搜索

[15870] 2020-09-19_勒索团伙追踪：Avaddon的发展历程

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-09-19_勒索团伙追踪：Avaddon的发展历程 勒 索 团 伙 追 踪 ： A v a d d o n 的 发 展 历 程 深 信 服 安 全 团 队   F r e e B u f   2 0 2 0 - 0 9 - 1 9 一 、 一 、 背 景 背 景 近 期 ， 深 信 服 威 胁 情 报 团 队 通 过 对 外 部 情 报 监 控 发 现 ， 全 球 范 围 内 超 过 2 5 0 家 企 业 正 在 遭 受 内 部 文 件 被 勒 索 团 伙 窃 取 后 在 暗 网 公 开 二 次 威 胁 。 A v a d d o n 勒 索 团 伙 就 是 其 中 一 个 典 型 。 深 信 服 千 里 目 安 全 实 验 室 对 这 个 勒 索 团 伙 有 过 深 度 分 析 ， 具 体 见 6 月 发 表 的 《 深 度 分 析 阿 瓦 顿 （ A v a d d o n ） 勒 索 软 件 》 。 情 报 监 控 发 现 ， 截 至 9 月 初 ， 该 团 伙 已 成 功 攻 击 2 家 美 国 企 业 和 1 家 美 国 院 校 ， 并 在 勒 索 未 果 后 ， 在 暗 网 上 公 开 其 敏 感 文 件 。 通 过 情 报 还 发 现 ， A v a d d o n 勒 索 团 伙 的 攻 击 目 标 亦 包 含 中 国 ， 已 有 小 部 分 国 内 企 业 受 到 影 响 ， 且 不 排 除 未 来 扩 大 影 响 的 可 能 。 本 文 将 通 过 梳 理 新 型 勒 索 团 伙 A v a d d o n 的 发 展 历 程 ， 并 分 析 其 在 国 内 的 影 响 情 况 ， 以 帮 助 大 家 更 好 的 了 解 和 防 范 此 勒 索 团 伙 。 二 、 二 、 进 击 的 进 击 的 A v a d d o n 团 伙 团 伙 1 .   单 打 独 斗 已 过 去 ， 单 打 独 斗 已 过 去 ， R a a S 服 务 是 未 来 服 务 是 未 来 2 0 2 0 年 6 月 2 日 ， A v a d d o n 团 伙 首 现 于 某 俄 罗 斯 黑 客 论 坛 ， 所 开 发 的 A v a d d o n 勒 索 软 件 除 了 供 自 身 使 用 之 外 ， 也 通 过 提 供 勒 索 即 服 务 （ R a a S ,   R a n s o m w a r e   a s   a   S e r v i c e ） 谋 求 外 部 合 作 以 窃 得 更 大 的 利 益 。 A v a d d o n 勒 索 软 件 具 备 如 下 功 能 特 点 ： 勒 索 软 件 具 备 如 下 功 能 特 点 ： C + + 编 写 ， 使 用 W i n A P I ， 无 第 三 方 依 赖 支 持 W i n d o w s 7 以 上 版 本 文 件 加 密 算 法 ： A E S 2 5 6   +   R S A 2 0 4 8 支 持 I O C P 异 步 通 知 机 制 支 持 内 网 扫 描 ， 如 S M B 扫 描 、 D F S 扫 描 使 用 P o w e r S h e l l 的 无 文 件 落 地 反 检 测 机 制 ， 设 置 注 册 表 来 绕 过 U A C ， 并 提 升 为 管 理 员 权 限 加 密 的 文 件 扩 展 名 包 括 ： M S   O f f i c e 文 档 、 P D F 、 文 本 、 数 据 库 、 图 像 文 件 和 音 频 文 件 等 等 A v a d d o n 勒 索 软 件 更 新 迭 代 时 间 线 ： 勒 索 软 件 更 新 迭 代 时 间 线 ：

另 外 ， 还 有 两 个 值 得 关 注 的 点 ： 该 团 伙 规 定 合 作 方 （ 使 用 A v a d d o n   R a a S 服 务 ） 不 得 在 独 立 国 家 联 合 体 的 成 员 国 分 发 勒 索 软 件 不 得 在 独 立 国 家 联 合 体 的 成 员 国 分 发 勒 索 软 件 ， 包 括 ： 俄 罗 斯 联 邦 、 白 俄 罗 斯 共 和 国 、 摩 尔 多 瓦 共 和 国 、 亚 美 尼 亚 共 和 国 、 阿 塞 拜 疆 共 和 国 、 塔 吉 克 斯 坦 共 和 国 、 吉 尔 吉 斯 斯 坦 共 和 国 、 哈 萨 克 斯 坦 共 和 国 、 乌 兹 别 克 斯 坦 共 和 国 。 结 合 该 结 合 该 A v a d d o n 勒 索 团 伙 只 接 受 俄 语 合 作 勒 索 团 伙 只 接 受 俄 语 合 作 方 ， 由 此 可 见 方 ， 由 此 可 见 A v a d d o n 的 攻 击 者 均 来 自 于 俄 语 国 家 。 的 攻 击 者 均 来 自 于 俄 语 国 家 。 勒 索 面 板 支 持 中 文 显 示 ， 说 明 我 国 是 该 说 明 我 国 是 该 A v a d d o n 勒 索 团 伙 计 划 攻 击 的 区 域 勒 索 团 伙 计 划 攻 击 的 区 域 。 除 此 之 外 还 支 持 英 语 、 德 语 、 法 语 、 意 大 利 语 、 西 班 牙 语 、 葡 萄 牙 语 、 日 语 和 韩 语 。 2 .   A v a d d o n 的 发 家 之 路 的 发 家 之 路 A v a d d o n 勒 索 团 伙 为 了 谋 取 更 多 的 利 益 ， 会 与 其 他 成 熟 的 黑 产 团 伙 合 作 ， 勒 索 团 伙 为 了 谋 取 更 多 的 利 益 ， 会 与 其 他 成 熟 的 黑 产 团 伙 合 作 ， 根 据 深 信 服 威 胁 情 报 关 联 数 据 ， 我 们 发 现 其 中 包 括 臭 名 昭 著 的 其 中 包 括 臭 名 昭 著 的 P h o r p i e x 僵 尸 网 络 团 伙 僵 尸 网 络 团 伙 。 部 分 A v a d d o n 勒 索 软 件 通 过 2 1 7 . 8 . 1 1 7 . 6 3 下 发 到 受 害 者 主 机 ， 而 实 际 上 2 1 7 . 8 . 1 1 7 . 6 3 为 P h o r p i e x 僵 尸 网 络 。 如 下 所 示 ：
该 模 式 为 典 型 的 A a a S （ A c c e s s   a s   a   S e r v i c e ， 访 问 即 服 务 ) ， 即 A v a d d o n 勒 索 团 伙 通 过 其 他 黑 产 团 伙 提 供 肉 鸡 访 问 权 限 来 扩 大 勒 索 面 ， 从 而 谋 取 更 多 的 利 益 。 其 合 作 方 画 像 如 下 ： 3 .   暗 流 涌 动 ， 勒 索 数 据 泄 露 频 频 发 生 暗 流 涌 动 ， 勒 索 数 据 泄 露 频 频 发 生 自 2 0 1 9 年 M e g a c o r t e x 勒 索 家 族 开 创 勒 索 软 件 窃 取 数 据 二 次 威 胁 勒 索 软 件 窃 取 数 据 二 次 威 胁 的 先 河 后 ， A v a d d o n 勒 索 团 伙 也 沿 用 此 模 式 来 威 胁 受 害 者 缴 纳 赎 金 。 据 统 计 ， 已 有 两 家 美 国 企 业 和 1 家 美 国 院 校 被 A v a d d o n 勒 索 团 伙 在 暗 网 上 公 开 私 密 性 较 高 的 文 件 ， 其 中 包 括 ： 私 人 赎 金 、 保 险 信 息 和 项 目 档 案 等 等 。 具 体 下 图 所 示 ：
据 暗 网 情 报 监 控 ， 除 A v a d d o n 勒 索 团 伙 外 ， 至 少 还 有 1 3 家 勒 索 家 族 团 伙 也 在 暗 网 上 公 开 敏 感 文 件 ， 涉 及 2 5 0 家 以 上 的 受 害 企 业 。 各 个 勒 索 团 伙 公 开 的 受 害 企 业 名 数 据 的 统 计 情 况 如 下 ： 通 过 公 开 敏 感 数 据 的 受 害 企 业 区 域 分 布 分 析 ， 勒 索 团 伙 热 衷 攻 击 于 攻 击 美 国 企 业 ， 而 从 受 害 企 业 的 行 业 分 布 来 看 ， 勒 索 团 伙 并 未 有 明 显 的 行 业 倾 向 性 。
4 .   小 结 小 结 综 合 以 上 内 容 ， 我 们 可 以 得 到 的 A v a d d o n 勒 索 团 伙 画 像 ：
三 、 三 、 A v a d d o n 已 登 陆 ， 国 内 企 业 需 保 持 警 惕 已 登 陆 ， 国 内 企 业 需 保 持 警 惕 通 过 威 胁 情 报 关 联 ， 我 们 发 现 P h o r p i e x 僵 尸 网 络 团 伙 为 A v a d d o n 勒 索 团 伙 的 合 作 方 ， 其 合 作 模 式 为 ： P h o r p i e x 僵 尸 网 络 向 各 地 分 发 携 带 恶 意 J a v a S c r i p t 代 码 的 垃 圾 邮 件 ， 最 后 通 过 B I T S a d m i n 命 令 下 载 并 执 行 A v a d d o n 勒 索 软 件 。 据 深 信 服 安 全 云 脑 统 计 ， P h o r p i e x 僵 尸 网 络 在 国 内 已 有 较 多 的 感 染 主 机 ， 从 深 信 服 安 全 设 备 拦 截 到 的 恶 意 流 量 数 据 来 看 ， 广 东 、 上 海 、 江 苏 、 浙 江 等 经 济 较 发 达 地 区 是 主 要 目 标 ， 其 它 省 份 也 受 到 不 同 程 度 的 影 响 ， 如 下 图 所 示 ： 四 、 四 、 总 结 总 结
勒 索 软 件 产 业 发 展 至 今 ， 勒 索 软 件 R a a S 服 务 与 “ 肉 鸡 ” 出 售 A s s A 服 务 相 结 合 已 然 形 成 趋 势 ， 导 致 勒 索 软 件 攻 击 的 门 槛 和 成 本 降 低 ， 攻 击 效 率 提 升 ， 影 响 范 围 扩 大 ， 并 带 来 以 下 启 示 ： 企 业 内 网 中 的 僵 尸 网 络 主 机 可 能 存 在 更 大 的 潜 在 安 全 风 险 。 如 果 没 有 及 时 处 理 内 网 中 的 僵 尸 网 络 主 机 ， 导 致 的 不 仅 仅 是 僵 尸 网 络 病 毒 在 内 网 的 持 续 扩 散 ， 且 越 来 越 多 的 “ 肉 鸡 ” 也 必 将 带 来 更 大 的 数 据 泄 露 以 及 勒 索 的 风 险 ； 因 勒 索 未 果 而 演 变 的 信 息 泄 漏 事 件 将 会 越 来 越 多 ， 勒 索 团 伙 获 得 数 据 后 的 处 理 手 段 也 会 越 来 越 激 进 ， 更 多 的 企 业 会 因 为 担 心 数 据 泄 露 而 交 赎 金 ， 如 得 不 到 有 效 控 制 ， 整 个 勒 索 软 件 黑 色 产 业 发 展 也 会 继 续 壮 大 。 为 了 应 对 愈 发 成 熟 的 勒 索 黑 产 团 伙 ， 企 业 内 部 需 要 更 多 的 了 解 黑 客 团 伙 攻 击 各 阶 段 的 威 胁 情 报 ， 以 争 取 更 多 的 主 动 权 。 借 助 威 胁 情 报 ， 企 业 可 以 更 好 的 了 解 到 各 个 攻 击 团 伙 所 使 用 的 攻 击 手 段 ， 感 知 到 黑 客 攻 击 所 处 的 各 个 阶 段 ， 再 通 过 安 全 设 备 进 行 防 御 和 拦 截 ， 最 后 按 照 提 供 的 处 置 建 议 对 设 备 中 的 威 胁 进 行 清 除 ， 加 固 网 络 环 境 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理