搜索

[9546] 2015-11-16_首个Linux勒索软件马失前蹄：加密存在漏洞可被人攻破

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-17
2015-11-16_首个Linux勒索软件马失前蹄：加密存在漏洞可被人攻破 首 个 L i n u x 勒 索 软 件 马 失 前 蹄 ： 加 密 存 在 漏 洞 可 被 人 攻 破 D a w n e r   F r e e B u f   2 0 1 5 - 1 1 - 1 6 在 在 W i n d o w s 里 很 早 就 有 了 里 很 早 就 有 了 r a n s o m w a r e （ 赎 金 勒 索 软 件 ） ， 直 到 （ 赎 金 勒 索 软 件 ） ， 直 到 L i n u x 中 的 中 的 L i n u x . E n c o d e r . 1 ， 也 就 是 第 一 个 ， 也 就 是 第 一 个 l i n u x 勒 索 软 件 勒 索 软 件 的 出 现 。 这 款 软 件 的 行 为 与 的 出 现 。 这 款 软 件 的 行 为 与 C r y p t o W a l l 、 、 T o r L o c k e r 等 臭 名 昭 著 的 木 马 软 件 非 常 类 似 。 等 臭 名 昭 著 的 木 马 软 件 非 常 类 似 。 黑 客 利 用 勒 索 软 件 的 案 例 黑 客 利 用 勒 索 软 件 的 案 例 在 黑 客 远 程 利 用 热 门 应 用 M a g e n t o 内 容 管 理 系 统 的 漏 洞 后 ， 他 会 在 受 害 人 的 L i n u x 机 器 里 运 行 L i n u x . E n c o d e r . 1 。 一 旦 执 行 成 功 ， 这 款 木 马 会 在 / h o m e 、 / r o o t 、 / v a r / l i b / m y s q l 这 几 个 目 录 下 进 行 遍 历 文 件 ， 试 图 加 密 里 面 的 文 件 内 容 。 如 W i n d o w s 下 的 勒 索 软 件 一 样 ， 它 会 使 用 A E S （ 某 对 称 密 钥 加 密 算 法 ） 对 这 些 文 件 内 容 进 行 加 密 ， 这 期 间 并 不 会 对 系 统 资 源 占 用 过 大 。 这 个 A E S 对 称 密 钥 会 用 R S A （ 某 非 对 称 加 密 算 法 ） 加 密 ， 然 后 用 A E S 初 始 化 的 向 量 去 加 密 文 件 。 一 旦 这 些 文 件 被 加 密 ， 木 马 会 尝 试 蔓 延 到 系 统 根 目 录 。 它 只 需 要 跳 过 重 要 系 统 文 件 以 免 玩 大 发 了 ， 所 以 加 密 后 的 操 作 系 统 是 能 够 正 常 启 动 的 。 在 这 一 点 上 ， 黑 客 可 以 保 证 用 户 在 不 向 他 们 支 付 费 用 之 前 ， 是 无 法 换 取 R S A 私 钥 来 解 密 A E S 对 称 加 密 的 。 然 而 ， 这 个 加 密 木 马 有 个 巨 大 的 漏 洞 ， B i t d e f e n d e r 的 研 究 人 员 利 用 它 ， 无 需 R S A 私 钥 也 能 解 密 A E S 的 对 称 加 密 。 加 密 的 入 门 加 密 的 入 门 在 2 0 1 5 年 ， 大 多 数 加 密 型 勒 索 软 件 木 马 会 采 用 混 合 加 密 算 法 ， 来 劫 持 有 价 值 的 文 件 。 为 了 迅 速 而 有 效 地 加 密 大 量 数 据 ， 这 类 木 马 使 用 了 高 级 加 密 标 准 A E S 。 为 了 避 免 服 务 器 和 肉 鸡 直 接 发 送 的 加 密 密 钥 被 抓 包 ， 黑 客 们 会 使 用 A E S 和 R S A 混 合 加 密 。 这 些 k e y 通 常 在 黑 客 的 服 务 器 上 生 成 ， 只 将 公 钥 发 送 到 肉 鸡 电 脑 上 。 由 于 R S A 对 于 大 量 数 据 进 行 加 密 占 用 的 系 统 资 源 更 小 ， 公 钥 本 身 只 会 加 密 一 小 部 分 重 要 信 息 ， 那 就 是 A E S 算 法 在 本 地 生 成 的 密 钥 。 R S A 加 密 的 A E S 密 钥 ， 会 利 用 初 始 文 件 权 限 和 A E S 算 法 初 始 化 的 向 量 ， 加 密 系 统 里 的 文 件 。 价 值 百 万 美 元 的 漏 洞 价 值 百 万 美 元 的 漏 洞 我 们 先 前 提 到 过 ， 最 关 键 的 A E S 密 钥 是 在 肉 鸡 电 脑 上 本 地 生 成 的 。 因 此 ， 我 们 逆 向 了 实 验 室 里 L i n u x . E n c o d e r .   1 的 样 本 ， 想 研 究 出 密 钥 和 初 始 化 向 量 生 成 的 方 式 。
我 们 发 现 ， 它 并 没 有 采 用 随 机 的 安 全 密 钥 和 初 始 化 向 量 ， 而 是 利 用 l i b c 库 里 的 r a n d ( ) 函 数 ， 结 合 当 前 系 统 的 时 间 戳 进 行 加 密 。 这 些 信 息 通 过 检 索 文 件 的 时 间 戳 ， 我 们 能 非 常 容 易 的 获 得 。 通 过 这 个 漏 洞 ， 不 必 使 用 黑 客 的 R S A 公 钥 就 能 取 得 A E S 密 钥 。 自 动 解 密 工 具 发 布 自 动 解 密 工 具 发 布 B i t d e f e n d e r 是 第 一 家 发 布 解 密 工 具 解 密 工 具 的 厂 商 ， 该 工 具 会 将 自 动 恢 复 所 有 被 劫 持 加 密 的 文 件 。 这 款 工 具 会 通 过 分 析 文 件 ， 检 测 出 初 始 化 向 量 和 A E S 密 钥 ， 然 后 对 文 件 进 行 解 密 。 最 后 ， 对 那 些 文 件 的 权 限 也 进 行 恢 复 。 如 果 你 还 能 启 动 你 的 系 统 ， 可 以 下 载 这 个 脚 本 ， 并 以 r o o t 用 户 运 行 它 。 下 面 是 恢 复 数 据 的 步 奏 ： 1 . 从 B i t d e f e n d e r 实 验 室 网 站 下 脚 本 （ 由 于 勒 索 软 件 很 可 能 也 影 响 你 的 部 分 系 统 文 件 ， 所 以 你 也 许 需 要 用 l i v e   C D 引 导 ， 或 者 从 其 他 机 器 上 挂 载 受 影 响 的 分 区 。 ） 2 . 用 / d e v / e n c r y p t e d _ p a r t i t i o n 这 样 的 形 式 挂 载 加 密 分 区 3 . 生 成 一 个 加 密 文 件 列 表 ， 你 需 要 输 入 下 面 的 命 令 ： / m n t   #   s o r t _ f i l e s .   s h   e n c r y p t e d _ p a r t i t i o n   >   s o r t e d _ l i s t 获 取 第 一 个 文 件 名 ： / m n t   #   h e a d   - 1   s o r t e d _ l i s t 运 行 解 密 脚 本 ， 获 取 解 密 信 息 ： / m n t   #   p y t h o n   d e c r y p t e r .   p y   – f   [ f i r s t _ f i l e ] 解 密 那 些 文 件 ： / m n t   #   p y t h o n   / t m p / n e w / d e c r y p t e r .   p y   - s   [ t i m e s t a m p ]   - l   s o r t e d _ l i s t 考 虑 到 这 些 工 作 比 较 复 杂 ， 我 们 为 用 户 提 供 免 费 的 帮 助 。 您 可 以 通 过 评 论 的 形 式 提 问 ， 我 们 会 尽 量 为 您 解 惑 。 大 多 数 勒 索 软 件 黑 客 是 对 其 生 成 密 钥 的 方 式 是 极 度 重 视 的 ， 像 上 面 那 种 乌 龙 漏 洞 其 实 并 不 是 很 常 见 。 为 了 防 止 二 次 感 染 ， 请 注 意 下 其 他 事 项 ： 1 . 别 以 r o o t 用 户 运 行 不 信 任 的 应 用 ， 这 可 能 会 损 害 你 的 机 器 和 数 据 。 2 . 记 得 经 常 备 份 系 统 ， 如 果 你 的 电 脑 已 经 被 勒 索 软 件 所 侵 入 ， 最 好 的 办 法 还 是 重 装 系 统 。 你 得 记 住 ， 金 钱 会 诱 惑 黑 客 写 这 些 木 马 ， 而 且 会 随 着 时 间 渐 渐 完 善 它 。 而 他 们 如 果 赚 钱 越 来 越 少 ， 就 不 会 花 更 多 精 力 去 更 新 木 马 。 3 . 如 何 你 的 L i n u x 设 备 是 在 内 网 ， 你 可 以 试 着 做 安 全 加 固 方 案 。
4 . 注 意 尽 量 经 常 给 你 的 W E B 应 用 更 新 补 丁 ， 防 止 C M S 远 程 代 码 执 行 漏 洞 的 利 用 。 解 密 工 具 由 密 码 学 专 家 R a d u   C a r a g e a 开 发 ， 我 们 也 要 感 谢 B i t d e f e n d e r 的 反 病 毒 专 家 C o d r u t   M a r i n e s c u 、 R a z v a n   B e n c h e a 、 C r i s t i n a V a t a m a n u 和 A l e x a n d r u   M a x i m c i u c 的 研 究 贡 献 。 后 续 更 新 后 续 更 新 勒 索 软 件 又 有 了 新 的 突 破 ， 在 特 定 的 情 况 下 ， 解 密 工 具 不 会 生 效 。 在 调 查 后 ， 我 们 发 现 某 些 受 害 者 在 解 密 文 件 系 统 以 后 还 会 再 次 被 感 染 。 这 意 味 着 某 些 文 件 采 用 的 单 独 的 密 钥 加 密 ， 其 他 文 件 用 的 是 另 一 组 密 钥 。 然 而 这 样 的 话 ， 竞 争 条 件 会 导 致 某 些 文 件 被 彻 底 损 坏 ( 其 内 容 会 被 截 断 为 零 ) 。 在 某 些 情 况 下 ， 连 勒 索 软 件 都 会 被 加 密 。 * 参 考 来 源 ： B D ， F B 小 编 d a w n e r 编 译 ， 有 改 动 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ) 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理