搜索

[28295] 2020-05-10_针对性的勒索软件攻击袭击台湾

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-19
2020-05-10_针对性的勒索软件攻击袭击台湾 针 对 性 的 勒 索 软 件 攻 击 袭 击 台 湾 原 创   趋 势 科 技   O t s 安 全   2 0 2 0 - 0 5 - 1 0 一 次 新 的 针 对 性 攻 击 使 台 湾 的 几 个 组 织 感 染 了 一 个 新 的 勒 索 软 件 系 列 ， 我 们 将 其 称 为 C o l d L o c k 。 由 于 勒 索 软 件 似 乎 针 对 数 据 库 和 电 子 邮 件 服 务 器 进 行 加 密 ， 因 此 这 种 攻 击 可 能 具 有 破 坏 性 。 我 们 收 集 的 信 息 表 明 ， 该 攻 击 于 5 月 初 开 始 袭 击 组 织 。 对 恶 意 软 件 的 分 析 表 明 ， C o l d L o c k 与 两 个 先 前 已 知 的 勒 索 软 件 系 列 特 别 是 L o c k e r g o g a ， F r e e z i n g 和 E D A 2   “ 教 育 ” 勒 索 软 件 套 件 之 间 存 在 相 似 之 处 。 没 有 迹 象 表 明 这 种 攻 击 已 经 袭 击 了 目 标 组 织 之 外 的 任 何 其 他 组 织 。 我 们 不 认 为 这 个 家 庭 目 前 正 在 广 泛 使 用 。 趋 势 科 技 用 户 受 到 此 威 胁 的 保 护 ， 我 们 将 其 检 测 为 R a n s o m . M S I L . C O L D L O C K . Y P A E - A 和 R a n s o m . P S 1 . C O L D L O C K . Y P A E - A 。 以 下 博 客 文 章 描 述 了 这 种 威 胁 的 行 为 ， 并 描 述 了 其 与 其 他 勒 索 软 件 威 胁 的 链 接 。 到 达 向 量 到 达 向 量 我 们 目 前 不 知 道 此 威 胁 的 初 始 到 达 媒 介 进 入 潜 在 受 害 者 的 网 络 。 但 是 ， 我 们 认 为 攻 击 者 以 某 种 方 式 获 得 了 对 目 标 组 织 的 A c t i v e   D i r e c t o r y 服 务 器 的 访 问 权 限 。 至 此 ， 他 们 能 够 设 置 组 策 略 ， 导 致 下 载 勒 索 软 件 文 件 并 在 受 影 响 的 域 内 的 计 算 机 上 运 行 。 有 效 负 载 以 . N E T 可 执 行 文 件 （ . D L L 文 件 ） 的 形 式 到 达 ， 该 文 件 已 使 用 C o n f u s e r E x     包 装 器 进 行 了 包 装 / 保 护     。 它 使 用 . N E T 可 执 行 文 件 的 P o w e r S h e l l 反 射 加 载 来 运 行 上 述 . D L L 文 件 ： 图 1 .   . D L L 文 件 的 反 射 性 加 载 它 还 包 含 两 项 检 查 ， 以 验 证 其 是 否 正 在 运 行 。 首 先 ， 它 检 查 是 否 存 在     ％ S y s t e m   R o o t ％   P r o g r a m D a t a     r e a d m e . t m p ， 这 是 赎 金 记 录 使 用 的 。 此 检 查 可 防 止 系 统 再 次 受 到 相 同 威 胁 的 感 染 ： 图 2 . 赎 金 检 查 更 不 寻 常 的 是 ， 它 将 检 查 系 统 时 钟 。 它 只 会 在 任 何 一 天 的 下 午 1 2 : 1 0 或 之 后 运 行 ； 如 果 时 间 更 早 ， 它 将 休 眠 1 5 秒 钟 ， 直 到 超 过 上 述 时 间 为 止 。
图 3 . 代 码 中 的 定 时 炸 弹 加 密 例 程 加 密 例 程 在 加 密 任 何 文 件 之 前 ， 勒 索 软 件 还 执 行 某 些 准 备 程 序 。 首 先 ， 如 果 服 务 正 在 运 行 ， 它 将 终 止 系 统 上 的 多 个 服 务 ， 以 防 止 违 反 文 件 访 问 权 限 。 这 些 服 务 是 ： m a r i a d b m s e x c h a n g e i s m s s q l M y S Q L o r a c l e s e r v i c e 这 些 是 各 种 数 据 库 以 及 E x c h a n g e 邮 件 服 务 器 使 用 的 服 务 名 称 。 它 还 将 终 止     O u t l o o k     进 程 。 图 4 . 服 务 和 流 程 终 止 它 还 会 检 查 系 统 上 运 行 的 W i n d o w s 版 本 。 如 果 运 行 的 是 W i n d o w s   1 0 ， 它 将 执 行 多 个 W i n d o w s   1 0 特 定 的 例 程 。 W i n d o w s D e f e n d e r 已 禁 用 ， 并 且 无 法 将 反 馈 / 恶 意 软 件 样 本 发 送 给 M i c r o s o f t 。 推 送 通 知 也 被 禁 用 。 图 5 . 禁 用 W i n d o w s   D e f e n d e r
实 际 的 加 密 例 程 有 点 不 寻 常 。 目 录 中 的 文 件 是 否 加 密 取 决 于 三 个 条 件 ， 即 ： 目 标 目 录 上 的 文 件 数 少 于 1 0 0 目 录 的 最 后 写 入 时 间 比 2 0 1 8 年 1 月 1 日 晚 。 目 录 名 称 不 应 包 含 以 下 任 何 字 符 串 ： 1 .   . g i t 2 .   应 用 程 序 数 据 3 .   快 取 4 .   图 片 5 .   L I B 6 .   日 志 7 .   日 志 8 .   微 软 9 .   参 考 1 0 .   资 源 1 1 .   资 源 1 2 .   脚 本 1 3 .   设 定 1 4 .   皮 肤 1 5 .   温 度 1 6 .   主 题 1 7 .   第 三 方 如 果 满 足 上 述 所 有 条 件 ， 它 将 加 密 给 定 目 录 中 的 所 有 文 件 ， 但 扩 展 名 为 以 下 文 件 的 文 件 除 外 ： 1 .   . a v i 2 .   . d l l 3 .   . g i f 4 .   . i s o 5 .   . m 2 t s 6 .   . m k v 7 .   . m o v 8 .   . m p 3 9 .   . m s i 1 0 .   . o c x 1 1 .   . t m p 1 2 .   . w m v 在 其 他 情 况 下 （ 不 满 足 部 分 （ 或 全 部 ） 条 件 ） ， 它 将 仅 加 密 具 有 以 下 扩 展 名 的 文 件 ： 1 .   . 7 z 2 .   . a s p x 3 .   . b a k 4 .   . c p p 5 .   . c s v 6 .   . d o c 7 .   . d o c x 8 .   . g z 9 .   . h w p 1 0 .   . j a v a 1 1 .   . j p g 1 2 .   . j s p 1 3 .   . l n k 1 4 .   . o d t 1 5 .   。 一 1 6 .   . p h p
1 7 .   . p p t 1 8 .   . p p t x 1 9 .   . p s t 2 0 .   . r a r 2 1 .   . s h 2 2 .   . s q l 2 3 .   . t x t 2 4 .   . x l s 2 5 .   . x l s x 2 6 .   . x m l 2 7 .   . z i p 图 6 . 白 名 单 / 黑 名 单 代 码 加 密 过 程 在 C B C 模 式 下 使 用 A E S 功 能 。 它 使 用 盐 和 秘 密 密 钥 生 成 所 需 的 密 钥 和 初 始 化 向 量 （ I V ） ； 前 者 嵌 入 在 代 码 中 ， 而 后 者 则 使 用 随 机 生 成 的 3 2 字 节 长 字 符 串 的 S H A - 2 5 6 哈 希 值 动 态 生 成 。 然 后 ， 使 用 硬 编 码 的 公 共 R S A 密 钥 对 此 进 行 加 密 ， 然 后 将 其 嵌 入 赎 金 记 录 中 。 加 密 的 文 件 具 有     . l o c k e d     扩 展 名 。
图 7 .   A E S 加 密 代 码 图 8 . 密 钥 生 成 赎 金 记 录 存 储 在 系 统 的 各 个 位 置 ， 即 ： % D e s k t o p % H o w   T o   U n l o c k   F i l e s . T x t % S y s t e m   R o o t % P r o g r a m D a t a r e a d m e . t m p % U s e r   S t a r t u p % H o w   T o   U n l o c k   F i l e s . T x t { E n c r y p t e d   D r i v e } : H o w   T o   U n l o c k   F i l e s . T x t 该 说 明 的 内 容 与 其 他 勒 索 软 件 说 明 类 似 ： 图 9 . 赎 金 注 释 然 后 ， 勒 索 软 件 会 为 所 有 用 户 更 改 系 统 的 墙 纸 。 现 在 它 包 含 一 条 读 取 文 本 文 件 的 指 令 （ 赎 金 说 明 ） 。 它 通 过 更 改 几 个 注 册 表 设 置 来 实 现 。
图 1 0 . 修 改 后 的 系 统 墙 纸 与 其 他 勒 索 软 件 系 列 的 连 接 与 其 他 勒 索 软 件 系 列 的 连 接 这 种 威 胁 似 乎 与 L o c k e r g o g a 有 关 ， 因 为 它 们 共 享 加 密 文 件 （ . l o c k e d ） 的 相 同 扩 展 名 。 但 是 ， 其 他 勒 索 软 件 系 列 也 使 用 此 扩 展 名 ， 从 而 使 连 接 更 加 脆 弱 。 存 在 与 F r e e z e 勒 索 软 件 系 列 更 合 理 的 链 接 。 它 具 有 在 网 络 （ 受 损 的 A D 服 务 器 ） 中 传 播 的 类 似 方 法 ， 反 射 注 入 方 法 和 内 部 模 块 体 系 结 构 。 该 代 码 还 与 开 源 E D A 2 勒 索 软 件 套 件 具 有 相 似 之 处 。 早 在     数 年 前 ， 在 野 外 传 播 的 勒 索 威 胁 是 基 于 E D A 2 ， 这 是 所 谓 只 针 对 “ 休 闲 ” 的 目 的 。 趋 势 科 技 解 决 方 案 趋 势 科 技 解 决 方 案 勒 索 软 件 仍 然 是 一 个 挥 之 不 去 的 威 胁 ， 在 我 们 发 现 的 勒 索 软 件 案 例 数 量 从 2 0 1 8 年 的 5 5 0 0 万 上 升 至 2 0 1 9 年 的 6 1 0 0 万 之 后 ， 我 们 在 上 一 年 度 安 全 综 述 中 提 到 了     这 一 点 。 此 类 威 胁 更 加 危 险 ， 因 为 这 些 威 胁 会 妥 协 企 业 系 统 使 企 业 网 络 内 的 传 播 更 加 容 易 。 以 下 是   用 户 可 以 采 取 的 一 些     最 佳 做 法 ， 以 保 护 系 统 免 受 勒 索 软 件 的 侵 害 ： 使 用 3 - 2 - 1 规 则 定 期 备 份 文 件     。 该 规 则 要 求 以 两 种 不 同 格 式 创 建 三 个 备 份 ， 并 在 异 地 存 储 一 个 副 本 。 定 期 修 补 和 更 新 应 用 程 序 ， 软 件 和 操 作 系 统 ， 以 解 决 所 有 可 利 用 的 漏 洞 。 对 于     零 日 漏 洞 ， 请 利 用     虚 拟 补 丁 程 序 。 激 活 沙 箱 分 析 。 由 于 可 以 在 隔 离 的 环 境 中 执 行 恶 意 文 件 ， 因 此 可 以 进 行 安 全 监 视 。 为 了 更 强 大 ， 更 主 动 地 防 御 勒 索 软 件 ， 建 议 使 用 以 下 趋 势 科 技 解 决 方 案 ： 面 向 用 户 的 趋 势 科 技 X D R   – 应 用 A I 和 分 析 以 更 早 地 检 测 到 端 点 和 系 统 其 他 层 之 间 的 威 胁 趋 势 科 技 A p e x   O n e ™   – 提 供 可 行 的 见 解 ， 扩 展 的 调 查 功 能 以 及 整 个 网 络 的 集 中 可 见 性 。 趋 势 科 技 ™ 深 度 发 现 ™ 电 子 邮 件 检 查 器   – 通 过 自 定 义 沙 箱 和 其 他 检 测 技 术 检 测 ， 阻 止 和 分 析 恶 意 电 子 邮 件 附 件
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理