搜索

[22187] 2021-07-26_BlackKingdom恶意软件分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-07-26_BlackKingdom恶意软件分析 B l a c k   K i n g d o m 恶 意 软 件 分 析 转 自 f r e e b u f   L e m o n S e c   2 0 2 1 - 0 7 - 2 6 在 2 0 1 9 年 发 现 了 针 对 M i c r o s o f t   E x c h a n g e   S e r v e r   漏 洞 的 勒 索 软 件 B l a c k   K i n g d o m   ， 该 恶 意 软 件 由 p y t h o n 编 码 。 今 年 再 次 发 现 其 恶 意 活 动 ， 该 勒 索 软 件 利 用   M i c r o s o f t   E x c h a n g e   漏 洞   ( C V E - 2 0 2 1 - 2 7 0 6 5 ) 进 行 传 播 。 勒 索 软 件 使 用 P y t h o n   编 码 并 用   P y I n s t a l l e r   编 译 为 可 执 行 文 件 ； 它 支 持 两 种 密 钥 生 成 模 式 ： 动 态 生 成 密 钥 和 硬 编 码 密 钥 。 背 景 背 景 3   月 底 公 开 报 道 了 C V E - 2 0 2 1 - 2 7 0 6 5   M i c r o s o f t   E x c h a n g e   漏 洞 （ 称 为   P r o x y L o g o n ） 攻 击 活 动 中 出 现 了 名 为   B l a c k K i n g d o m   的 勒 索 软 件 家 族 。 对   B l a c k   K i n g d o m   分 析 表 明 ， 它 存 在 一 些 b u g 和 关 键 性 的 加 密 缺 陷 ， 由 于 使 用 了 硬 编 码 密 钥 ， 受 害 者 可 利 用 其 解 密 文 件 。 它 在   2 0 2 0   年 还 利 用 了 其 他 漏 洞 ， 例 如   C V E - 2 0 1 9 - 1 1 5 1 0 。 技 术 分 析 技 术 分 析 传 播 方 式 传 播 方 式 该 勒 索 软 件 集 团 在 目 标 上 成 功 利 用 该 漏 洞 后 ， 会 在 受 感 染 的 系 统 中 安 装   w e b s h e l l 。 w e b s h e l l   使 攻 击 者 能 够 执 行 任 意 命 令 ， 例 如 下 载 和 运 行   B l a c k   K i n g d o m   可 执 行 文 件 。 休 眠 参 数 休 眠 参 数 勒 索 软 件 可 以 在 没 有 参 数 的 情 况 下 执 行 ， 并 开 始 加 密 系 统 ， 也 可 以 加 入 参 数 运 行   B l a c k   K i n g d o m ， 它 会 在 开 始 加 密 之 前 进 行 等 待 。 B l a c k   K i n g d o m   使 用   P y t h o n 3 . 7   编 写 并 使 用   P y I n s t a l l e r   编 译 为 可 执 行 文 件 。 大 部 分 勒 索 软 件 逻 辑 都 被 编 码 到 名 为 0 x f f f . p y   的 文 件 中 。
排 除 的 目 录 排 除 的 目 录 B l a c k   K i n g d o m   加 密 时 会 排 除 某 些 文 件 夹 ， 避 免 在 加 密 期 间 破 坏 系 统 。 W i n d o w s , P r o g r a m D a t a , P r o g r a m   F i l e s , P r o g r a m   F i l e s   ( x 8 6 ) , A p p D a t a / R o a m i n g , A p p D a t a / L o c a l L o w , A p p D a t a / L o c a l . P o w e r S h e l l   命 令 命 令 在 文 件 加 密 之 前 ， B l a c k   K i n g d o m   使 用   P o w e r S h e l l   停 止 系 统 中 所 有 包 含 “ s q l ” 的 进 程 ： G e t - S e r v i c e * s q l * | S t o p - S e r v i c e - F o r c e 2 > $ n u l l 完 成 后 删 除 系 统 中 的   P o w e r S h e l l   历 史 记 录 ， 攻 击 者 试 图 通 过 删 除 其 活 动 的 所 有 痕 迹 来 隐 藏 在 系 统 中 。 加 密 过 程 加 密 过 程 B l a c k   K i n g d o m   基 于 以 下 算 法 生 成   A E S - 2 5 6   密 钥 。
恶 意 软 件 会 生 成 一 个   6 4   个 字 符 的 伪 随 机 字 符 串 ， 然 后 获 取 字 符 串 的   M D 5   哈 希 值 并 将 其 用 作   A E S - 2 5 6   加 密 的 密 钥 。 生 成 的 密 钥 会 发 送 到 第 三 方 服 务 ， 如 果 连 接 不 成 功 ， B l a c k   K i n g d o m   将 使 用 代 码 中 的 硬 编 码 密 钥 对 数 据 进 行 加 密 。 以 下 是 与 第 三 方 服 务 成 功 连 接 的 示 例 ： 通 信 数 据 格 式 如 下 ： I D :   G e n e r a t e d   I D   f o r   u s e r   i d e n t i f i c a t i o n K e y :   G e n e r a t e d   u s e r   k e y U s e r :   U s e r n a m e   i n   t h e   i n f e c t e d   s y s t e m D o m a i n :   D o m a i n   n a m e   t o   w h i c h   t h e   i n f e c t e d   u s e r   b e l o n g s
B l a c k   K i n g d o m   可 以 通 过 传 参 的 方 式 加 密 单 个 文 件 ， 代 码 实 现 如 下 ： 如 果 没 有 任 何 参 数 传 入 ， 恶 意 软 件 将 会 枚 举 系 统 文 件 ， 然 后 多 进 程 对 文 件 进 行 加 密 。
B l a c k   K i n g d o m   还 会 枚 举 各 种 驱 动 器 号 并 对 其 进 行 加 密 ， 并 在 每 个 加 密 目 录 留 下 勒 索 信 息 。 加 密 错 误 加 密 错 误 勒 索 软 件 开 发 过 程 中 出 现 了 一 些 b u g ， 例 如 ， 加 密 密 钥 管 理 不 当 ， 或 者 即 使 受 害 者 支 付 了 费 用 也 无 法 恢 复 。 B l a c k K i n g d o m   尝 试 将 生 成 的 密 钥 上 传 到   M e g a ， 如 果 上 传 失 败 ， 使 用 硬 编 码 密 钥 对 文 件 进 行 加 密 。 如 果 文 件 已 加 密 且 系 统 无 法 与   M e g a   建 立 连 接 ， 可 以 使 用 硬 编 码 密 钥 恢 复 文 件 。 在 加 密 过 程 中 ， B l a c k   K i n g d o m   不 会 检 查 文 件 是 否 已 经 加 密 ， 如 果 系 统 被   B l a c k   K i n g d o m   感 染 两 次 ， 系 统 中 的 文 件 也 会 被 加 密 两 次 。
系 统 清 理 系 统 清 理 B l a c k   K i n g d o m 使 用   P y t h o n   清 理 系 统 日 志 。 勒 索 信 息 勒 索 信 息 B l a c k   K i n g d o m   将 桌 面 背 景 更 改 为 勒 索 信 息 ， 同 时 使 用   p y H o o k   禁 用 鼠 标 和 键 盘 。 * * * * * * * * * * * * * * * * * * * * * * * * * * * |   W e   A r e   B a c k   ? * * * * * * * * * * * * * * * * * * * * * * * * * * * W e   h a c k e d   y o u r   ( (   N e t w o r k   ) ) ,   a n d   n o w   a l l   f i l e s ,   d o c u m e n t s ,   i m a g e s , d a t a b a s e s   a n d   o t h e r   i m p o r t a n t   d a t a   a r e   s a f e l y   e n c r y p t e d   u s i n g   t h e   s t r o n g e s t   a l g o r i t h m s   e v e r . Y o u   c a n n o t   a c c e s s   a n y   o f   y o u r   f i l e s   o r   s e r v i c e s   . B u t   d o   n o t   w o r r y .   Y o u   c a n   r e s t o r e   e v e r t h i n g   a n d   g e t   b a c k   b u s i n e s s   v e r y   s o o n   (   d e p e n d s   o n   y o u r   a c t i o n s   ) b e f o r e   I   t e l l   h o w   y o u   c a n   r e s t o r e   y o u r   d a t a ,   y o u   h a v e   t o   k n o w   c e r t a i n   t h i n g s   : W e   h a v e   d o w n l o a d e d   m o s t   o f   y o u r   d a t a   (   e s p e c i a l l y   i m p o r t a n t   d a t a   )   ,   a n d   i f   y o u   d o n ’ t   c o n t a c t   u s   w i t h i n   2 d a y s ,   y o u r   d a t a   w i l l   b e   r e l e a s e d   t o   t h e   p u b l i c . T o   s e e   w h a t   h a p p e n s   t o   t h o s e   w h o   d i d n ’ t   c o n t a c t   u s ,   j u s t   g o o g l e   :   (   B l a c k k i n g d o m   R a n s o m w a r e   ) * * * * * * * * * * * * * * * * * * * * * * * * * * * |   W h a t   g u a r a n t e e s   ? * * * * * * * * * * * * * * * * * * * * * * * * * * * W e   u n d e r s t a n d   y o u r   s t r e s s   a n d   a n x i e t y .   S o   y o u   h a v e   a   f r e e   o p p o r t u n i t y   t o   t e s t   o u r   s e r v i c e   b y   i n s t a n t l y d e c r y p t i n g   o n e   o r   t w o   f i l e s   f o r   f r e e j u s t   s e n d   t h e   f i l e s   y o u   w a n t   t o   d e c r y p t   t o   ( s u p p o r t _ b l a c k k i n g d o m 2 @ p r o t o n m a i l . c o m
* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * |   H o w   t o   c o n t a c t   u s   a n d   r e c o v e r   a l l   o f   y o u r   f i l e s   ? * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * T h e   o n l y   w a y   t o   r e c o v e r   y o u r   f i l e s   a n d   p r o t e c t   f r o m   d a t a   l e a k s ,   i s   t o   p u r c h a s e   a   u n i q u e   p r i v a t e   k e y   f o r   y o u t h a t   w e   o n l y   p o s s e s   . [   +   ]   I n s t r u c t i o n s : 1 -   S e n d   t h e   d e c r y p t _ f i l e . t x t   f i l e   t o   t h e   f o l l o w i n g   e m a i l   = ⇒   s u p p o r t _ b l a c k k i n g d o m 2 @ p r o t o n m a i l . c o m 2 -   s e n d   t h e   f o l l o w i n g   a m o u n t   o f   U S   d o l l a r s   (   1 0 , 0 0 0   )   w o r t h   o f   b i t c o i n   t o   t h i s   a d d r e s s   : [   1 L f 8 Z z c E h h R i X p k 6 Y N Q F p C J c U i s i X b 3 4 F T   ] 3 -   c o n f i r m   y o u r   p a y m e n t   b y   s e n d i n g   t h e   t r a n s f e r   u r l   t o   o u r   e m a i l   a d d r e s s 4 -   A f t e r   y o u   s u b m i t   t h e   p a y m e n t ,   t h e   d a t a   w i l l   b e   r e m o v e d   f r o m   o u r   s e r v e r s ,   a n d   t h e   d e c o d e r   w i l l   b e   g i v e n t o   y o u , s o   t h a t   y o u   c a n   r e c o v e r   a l l   y o u r   f i l e s . # #   N o t e   # # D e a r   s y s t e m   a d m i n i s t r a t o r s ,   d o   n o t   t h i n k   y o u   c a n   h a n d l e   i t   o n   y o u r   o w n .   N o t i f y   y o u r   s u p e r v i s o r s   a s   s o o n   a s p o s s i b l e . B y   h i d i n g   t h e   t r u t h   a n d   n o t   c o m m u n i c a t i n g   w i t h   u s ,   w h a t   h a p p e n e d   w i l l   b e   p u b l i s h e d   o n   s o c i a l   m e d i a   a n d   y e t i n   n e w s   w e b s i t e s . Y o u r   I D   ⇒ F D H J 9 1 C U S z X T q u L p q A n P 代 码 分 析 代 码 分 析 反 编 译   P y t h o n   代 码 后 发 现   B l a c k   K i n g d o m   的 代 码 库 起 源 于   G i t h u b 。 B l a c k   K i n g d o m   修 改 了 部 分 代 码 ， 添 加 了 一 些 功 能 ， 例 如 硬 编 码 密 钥 或 与 第 三 方 服 务   的 通 信 。 I O C 文 件 哈 希 文 件 哈 希 域 域 h x x p : / / y u u u u u 4 4 [ . ] c o m / v p n - s e r v i c e / $ ( f 1 ) / c r u n c h y r o l l - v p n Y A R A   r u l e s b 9 d b d f 1 1 d a 3 6 3 0 f 4 6 4 b 8 d a a c e 8 8 e 1 1 c 3 7 4 a 6 4 2 e 5 0 8 2 8 5 0 e 9 f 1 0 a 1 b 0 9 d 6 9 f f 0 4 f c 4 a a 9 4 c 7 3 a 5 0 b 2 d e c a 0 4 0 1 f 9 7 e 4 2 0 2 3 3 7 e 5 2 2 b e 3 d f 6 2 9 b 3 e f 9 1 e 7 0 6 4 8 8 b 6 4 9 0 8 a 3 8 7 c 3 c 5 7 7 6 e e 1 b 6 1 0 1 8 e e b 3 4 0 8 f a 7 f a 7 4 9 0 9 1 5 1 4 6 0 7 8 d 6 5 b 9 5 6 2 1 3 1 5 e 8 b 4 2 8 7 8 1 5 d 7 f 9 d 7 3 2 c 4 d 1 a 7 0 c e c 0 5 4 3 3 b 8 d 4 d e 7 5 c b a 1 c a 9 c a a b b b e 4 b 8 c d e 3 f 1 7 6 c c 6 7 0 9 1 0 f b f a 8 e f 4 a d 7 1 8 3 c 1 b 5 b d d 3 c 9 f d 1 3 8 0 e 6 1 7 c a 0 0 4 2 b 4 2 8 8 7 3 c 4 8 f 7 1 d d c 8 5 7 d b 8 6 6 b 1 f 5 c 5 e d d 9 f 0 1 c 5 b a 8 4 d 0 2 e 9 4 a e 7 c 1 f 9 b 2 1 9 6 a f 3 8 0 e e d 1 9 1 7 e 8 f c 2 1 a c b b d c c 2 5 a 5 c 1 4 2 6 9 c 9 9 0 c 9 4 a 4 a 2 0 4 4 3 c 4 e b 2 6 6 3 1 8 2 0 0 e 4 d 7 9 2 7 c 1 6 3 e 0 e a e c 4 e d e 7 8 0 a
i m p o r t   “ h a s h ” i m p o r t   “ p e ” r u l e   r a n s o m w a r e _ b l a c k k i n g d o m   { m e t a : d e s c r i p t i o n   =   “ R u l e   t o   d e t e c t   B l a c k   K i n g d o m   r a n s o m w a r e ” a u t h o r   =   “ K a s p e r s k y   L a b ” c o p y r i g h t   =   “ K a s p e r s k y   L a b ” d i s t r i b u t i o n   =   “ D I S T R I B U T I O N   I S   F O R B I D D E N .   D O   N O T   U P L O A D   T O   A N Y   M U L T I S C A N N E R O R   S H A R E   O N   A N Y   T H R E A T   I N T E L   P L A T F O R M ” v e r s i o n   =   “ 1 . 0 ” l a s t _ m o d i f i e d   =   “ 2 0 2 1 - 0 5 - 0 2 ” h a s h   =   “ 8 6 6 b 1 f 5 c 5 e d d 9 f 0 1 c 5 b a 8 4 d 0 2 e 9 4 a e 7 c 1 f 9 b 2 1 9 6 a f 3 8 0 e e d 1 9 1 7 e 8 f c 2 1 a c b b d c ” h a s h   =   “ 9 1 0 f b f a 8 e f 4 a d 7 1 8 3 c 1 b 5 b d d 3 c 9 f d 1 3 8 0 e 6 1 7 c a 0 0 4 2 b 4 2 8 8 7 3 c 4 8 f 7 1 d d c 8 5 7 d b ” c o n d i t i o n : h a s h . s h a 2 5 6 ( p e . r i c h _ s i g n a t u r e . c l e a r _ d a t a )   = = “ 0 e 7 d 0 d b 2 9 c 7 2 4 7 a e 9 7 5 9 1 7 5 1 d 3 b 6 c 0 7 2 8 a e d 0 e c 1 b 1 f 8 5 3 b 2 5 f c 8 4 e 7 5 a e 1 2 b 7 b 8 ” } 渗 透 测 试 干 货   |   横 向 渗 透 的 常 见 方 法 一 次 通 过 漏 洞 挖 掘 成 功 渗 透 某 网 站 的 过 程 安 全 团 队 不 可 错 过 的 七 个 云 安 全 开 源 工 具 欢 迎 关 注 欢 迎 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理