搜索

[4470] 2017-10-26_“坏兔子”勒索软件是如何攻击那么多国家的？

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-10-26_“坏兔子”勒索软件是如何攻击那么多国家的？ “ 坏 兔 子 ” 勒 索 软 件 是 如 何 攻 击 那 么 多 国 家 的 ？ 原 创   E 小 编   E 安 全   2 0 1 7 - 1 0 - 2 6 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 0 月 2 6 日 讯   据 报 道 ， 俄 罗 斯 、 乌 克 兰 和 其 它 多 国 的 组 织 机 构 遭 受 新 一 轮 网 络 攻 击 ， 这 次 的 罪 魁 祸 首 是 一 款 被 称 为 “ 坏 兔 子 ” （ B a d   R a b b i t ） 的 加 密 勒 索 软 件 — — D i s k c o d e r . D ，   这 款 软 件 目 前 已 被 广 泛 认 定 为 P e t y a 勒 索 软 件 的 新 变 种 。 俄 罗 斯 多 家 企 业 陆 续 遭 到 黑 客 攻 击 俄 罗 斯 多 家 企 业 陆 续 遭 到 黑 客 攻 击 俄 罗 斯 网 络 安 全 企 业 G r o u p - I B 公 司 发 推 文 指 出 ， 目 前 俄 罗 斯 国 内 至 少 已 经 有 三 家 媒 体 机 构 遭 到 文 件 加 密 恶 意 软 件 攻 击 。
同 一 时 间 ， 俄 罗 斯 国 际 文 传 电 讯 社 （ I n t e r f a x ） 亦 表 示 ， 其 系 统 受 到 一 起 “ 黑 客 攻 击 ” 的 影 响 。 I n t e r f a x 方 面 在 一 份 声 明 中 指 出 ，   I n t e r f a x 服 务 器 遭 到 黑 客 攻 击 ， 目 前 技 术 部 门 正 在 采 取 一 切 措 施 以 恢 复 新 闻 服 务 。 “ 坏 兔 子 ” 勒 索 信 息 I n t e r f a x 也 在 F a c e b o o k 上 表 示 遭 到 “ 病 毒 ” 攻 击 ， 且 正 在 采 取 “ 技 术 措 施 ” 恢 复 系 统 。 除 此 之 外 ， 多 家 乌 克 兰 组 织 机 构 亦 发 布 了 系 统 故 障 消 息 ： 基 辅 地 铁 支 付 系 统 似 乎 也 不 幸 中 招 。 敖 德 萨 国 际 机 场 则 在 F a c e b o o k 主 页 发 表 声 明 称 ， 机 场 信 息 系 统 遭 遇 黑 客 攻 击 。 这 条 俄 语 更 新 指 出 ， “ 我 们 特 此 发 布 通 告 ， 敖 德 萨 国 际 机 场 的 信 息 系 统 遭 遇 到 黑 客 攻 击 。 ” C E R T - U A （ 乌 克 兰 计 算 机 应 急 响 应 小 组 ） 亦 发 文 指 出 ， 随 着 “ 坏 兔 子 ” 感 染 范 围 的 持 续 扩 大 ， “ 新 一 波 针 对 乌 克 兰 信 息 资 源 的 网 络 攻 击 可 能 已 经 开 始 ” 。 E S E T 公 司 的 网 络 安 全 研 究 人 员 亦 监 测 到 了 这 波 攻 击 活 动 ， 并 确 定 对 部 分 计 算 机 信 息 进 行 加 密 的 勒 索 软 件 为 D i s k c o d e r . D — — P e t y a 勒 索 软 件 的 一 个 全 新 变 种 。 这 种 文 件 加 密 型 恶 意 软 件 自 今 年 6 月 起 已 经 开 始 影 响 到 全 球 范 围 内 的 多 家 组 织 机 构 。 黑 客 到 底 用 黑 客 到 底 用 / 没 用 没 用 “ 永 恒 之 蓝 永 恒 之 蓝 ” 漏 洞 ？ 漏 洞 ？ E S E T 公 司 研 究 人 员 L u k a s   S t e f a n k o （ 卢 卡 斯 · 斯 戴 芬 科 ） 发 布 推 文 提 到 ， 此 勒 索 软 件 变 种 利 用 “ 永 恒 之 蓝 ” （ 从 N S A 流 出 ， 后 来 被 W a n n a C r y 及 P e t y a 等 勒 索 软 件 广 泛 利 用 ） 漏 洞 通 过 伪 造 F l a s h 更 新 的 方 式 传 播 。 具 体 来 讲 ， “ 永 恒 之 蓝 ” 利 用 某 一 W i n d o w s 服 务 器 消 息 块 （ 简 称 S M B ） 网 络 协 议 版 本 经 由 网 络 实 现 横 向 传 播 。 。 但 后 来 S t e f a n k o 再 发 推 文 证 实 称 ， “ 坏 兔 子 ” 并 未 利 用 “ 永 恒 之 蓝 ” 。
“ 坏 兔 子 ” 还 采 用 了 木 马 式 M i m i k a t z 工 具 ， 借 以 从 受 感 染 系 统 当 中 提 取 凭 证 信 息 。 E S E T 通 过 遥 测 发 现 数 百 个 D i s k c o d e r . D 的 踪 迹 。 其 中 大 部 分 受 害 者 位 于 俄 罗 斯 与 乌 克 兰 ， 不 过 类 似 的 报 告 也 出 现 在 土 耳 其 、 保 加 利 亚 以 及 其 它 一 些 国 家 。 卡 巴 斯 基 实 验 室 的 研 究 人 员 们 指 出 ， 此 勒 索 软 件 背 后 使 用 的 加 密 机 制 名 为 “ 坏 兔 子 ” ;   受 害 者 们 会 被 引 导 至 同 一 T o r 页 面 ， 并 被 要 求 支 付 0 . 0 5 比 特 币 （ 折 合 2 8 6 美 元 ） 的 赎 金 以 恢 复 自 己 的 文 件 。 该 勒 索 信 息 页 面 还 包 含 一 套 计 时 器 ， 计 时 周 期 为 4 1 小 时 多 一 点 ， 其 中 提 示 用 户 需 要 在 此 段 时 间 之 内 支 付 赎 金 ， 否 则 勒 索 活 动 还 将 进 一 步 加 剧 。 研 究 人 员 们 同 时 强 调 称 ， “ 坏 兔 子 ” 采 用 的 攻 击 方 法 “ 类 似 于 ” 今 年 6 月 的 P e t y a 攻 击 ， 不 过 目 前 还 无 法 确 定 两 起 事 故 之 间 存 在 关 联 ， “ 坏 兔 子 ” 是 否 拥 有 广 泛 的 传 播 能 力 尚 需 调 查 。 卡 巴 斯 基 实 验 室 调 查 后 表 示 ， “ 这 是 一 起 针 对 企 业 网 络 的 专 项 攻 击 活 动 ， 且 采 用 的 方 法 类 似 于 E x P e t r 攻 击 。 ” 他 们 同 时 补 充 称 ， 攻 击 当 中 采 取 的 分 发 方 法 为 从 受 入 侵 网 站 处 投 放 恶 意 软 件 。
在 一 篇 推 文 当 中 ， 卡 巴 斯 基 实 验 室 全 球 研 究 与 分 析 主 管 指 出 ， 其 中 部 分 受 入 侵 网 站 — — 包 括 乌 克 兰 政 府 网 站 B a k h m u t — — 自 今 年 7 月 起 即 已 遭 突 破 。 黑 客 还 是 《 权 力 的 游 戏 》 的 忠 粉 黑 客 还 是 《 权 力 的 游 戏 》 的 忠 粉 截 至 目 前 ， 尚 无 法 确 定 “ 坏 兔 子 ” 攻 击 活 动 的 幕 后 黑 手 。 但 无 论 其 真 实 身 份 如 何 ， 几 乎 可 以 肯 定 其 属 于 《 权 力 的 游 戏 》 的 粉 丝 ： 其 代 码 当 中 包 含 有 韦 赛 利 昂 、 卓 耿 以 及 雷 哥 的 参 考 资 料 ， 这 三 只 龙 正 是 源 自 《 权 力 的 游 戏 》 电 视 剧 及 原 著 小 说 中 的 人 气 角 色 。 “ 坏 兔 子 坏 兔 子 ” 攻 击 细 节 攻 击 细 节 “ 坏 兔 子 ” 对 知 名 网 站 发 起 路 过 式 下 载 水 坑 钓 鱼 攻 击 。 路 过 式 下 载 是 “ 坏 兔 子 ” 的 传 播 途 径 之 一 。 攻 击 者 入 侵 知 名 网 站 ， 并 在 H T M L 或 其 中 一 个 . j s 文 件 注 入 J a v a S c r i p t 。 下 方 为 此 类 注 入 的 一 类 做 法 ：
脚 本 会 将 以 下 内 容 报 告 给 1 8 5 . 1 4 9 . 1 2 0 [ . ] 3 ： 浏 览 器   U s e r - A g e n t ； R e f e r r e r ； 来 自 访 问 网 站 的 C o o k i e ； 访 问 网 站 的 域 名 。 服 务 器 端 的 逻 辑 可 确 定 访 客 是 否 感 兴 趣 ， 之 后 将 内 容 添 加 到 页 面 。 这 种 情 况 下 ， 我 们 会 看 到 以 下 弹 出 对 话 框 ， 提 示 下 载 并 更 新 仿 冒 的 F l a s h   P l a y e r 。
用 户 点 击 “ 安 装 ” 按 钮 便 会 从 1 d n s c o n t r o l [ . ] c o m 下 载 可 执 行 文 件 - - - i n s t a l l _ f l a s h _ p l a y e r . e x e 。 该 可 执 行 文 件 是 W i n 3 2 / F i l e c o d e r . D D r o p p e r 。 最 终 结 果 是 设 备 被 锁 ， 并 显 示 如 下 勒 索 信 息 ： 支 付 页 面 如 下 ：
通 过 通 过 S M B 传 播 传 播 W i n 3 2 / D i s k c o d e r . D 有 能 力 通 过 S M B 传 播 。 但 是 ， “ 坏 兔 子 ” 并 未 像 W i n 3 2 / D i s k c o d e r . C （ N o t P e t y a ） 一 样 利 用 “ 永 恒 之 蓝 ” 漏 洞 。 “ 坏 兔 子 ” 首 先 会 扫 描 S M B 协 议 的 共 享 文 件 ： a d m i n 、 a t s v c 、 b r o w s e r 、 e v e n t l o g 、 l s a r p c 、 n e t l o g o n 、 n t s v c s 、 s p o o l s s 、 s a m r 、 s r v s v c 、 s c e r p c 、 s v c c t l 、 w k s s v c 、 “ 坏 兔 子 ” 还 会 在 被 黑 电 脑 上 启 用 M i m i k a t z 获 取 凭 证 。 硬 编 用 户 和 密 码 包 括 ：
当 发 现 有 效 的 凭 证 时 ，   i n f p u b . d a t 文 件 会 被 丢 进 W i n d o w s 目 录 、 S C M a n a g e r 和 r u n d l l . e x e 。 加 密 加 密 W i n 3 2 / D i s k c o d e r . D 是 修 改 版 的 W i n 3 2 / D i s k c o d e r . C ， 其 文 件 加 密 中 的 漏 洞 已 被 修 复 。 “ 坏 兔 子 ” 使 用 合 法 开 源 软 件 D i s k C r y p t o r 加 密 ， 并 使 用 C r y p t G e n R a n d o m   生 成 密 钥 ， 随 后 通 过 硬 编 R S A   2 0 4 8 公 共 密 钥 保 护 密 钥 。 影 响 范 围 影 响 范 围 E S E T 的 遥 测 数 据 显 示 ， 乌 克 兰 仅 占 1 2 . 2 % ， 统 计 如 下 ： 俄 罗 斯 :   6 5 % 乌 克 兰 :   1 2 . 2 % 保 加 利 亚 :   1 0 . 2 % 土 耳 其 :   6 . 4 % 日 本 :   3 . 8 % 其 它 :   2 . 4 % 值 得 关 注 的 是 ， 所 有 受 害 公 司 均 在 同 一 时 间 遭 受 攻 击 。 研 究 人 员 认 为 ， 黑 客 组 织 或 已 渗 透 进 了 这 些 公 司 的 网 络 ， 同 时 发 起 水 坑 式 攻 击 。 E S E T 仍 在 继 续 调 查 ， 并 表 示 会 公 布 最 新 调 查 结 果 。 样 本 样 本 C & C 服 务 器 ：   支 付 网 站 :   h t t p : / / c a f o r s s z t x q z f 2 n m [ . ] o n i o n 注 入 U R L :   h t t p : / / 1 8 5 . 1 4 9 . 1 2 0 [ . ] 3 / s c h o l a r g o o g l e / 散 布 U R L :   h x x p : / / 1 d n s c o n t r o l [ . ] c o m / f l a s h _ i n s t a l l . p h p
被 黑 网 站 列 表 ： 被 黑 网 站 列 表 ： 1 .   h x x p : / / a r g u m e n t i r u [ . ] c o m 2 .   h x x p : / / w w w . f o n t a n k a [ . ] r u 3 .   h x x p : / / g r u p o v o [ . ] b g 4 .   h x x p : / / w w w . s i n e m a t u r k [ . ] c o m 5 .   h x x p : / / w w w . a i c a . c o [ . ] j p 6 .   h x x p : / / s p b v o d i t e l [ . ] r u 7 .   h x x p : / / a r g u m e n t i [ . ] r u 8 .   h x x p : / / w w w . m e d i a p o r t [ . ] u a 9 .   h x x p : / / b l o g . f o n t a n k a [ . ] r u 1 0 .   h x x p : / / a n - c r i m e a [ . ] r u 1 1 .   h x x p : / / w w w . t . k s [ . ] u a 1 2 .   h x x p : / / m o s t - d n e p r [ . ] i n f o 1 3 .   h x x p : / / o s v i t a p o r t a l . c o m [ . ] u a 1 4 .   h x x p : / / w w w . o t b r a n a [ . ] c o m 1 5 .   h x x p : / / c a l e n d a r . f o n t a n k a [ . ] r u 1 6 .   h x x p : / / w w w . g r u p o v o [ . ] b g 1 7 .   h x x p : / / w w w . p e n s i o n h o t e l [ . ] c z 1 8 .   h x x p : / / w w w . o n l i n e 8 1 2 [ . ] r u 1 9 .   h x x p : / / w w w . i m e r [ . ] r o 2 0 .   h x x p : / / n o v a y a g a z e t a . s p b [ . ] r u 2 1 .   h x x p : / / i 2 4 . c o m [ . ] u a 2 2 .   h x x p : / / b g . p e n s i o n h o t e l [ . ] c o m 2 3 .   h x x p : / / a n k e r c h - c r i m e a [ . ] r u 避 免 遭 到 避 免 遭 到 “ 兔 子 兔 子 ” 骚 扰 ， 您 可 以 骚 扰 ， 您 可 以 . . . 用 户 可 以 屏 蔽 “ c : w i n d o w s i n f p u b . d a t ,   C : W i n d o w s c s c c . d a t ” 文 件 的 执 行 ， 从 而 防 止 遭 受 感 染 。
注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 3 4 4 4 9 3 9 0 2 . s h t m l 相 关 阅 读 ： 小 心 ！ R e b B o o t 可 能 是 披 着 勒 索 软 件 外 衣 的 删 除 工 具 L o c k y 勒 索 软 件 传 播 新 方 式 ： 关 闭 W o r d 文 档 会 感 染 电 脑 预 警 ！ 危 险 勒 索 软 件 卷 土 重 来 ， 请 提 前 做 好 预 防 措 施 警 惕 Q Q 群 里 “ 王 者 荣 耀 ” 外 挂   可 能 是 新 型 勒 索 病 毒 伪 装 ！ 调 查 报 告 ： I C S 安 全 从 业 人 员 日 益 担 心 勒 索 软 件 攻 击 P e t y a 勒 索 软 件 通 过 乌 克 兰 被 感 染 的 会 计 软 件 爆 发 勒 索 病 毒 已 感 染 1 5 0 国 超 2 0 万 台 计 算 机 设 备 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理