也 可 以 用 这 些 工 具 ， 至 于 利 弊 来 讲 ， 是 取 决 于 使 用 者 的 最 终 目 的 的 。 以 开 源 工 具 P r o c e s s   H a c k e r 为 例 ， 安 全 团 队 可 以 用 这 个 工 具 进 行 应 急 响 应 、 恶 意 进 程 分 析 、 病 毒 查 杀 ； 而 黑 产 团 队 可 以 用 这 个 工 具 对 安 全 软 件 进 行 卸 载 ， 对 系 统 或 应 用 级 保 护 机 制 进 行 破 坏 。 对 从 事 勒 索 病 毒 活 动 的 攻 击 者 来 讲 ， 同 样 存 在 上 述 现 象 ， 攻 击 者 可 以 使 用 大 量 的 工 具 进 行 攻 击 活 动 。 深 信 服 安 全 团 队 处 理 过 大 量 的 勒 索 病 毒 案 例 ， 从 攻 击 现 场 ， 捕 获 了 大 量 的 工 具 ， 这 些 工 具 都 是 攻 击 者 所 使 用 的 。 当 然 ， 这 些 工 具 本 身 也 可 以 被 用 于 正 常 用 途 。

P r o c e s s H a c k e r P r o c e s s   H a c k e r 是 一 款 针 对 高 级 用 户 的 安 全 分 析 工 具 ， 它 可 以 帮 助 研 究 人 员 检 测 和 解 决 软 件 或 进 程 在 特 定 操 作 系 统 环 境 下 遇 到 的 问 题 。 除 此 之 外 ， 它 还 可 以 检 测 恶 意 进 程 ， 并 告 知 我 们 这 些 恶 意 进 程 想 要 实 现 的 功 能 。 P r o c e s s   H a c k e r 是 一 个 开 源 项 目 ， P r o c e s s   H a c k e r 跟 P r o c e s s E x p l o r e r 十 分 相 似 ， 但 是 P r o c e s s   H a c k e r 提 供 了 更 多 的 功 能 以 及 选 项 。 而 且 由 于 它 是 完 全 开 源 的 ， 所 以 我 们 还 可 以 根 据 自 己 的 需 要 来 自 定 义 其 他 功 能 。 就 是 这 样 一 款 工 具 ， 安 全 人 员 和 黑 客 ， 均 可 以 拿 来 使 用 ， 至 于 是 用 来 应 急 响 应 和 查 杀 病 毒 ， 还 是 用 来 破 坏 系 统 或 应 用 ， 就 取 决 于 使 用 者 。 我 们 在 大 量 的 勒 索 病 毒 攻 击 中 ， 发 现 很 多 中 勒 索 病 毒 的 主 机 ， 黑 客 都 会 上 传 一 份 P r o c e s s H a c k e r ， 在 执 行 勒 索 病 毒 前 ， 先 把 本 地 保 护 机 制 破 坏 掉 ， 防 止 加 密 过 程 被 中 断 。
P C H u n t e r P C H u n t e r 是 一 款 功 能 强 大 的 W i n d o w s 系 统 信 息 查 看 软 件 ， 同 时 也 是 一 款 强 大 的 手 工 杀 毒 软 件 ， 用 它 不 但 可 以 查 看 各 类 系 统 信 息 ， 也 可 以 揪 出 电 脑 中 的 潜 伏 的 病 毒 木 马 。 不 过 ， 深 信 服 安 全 团 队 发 现 ， 在 勒 索 病 毒 攻 击 活 动 中 ， 黑 客 也 有 可 能 使 用 这 个 工 具 ， 原 因 仍 然 是 想 在 执 行 勒 索 病 毒 前 ， 先 把 本 地 保 护 机 制 破 坏 掉 ， 防 止 加 密 过 程 被 中 断 。 有 意 思 的 是 ， 这 个 工 具 是 国 人 开 发 的 ， 也 就 是 工 具 本 身 是 中 文 版 的 ， 外 国 人 懂 的 概 率 比 较 低 （ 难 不 成 攻 击 前 得 先 学 中 文 ？ ） 。 这 里 也 是 提 醒 大 家 ， 黑 产 团 队 并 不 局 限 一 个 地 区 的 ， 像 勒 索 病 毒 这 块 “ 巨 大 的 蛋 糕 ” ， 国 内 黑 产 或 华 人 黑 产 社 区 ， 很 难 想 象 不 会 参 与 其 中 。 当 然 ， 境 外 人 士 对 国 内 的 勒 索 攻 击 行 为 相 信 是 占 大 头 的 ， 毕 竟 他 们 可 以 肆 无 忌 惮 的 攻 击 政 府 、 医 疗 等 等 敏 感 或 公 益 行 业 。 M i m i k a t z 神 器 M i m i k a t z 是 法 国 人 G e n t i   K i w i 编 写 的 一 款 w i n d o w s 平 台 下 的 工 具 ， 它 开 发 了 很 多 功 能 ， 最 令 人 熟 知 的 功 能 是 直 接 从 l s a s s . e x e 进 程 里 获 取 W i n d o w s 处 于 激 活 状 态 账 号 的 明 文 密 码 。 也 正 是 因 为 此 功 能 ， 常 常 被 黑 客 所 使 用 ， 用 于 提 取 被 入 侵 主 机 更 多 的 账 号 密 码 ， 在 勒 索 攻 击 中 非 常 常 见 。
上 图 显 示 了 某 次 勒 索 攻 击 活 动 中 M i m i k a t z 获 取 密 码 的 过 程 。 P s E x e c P s E x e c   是 一 个 轻 型 的   t e l n e t   替 代 工 具 ， 它 使 你 无 需 手 动 安 装 客 户 端 软 件 即 可 执 行 其 他 系 统 上 的 进 程 ， 并 且 可 以 获 得 与 控 制 台 应 用 程 序 相 当 的 完 全 交 互 性 。 这 是 一 款 微 软 官 方 网 站 可 以 下 载 的 工 具 ， 有 数 字 签 名 ， 属 于 “ 根 正 苗 红 ” 类 型 的 ， 很 少 有 杀 毒 软 件 会 将 这 个 软 件 当 作 病 毒 的 ， 因 为 本 身 它 也 有 正 常 的 用 途 的 。 不 过 ， 或 许 正 是 因 为 此 （ 杀 软 不 敢 “ 动 它 ” ） ， 黑 客 在 勒 索 攻 击 中 ， 也 时 常 会 使 用 这 个 工 具 ， 进 行 远 程 病 毒 执 行 和 内 网 扩 散 。 N e t w o r k S h a r e 网 络 共 享 扫 描 工 具 ， 用 于 发 现 网 络 共 享 资 源 的 ， 至 于 用 来 做 什 么 ， 看 你 的 目 的 了 。 当 然 ， 我 们 确 实 在 不 少 的 勒 索 病 毒 攻 击 中 ， 发 现 了 这 个 工 具 。 D U B r u t e D U B r u t e 是 一 款 强 大 的 远 程 桌 面 ( 3 3 8 9 ) 密 码 破 解 软 件 ， 你 可 以 用 本 附 件 的 扫 描 功 能 来 自 动 扫 描 活 跃 I P 地 址 ， 扫 描 完 成 后 设 置 好 用 户 名 与 需 要 猜 解 的 密 码 就 可 以 开 始 全 自 动 工 作 了 。 N L B r u t e 一 款 爆 破 工 具 ， 跟 D U B r u t e 比 较 类 似 ， 不 同 黑 产 团 队 可 能 使 用 不 同 的 爆 破 工 具 ， 或 者 基 于 某 种 考 虑 ， 会 轮 换 使 用 相 同
类 型 的 不 同 工 具 。 W e b B r o w s e r P a s s V i e w W e b B r o w s e r P a s s V i e w 是 一 款 功 能 强 大 的 网 页 密 码 查 看 工 具 。 该 款 工 具 会 自 动 找 出 你 在 浏 览 器 里 面 保 存 过 的 的 帐 号 和 对 应 的 密 码 并 显 示 出 来 ， 只 要 启 动 它 ， 经 过 几 秒 钟 之 后 ， 就 会 看 到 画 面 上 出 现 你 的 浏 览 器 所 记 忆 的 网 址 、 帐 号 及 密 码 了 ！ 目 前 一 共 支 持 了 I E 1 ~ I E 9 、 F i r e f o x 、 C h r o m e 及 O p e r a 等 四 种 主 流 浏 览 器 。 N a s p 一 款 服 务 安 装 软 件 。 K P o r t S c a n 一 款 端 口 扫 描 工 具 。 P o r t S c a n   &   S t u f f 一 款 端 口 扫 描 工 具 。 L a z y k a t z M i m i k a t z 作 为 一 款 神 器 ， 已 广 为 人 知 ， 杀 毒 软 件 已 将 此 软 件 视 为 “ 病 毒 ” 和 “ 黑 客 工 具 ” 。 为 了 逃 避 检 测 和 加 强 绕 过 ， L a z y k a t z 是 M i m i k a t z 的 升 级 版 本 。
P o w e r T o o l P o w e r T o o l   一 款 免 费 强 大 的 进 程 管 理 器 ， 支 持 进 程 强 制 结 束 ， 可 以 U n l o c k 占 用 文 件 的 进 程 ， 查 看 文 件 / 文 件 夹 被 占 用 的 情 况 ， 内 核 模 块 和 驱 动 的 查 看 和 管 理 ， 进 程 模 块 的 内 存 的 d u m p 等 功 能 。 最 新 版 还 支 持 上 传 文 件 在 线 扫 描 病 毒 。 支 持 离 线 的 启 动 项 和 服 务 的 检 测 和 删 除 ， 新 增 注 册 表 和 服 务 的 强 删 功 能 ， 可 在 P E 系 统 下 清 除 感 染 M B R 的 病 毒 （ 如 鬼 影 等 ） 。 M a s s c a n M a s s c a n 是 为 了 尽 可 能 快 地 扫 描 整 个 互 联 网 而 创 建 的 ， 根 据 其 作 者 r o b e r t   g r a h a m ， 这 可 以 在 不 到 6 分 钟 内 完 成 ， 每 秒 大
约 1 0 0 0 万 个 数 据 包 。 A n y D e s k A n y D e s k 是 一 款 免 费 远 程 连 接 / 远 程 桌 面 控 制 软 件 ， 在 一 些 勒 索 病 毒 攻 击 活 动 中 ， 我 们 发 现 还 是 有 些 黑 客 为 了 方 便 ， 会 预 留 一 个 远 程 软 件 ， 方 便 其 登 录 控 制 。 D e f e n d e r C o n t r o l D e f e n d e r   C o n t r o l 是 一 款 实 用 的 W i n d o w s   D e f e n d e r 控 制 工 具 ， 这 款 工 具 的 主 要 作 用 就 是 可 以 对 W i n d o w s   D e f e n d e r 进 行 开 启 和 关 闭 操 作 。 R d p _ C o n n e c t o r R D P 连 接 工 具 ， 勒 索 病 毒 攻 击 活 动 中 ， R D P 弱 密 码 作 为 一 个 很 严 重 的 问 题 ， 经 常 会 被 利 用 。
N e t p a s s N e t w o r k   P a s s w o r d   R e c o v e r y （ 系 统 管 理 员 密 码 查 看 器 ） 是 一 款 功 能 强 大 的 系 统 管 理 员 密 码 密 码 找 回 软 件 ， 如 果 忘 记 了 电 脑 系 统 管 理 员 密 码 时 ， 通 过 这 款 软 件 既 可 以 帮 助 你 轻 松 找 回 ， 让 你 能 够 继 续 使 用 电 脑 。 有 趣 的 是 ， 如 果 你 是 管 理 员 ， 找 回 密 码 是 一 种 正 常 行 为 ， 但 如 果 你 是 勒 索 病 毒 的 攻 击 者 ， “ 找 回 密 码 ” 肯 定 动 机 就 不 单 纯 了 ， 而 我 们 在 大 量 案 例 中 ， 也 确 实 发 现 了 这 个 工 具 的 使 用 痕 迹 。 G m e r G m e r 是 一 款 来 自 波 兰 的 多 功 能 安 全 监 控 分 析 应 用 软 件 。 它 能 查 看 隐 藏 的 进 程 服 务 ， 驱 动 ，   还 能 检 查 R o o t k i t ， 启 动 项 ， 并 且 具 有 内 置 命 令 行 和 注 册 表 编 辑 器   ， G m e r 具 有 强 大 监 控 功 能 。 G m e r 还 具 备 自 己 系 统 安 全 模 式 ， 清 理 顽 固 木 马 病 毒 很 得 心 应 手 ！ 同 样 的 ， 我 们 也 在 勒 索 病 毒 攻 击 中 ， 发 现 了 这 个 工 具 的 使 用 痕 迹 。 也 就 是 说 ， 工 具 只 要 好 用 ， 易 上 手 ， 基 本 上 就 会 有 很 多 人 去 用 。 漏 洞 漏 洞 漏 洞 在 勒 索 病 毒 攻 击 中 ， 同 样 扮 演 了 一 个 重 要 角 色 。 由 于 操 作 系 统 和 应 用 软 件 的 数 量 、 版 本 众 多 ， 这 些 系 统 、 软 件 和
程 序 ， 或 多 或 少 都 存 在 各 种 各 样 的 漏 洞 ， 也 正 是 由 于 这 些 漏 洞 的 存 在 ， 使 攻 击 行 为 变 得 更 加 快 速 和 高 效 。 以 下 漏 洞 ， 是 深 信 服 安 全 团 队 跟 踪 和 发 现 的 ， 在 近 几 年 被 勒 索 病 毒 攻 击 所 使 用 的 漏 洞 。 永 恒 之 蓝 漏 洞 永 恒 之 蓝 漏 洞 ( M S 1 7 - 0 1 0 ) 2 0 1 7 年 5 月 1 2 日 W a n n a C r y 勒 索 病 毒 在 全 球 爆 发 ， 勒 索 病 毒 利 用 M S 1 7 - 0 1 0 永 恒 之 蓝 漏 洞 进 行 传 播 感 染 。 短 时 间 内 感 染 全 球 3 0 w + 用 户 ， 包 括 学 校 、 医 疗 、 政 府 等 各 个 领 域 。 C o n f l u e n c e 漏 洞 漏 洞 ( C V E - 2 0 1 9 - 3 3 9 6 )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理