搜索

[28641] 2020-10-29_异常威胁研究发布了Smaug勒索软件即服务的首次公开分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-10-29_异常威胁研究发布了Smaug勒索软件即服务的首次公开分析 异 常 威 胁 研 究 发 布 了 S m a u g 勒 索 软 件 即 服 务 的 首 次 公 开 分 析 O t s 安 全   2 0 2 0 - 1 0 - 2 9 作 者 ： 约 阿 肯 · 肯 尼 迪 （ J o a k i m   K e n n e d y ） 和 罗 里 · 古 尔 德 （ R o r y   G o u l d ） A n o m a l i   T h r e a t S t r e a m 客 户 可 以 在 此 处 找 到 危 害 指 标 （ I O C ） ， 签 名 以 及 有 关 此 威 胁 的 更 多 信 息 。 介 绍 无 法 为 恶 意 活 动 开 发 自 己 的 勒 索 软 件 的 威 胁 参 与 者 和 网 络 罪 犯 可 以 转 向 S m a u g 勒 索 软 件 即 服 务 （ R a a S ） 产 品 ， 该 产 品 可 通 过 D a r k   W e b   O n i o n 网 站 获 得 。 至 少 有 两 个 威 胁 参 与 者 正 在 操 作 该 站 点 ， 提 供 了 可 用 于 针 对 W i n d o w s ， m a c O S 和 L i n u x 计 算 机 的 勒 索 软 件 。 该 网 站 在 构 建 时 考 虑 了 易 用 性 。 要 发 起 攻 击 ， 威 胁 参 与 者 仅 需 注 册 ， 创 建 战 役 ， 然 后 开 始 分 发 恶 意 软 件 。 该 网 站 还 处 理 受 害 者 的 解 密 密 钥 购 买 和 跟 踪 。 威 胁 演 员 S m a u g   R a a S 似 乎 由 活 跃 在 地 下 犯 罪 分 子 中 的 一 到 两 个 威 胁 者 操 纵 。 已 经 确 定 了 威 胁 参 与 者 在 论 坛 上 的 在 线 处 理 之 一 。 第 二 个 运 算 符 仍 然 是 未 知 的 。 论 坛 活 动 2 0 2 0 年 5 月 5 日 ， 一 位 名 叫 科 琳 达 （ 名 叫 科 琳 达 （ C o r i n d a ） ） 的 演 员 在 “   E x p l o i t . i n ” 论 坛 上 发 布 了 广 告 ， 宣 传 一 种 名 为 “ 史 矛 革 ” 的 新 型 R a a S 。 帖 子 （ 图 1 ） 展 示 了 S m a u g 的 功 能 ， 并 包 括 了 S m a u g   U I 的 屏 幕 截 图 ， 有 关 详 细 信 息 ， 请 参 见 下 面 的 “ 面 板 面 板 ” 部 分 。 该 帖 子 还 指 导 用 户 如 何 使 用 该 服 务 ： 与 s m a u g - r a n s o m w a r e @ p r o t o n m a i l . c o m 联 系 ， 收 取 0 . 2   B T C 的 注 册 费 （ 发 布 时 约 1 , 9 0 0 美 元 ） ， 其 后 的 服 务 费 为 2 0 ％ 。 演 员 愿 意 免 除 前 五 名 可 以 展 示 其 产 品 技 能 的 用 户 的 注 册 费 ； 鉴 于 科 琳 达 的 科 琳 达 的 声 誉 得 分 为 零 ， 这 很 可 能 在 论 坛 上 上 赢 得 声 誉 。 C o r i n d a 继 续 与 海 报 互 动 之 前 ， 题 目 是 5 月 1 4 日 锁 定 由 论 坛 管 理 员 ， 因 为 c o r i n d a 没 有 沉 积 在 论 坛 上 的 钱 。 自 6 月 6 日 以 来 ， c o r i n d a 尚 未 进 行 任 何 后 续 活 动 ， 该 个 人 资 料 也 一 直 未 激 活 。 图 图 1 - E x p l o i t . i n 上 的 初 始 S m a u g 产 品 帐 户 记 录 C o r i n d a 的 的 E x p l o i t 帐 户 于 2 0 1 9 年 5 月 1 7 日 创 建 为 付 费 注 册 （ 付 费 注 册 完 全 匿 名 ， 不 会 链 接 到 “ 友 好 论 坛 ” 上 的 其 他 帐 户 ） ， 并 且 一 直 处 于 休 眠 状 态 ， 直 到 2 0 1 9 年 1 0 月 6 日 为 止 。 为 止 。 C o r i n d a 于 2 0 1 9 年 1 0 月 6 日 创 建 他 们 的 第 一 篇 文 章 ： 我 正 在 寻 找 前 端 开 发 人 员 。 必 须 能 够 设 计 专 业 网 站 必 须 能 够 展 示 以 前 的 工 作 或 证 明 自 己 的 技 能 ， 否 则 必 须 使 用 精 通 英 语 的 B T C P M 预 算 $   2 0 0 0 了 解 详 情 ' 对 该 主 题 的 唯 一 答 复 是 三 天 后 1 0 / 9 的 的 c o r i n d a ： ' 我 还 在 寻 找 。 别 害 羞 ' 这 些 帖 子 是 通 过 S i x g i l l 恢 复 的 ， 因 为 原 来 的 主 题 已 被 删 除 ， 并 且 在 论 坛 上 不 再 可 用 。
史 矛 革 面 板 S m a u g 开 发 人 员 在 其 O n i o n 网 站 上 共 享 了 该 产 品 的 屏 幕 截 图 ， 它 提 供 了 有 关 如 何 使 用 该 产 品 的 一 些 见 解 。 注 册 该 网 站 提 供 了 一 张 填 写 验 证 码 的 注 册 表 。 完 成 后 ， 将 指 示 用 户 向 指 定 的 比 特 币 钱 包 支 付 0 . 2   B T C 。 该 演 员 声 称 付 款 将 在 收 到 六 次 确 认 后 的 1 0 分 钟 内 激 活 帐 户 。 图 图 2 - 注 册 表 仪 表 板 建 立 广 告 活 动 成 功 注 册 后 ， 用 户 将 被 带 到 S m a u g 仪 表 板 ， 该 仪 表 板 显 示 为 干 净 ， 实 用 的 U I ， 具 有 明 确 的 指 示 。 用 户 可 以 在 此 页 面 上 创 建 带 有 自 定 义 赎 金 消 息 和 到 期 日 期 的 广 告 系 列 ； S m a u g 还 允 许 用 户 区 分 “ 常 规 ” 和 “ 公 司 ” 广 告 系 列 。 “ 常 规 ” 活 动 将 需 要 为 每 个 受 感 染 的 受 害 者 提 供 解 密 密 钥 ， 而 “ 公 司 ” 活 动 将 允 许 单 个 密 钥 解 密 受 该 活 动 影 响 的 所 有 计 算 机 。 图 图 3 - 广 告 系 列 的 创 建
用 户 设 置 的 到 期 日 期 过 后 ， 该 活 动 将 到 期 ， 并 且 受 害 者 无 法 再 恢 复 其 文 件 。 管 理 广 告 活 动 创 建 活 动 后 ， 用 户 可 以 下 载 他 们 尝 试 感 染 的 系 统 的 相 关 有 效 负 载 ； M a c ， L i n u x 和 W i n d o w s 均 可 使 用 。 仪 表 板 还 将 跟 踪 已 感 染 了 多 少 个 系 统 ， 这 是 通 过 允 许 受 害 者 对 单 个 文 件 进 行 一 次 免 费 解 密 来 完 成 的 ， 然 后 将 其 记 录 下 来 并 更 新 仪 表 板 。 该 界 面 允 许 用 户 跟 踪 他 们 累 积 的 活 动 日 期 和 利 润 。 图 图 4 - 广 告 系 列 管 理 提 款 一 旦 受 害 者 支 付 了 赎 金 ， 用 户 就 可 以 导 航 到 “ 提 款 ” 页 面 。 该 仪 表 板 将 向 用 户 显 示 其 当 前 余 额 （ 已 自 动 扣 除 2 0 ％ 的 费 用 ） 和 向 其 付 款 的 次 数 。 用 户 可 以 从 此 处 简 单 地 创 建 到 指 定 B T C 钱 包 的 提 款 并 取 出 资 金 。 图 图 5 - 资 金 概 览 支 持 S m a u g 开 发 人 员 声 称 会 运 行 支 持 服 务 来 协 助 解 决 错 误 和 其 他 问 题 。 他 们 还 声 称 接 受 功 能 请 求 ， 如 果 有 足 够 的 用 户 要 求 ， 他 们 会 付 费 创 建 或 免 费 合 并 。 图 图 6 - 支 持 服 务 设 定 值
设 置 页 面 是 准 系 统 ， 允 许 用 户 更 改 密 码 。 图 图 7 - 设 置 页 面 勒 索 软 件 S m a u g 勒 索 软 件 是 用 G o （ G o l a n g ） 编 写 的 。 异 常 威 胁 研 究 已 经 确 定 了 针 对 W i n d o w s 和 L i n u x 计 算 机 的 样 本 。 该 恶 意 软 件 的 设 计 相 对 简 单 ， 大 约 有 3 0 0 行 代 码 。 其 源 代 码 结 构 如 下 图 8 所 示 。 该 恶 意 软 件 会 为 用 于 加 密 文 件 的 每 台 计 算 机 创 建 唯 一 的 密 钥 。 该 密 钥 由 威 胁 参 与 者 的 R S A 公 钥 加 密 ， 这 意 味 着 机 器 密 钥 只 能 由 威 胁 参 与 者 的 私 钥 加 密 。 勒 索 软 件 旨 在 完 全 脱 机 运 行 ， 而 无 需 网 络 连 接 。 图 图 8 - 从 恶 意 软 件 样 本 中 提 取 的 源 代 码 结 构 。 G o 二 进 制 文 件 不 包 含 编 译 时 间 戳 。 因 此 ， 难 以 估 计 样 品 的 寿 命 。 分 析 的 示 例 由 官 方 G o 编 译 器 的 1 . 1 4 . 2 版 进 行 编 译 。 该 编 译 器 于 2 0 2 0 年 4 月 8 日 发 布 ， 并 于 2 0 2 0 年 5 月 3 1 日 上 传 到 公 共 恶 意 软 件 存 储 库 。 在 将 其 编 译 到 公 共 存 储 库 中 时 ， 大 约 1 1 ％ 的 防 病 毒 引 擎 将 其 检 测 为 恶 意 软 件 。 最 早 的 样 本 于 2 0 2 0 年 5 月 1 1 日 上 载 ， 仅 由 一 个 防 病 毒 引 擎 检 测 到 ， 而 L i n u x 样 本 于 2 0 2 0 年 5 月 1 9 日 上 载 ， 截 至 本 撰 写 日 期 ， 任 何 引 擎 均 未 检 测 到 。 密 钥 生 成 S m a u g 为 每 台 受 感 染 的 计 算 机 生 成 一 个 唯 一 的 加 密 密 钥 。 首 先 ， 该 恶 意 软 件 获 取 当 前 时 间 的 时 间 戳 。 U n i x 时 间 （ 以 该 时 间 戳 记 的 十 亿 分 之 一 秒 为 单 位 ） 用 于 为 G o 的 标 准 库 中 的 “   m a t h   /   r a n d ” 包 设 置 全 局 种 子 。 [ 1 ] 此 操 作 对 恶 意 软 件 的 随 机 性 没 有 影 响 。 在 执 行 此 操 作 之 后 ， 通 过 调 用 “   c r y p t   /   r a n d . R e a d ” 生 成 一 个 3 2 字 节 的 随 机 片 。 [ 2 ]   W i n d o w s 上 的 此 函 数 使 用 “   C r y p t G e n R a n d o m ”   A P I 生 成 随 机 数 据 。 使 用 R S A 最 佳 非 对 称 加 密 填 充 （ O A E P ） 使 用 威 胁 参 与 者 的 2 0 4 8 位 密 钥 对 随 机 数 据 进 行 加 密 。 文 件 加 密 该 恶 意 软 件 对 每 个 磁 盘 分 区 使 用 一 对 “   g o r o u t i n e s ” 来 加 密 文 件 。 G o r o u t i n e 是 G o 对 协 程 的 并 发 实 现 。 第 一 个 例 程 扫 描 分 区 中 的 所 有 文 件 ， 并 将 文 件 扩 展 名 与 扩 展 名 列 表 进 行 比 较 ， 如 图 9 所 示 。 如 果 文 件 具 有 列 表 中 的 扩 展 名 ， 则 该 文 件 将 添 加 到 要 加 密 的 文 件 列 表 中 。 图 图 9 - 恶 意 软 件 用 来 确 定 文 件 是 否 应 该 加 密 的 文 件 扩 展 名 列 表 。 第 二 个 例 程 对 另 一 个 例 程 标 识 的 列 表 中 的 所 有 文 件 进 行 加 密 。 每 个 文 件 都 在 C B C 模 式 下 使 用 A E S 加 密 。 下 面 的 图 1 0 显 示 了 每 个 文 件 的 加 密 处 理 程 序 的 设 置 。 构 造 一 个 新 的 A E S 密 码 处 理 程 序 ， 在 创 建 C B C 处 理 程 序 之 前 ， 通 过 从 “   c r y p t   /   r a n d ” 读 取 1 6 个 字 节 来 生 成 初 始 化 向 量 （ I V ） 。 * . 3 f r   * . a c c d b   * . a e s   * . a i   * . A R C   * . a r w   * . a s c   * . a s f   * . a s m   * . a s p   * . a v i   * . b a c k u p   * . b a k   * . b a t   * . b a y   * . b m p   * . b r d   * . c   * . c d r   * . c e r   * . c g m   * . c l a s s   * . c m d   * . c p p   * . c r 2   * . c r t   * . c r w   * . c s r   * . C S V
图 图 1 0 - 创 建 加 密 处 理 程 序 的 例 程 的 屏 幕 快 照 。 文 件 在 C B C 模 式 下 使 用 A E S 加 密 。 最 后 四 个 指 令 创 建 一 个 4 k 缓 冲 区 ， 该 缓 冲 区 用 于 一 次 加 密 文 件 4 k 字 节 。 一 次 将 文 件 加 密 4 k 字 节 。 如 果 文 件 较 小 或 读 取 返 回 的 结 果 小 于 4 k ， 则 恶 意 软 件 会 在 文 件 末 尾 添 加 填 充 以 使 总 字 节 数 达 到 A E S 要 求 的 1 6 字 节 的 倍 数 。 使 用 的 填 充 格 式 为 P K C S ＃ 7 。 加 密 的 块 将 写 入 具 有 原 始 文 件 名 的 新 文 件 ， 并 在 文 件 名 的 末 尾 添 加 一 个 唯 一 标 识 符 。 加 密 文 件 后 ， 原 始 文 件 将 被 删 除 。 勒 索 软 件 将 所 有 带 有 加 密 文 件 的 文 件 夹 中 的 赎 金 记 录 写 入 。 在 下 面 的 图 1 1 中 ， 显 示 了 书 写 笔 记 的 逻 辑 。 在 分 析 的 样 本 中 ， 赎 金 记 录 的 名 称 为 “   H A C K E D . t x t ” 。 图 图 1 1 - 将 赎 金 记 录 写 入 磁 盘 的 逻 辑 。 赎 金 记 录 以 二 进 制 形 式 存 储 为 B a s e 6 4 编 码 的 字 符 串 。 图 1 2 显 示 了 解 码 后 的 赎 金 记 录 。 图 图 1 2 - 存 储 在 分 析 样 本 中 的 B a s e 6 4 解 码 赎 金 记 录 。 分 析 c o r i n d a 的 的 订 约 职 位 和 S m a u g 产 品 的 英 语 质 量 明 显 不 同 ， 这 表 明 两 位 作 者 是 不 同 的 。 最 初 的 职 位 可 能 是 由 开 发 S m a u g 的 核 心 人 员 创 建 的 ， 而 S m a u g 的 职 位 可 能 是 由 会 说 英 语 的 流 利 承 包 商 创 建 的 。 最 初 帖 子 中 出 现 的 拼 写 和 语 法 错 误 以 及 对 英 语 流 利 的 前 端 开 发 人 员 的 需 求 将 表 明 该 演 员 并 非 来 自 英 语 国 家 。 科 林 达 （ 科 林 达 （ C o r i n d a ） ） 指 出 ， 禁 止 以 独 立 国 家 联 合 体 （ C I S ） 国 家 为 目 标 ， 并 且 将 禁 止 该 服 务 。 但 是 ， 这 不 一 定 表 示 演 员 的 位 置 在 独 联 体 国 家 ， 因 为 “   E x p l o i t . i n ” 是 俄 语 的 网 络 犯 罪 网 站 ， 禁 止 以 独 联 体 国 家 为 目 标 。 值 得 注 意 的 是 ， 在 S m a u g   O n i o n 网 站 上 显 示 了 勒 索 软 件 消 息 的 屏 幕 截 图 （ 图 1 3 ） ， 主 要 显 示 了 普 通 话 字 符 。 Y o u r   f i l e s   h a v e   b e e n   e n c r y p t e d   u s i n g   m i l i t a r y   g r a d e   e n c r y p t i o n .   T h e y   c a n   n e v e r   b e   a c c e s s e d   a g a i n   w i t h o u t   b u y i n g   a   d e c r y p t i o n   k e y .   Y o u   c a n   b u y   t h e   d e c r y p t i o n   k e y   a t   h t t p : / / s m a u g r w m a y s t t h f x p 7 2 t l m d b r z l w d p 2 p x t p v t z v h k v 5 p p g 3 d i f i w o n a d . o n i o n .   T o   a c c e s s   t h e   s i t e   y o u   n e e d   T o r   B r o w s e r .
图 图 1 3 - 赎 金 字 样 上 可 见 普 通 话 C o r i n d a 对 S m a u g 的 的 报 价 似 乎 在 论 坛 上 没 有 获 得 太 大 的 吸 引 力 ， 从 而 导 致 对 信 誉 良 好 的 论 坛 成 员 进 行 为 期 1 5 天 的 试 用 期 后 续 折 扣 ， 这 可 能 会 提 高 声 誉 。 线 程 上 唯 一 的 后 续 活 动 是 其 他 用 户 询 问 是 否 有 人 可 以 保 证 该 产 品 的 合 法 性 。 十 天 后 （ 5 / 1 4 / 2 0 ） ， 论 坛 管 理 员 锁 定 了 线 程 并 要 求 c o r i n d a 向 论 坛 的 托 管 帐 户 存 入 8 , 0 0 0 美 元 ， 这 是 保 护 论 坛 成 员 免 遭 退 出 诈 骗 的 一 种 常 见 做 法 。 C o r i n d a 不 遵 守 ， 该 线 程 一 直 处 于 非 活 动 状 态 ， 但 是 ， 联 系 方 式 仍 然 可 供 用 户 从 c o r i n d a 购 买 S m a u g   。 由 于 缺 乏 历 史 ， 互 动 和 反 馈 ， 我 们 无 法 证 实 科 林 达 （ 科 林 达 （ C o r i n d a ） 的 ） 的 主 张 ， 并 将 其 评 为 不 可 靠 。 与 其 他 活 跃 勒 索 软 件 相 比 ， S m a u g 勒 索 软 件 相 对 简 单 。 例 如 ， 它 缺 乏 停 止 勒 索 软 件 用 来 释 放 文 件 锁 的 正 在 运 行 的 进 程 的 功 能 ， 从 而 无 法 对 锁 定 的 文 件 进 行 加 密 。 它 还 不 会 删 除 W i n d o w s 上 的 备 份 和 卷 影 副 本 文 件 。 如 果 启 用 了 该 服 务 ， 则 该 缺 陷 将 使 得 可 以 从 卷 影 副 本 中 恢 复 加 密 文 件 。 恶 意 软 件 的 简 单 性 使 作 者 可 以 从 同 一 代 码 库 中 针 对 多 个 操 作 系 统 。 W i n d o w s 和 L i n u x 示 例 从 相 同 的 源 代 码 编 译 而 来 ， 没 有 任 何 修 改 ， 除 了 G o 的 标 准 库 提 供 的 填 充 层 。 结 论 S m a u g 是 R a a S ， 可 让 威 胁 参 与 者 轻 松 使 用 勒 索 软 件 实 现 目 标 。 勒 索 软 件 可 以 在 所 有 三 个 主 要 操 作 系 统 上 运 行 ， 这 为 更 广 泛 的 目 标 开 发 潜 力 。 与 其 他 威 胁 行 为 者 当 前 使 用 的 常 见 勒 索 软 件 相 比 ， 实 际 的 勒 索 软 件 相 对 简 单 。 该 恶 意 软 件 的 唯 一 功 能 是 文 件 加 密 。 T h r e a t s t r e a m   E n t e r p r i s e 用 户 可 以 在 此 处 找 到 威 胁 指 示 器 （ I O C ） ， 签 名 以 及 有 关 此 威 胁 的 更 多 信 息 。 异 常 如 何 帮 助 异 常 威 胁 研 究 提 供 了 可 操 作 的 威 胁 情 报 ， 可 帮 助 客 户 ， 合 作 伙 伴 和 安 全 社 区 检 测 并 缓 解 对 其 组 织 的 最 严 重 威 胁 。 该 团 队 经 常 以 白 皮 书 ， 博 客 和 公 告 的 形 式 发 布 威 胁 研 究 ， 以 供 安 全 社 区 ， 公 众 和 新 闻 机 构 使 用 。 有 关 威 胁 参 与 者 和 相 关 危 害 指 标 （ I O C ） 的 情 报 和 公 告 直 接 集 成 到 A n o m a l i 客 户 的 安 全 基 础 架 构 中 ， 以 实 现 更 快 ， 更 自 动 化 的 检 测 ， 阻 止 和 响 应 。 有 关 A n o m a l i 客 户 如 何 获 得 对 威 胁 研 究 的 集 成 访 问 权 限 的 更 多 信 息 ， 请 访 问 ： h t t p s   : / / w w w . a n o m a l i . c o m / p r o d u c t s   。 斜 接 A T T ＆ C K T 1 4 8 6 - 加 密 的 数 据 具 有 影 响 力 尾 注 阅 读 原 文 1 .   “   r a n d 包 · p k g . g o . d e v ” ， 于 2 0 2 0 年 7 月 7 日 访 问 ， h t t p s ：   / / p k g . g o . d e v / m a t h / r a n d ？ t a b   =   d o c ＃ S e e d 2 .   “   r a n d 包 · p k g . g o . d e v ” ， 于 2 0 2 0 年 7 月 7 日 访 问 ， h t t p s ：   / / p k g . g o . d e v / c r y p t o / r a n d ？ t a b   =   d o c ＃ R e a d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理