2022勒索软件新趋势

admin 2022年5月26日02:25:03评论59 views字数 7855阅读26分11秒阅读模式

关键词

勒索软件、趋势、跨平台、勒索软件工业化、地缘政治

对勒索软件的观察和评估可以提供打击网络犯罪的威胁情报,还可以帮助我们推断出未来几个月可能的趋势,以便更针对性的进行防范。据卡巴斯基团队总结,2022年勒索软件的活跃程度不亚于以往:网络犯罪分子持续活跃并对零售商和企业产生威胁,旧恶意软件变种卷土重来,而新恶意软件在不断进化。

在此报告中,该团队分析了2021年底和2022年发生在技术和地缘政治层面的事件,并对导致新勒索软件趋势原因进行分析。主要包含三个层面:日益普遍的跨平台勒索软件趋势;勒索软件团队如何采用良性软件公司的技术继续产业化并发展成为真正的企业;勒索软件团伙在俄罗斯和乌克兰的冲突中扮演的角色及作用。

1. 跨平台勒索软件日益流行




作为多年来日益流行的大猎杀(BGH: Big Game Hunting)计划的结果,网络犯罪分子一直在渗透到越来越复杂的环境中。勒索软件为了对不同的系统造成尽可能多的损害并阻碍恢复工作,它们试图尽可能多地加密系统。这意味着,这些勒索软件应该能够在不同的架构和操作系统组合上运行。
为了达成该目的,方法之一是用Rust或Golang等 "跨平台编程语言 "编写勒索软件。使用跨平台语言有一些明显的优势,举例来说,即使勒索软件目前可能只针对一个平台,但用跨平台的方式编写,可以更容易地将其移植到其他平台。除此之外,对安全分析者而言,跨平台二进制文件的分析比用纯C语言编写的恶意软件的分析要难一些。
在卡巴斯基威胁情报平台的犯罪软件报告部分,涵盖了其中一些在不同平台上工作的勒索软件变种,以下是这些报告中最重要的亮点。

(1)Conti 跨平台功能

Conti 是一个开展 BGH 的团体,其目标是全球范围内的各种组织。就像许多其他 BGH 团体一样,它使用双重勒索技术以及基于会员的结构。
只有某些关联公司才能访问针对 ESXi 系统的 Conti 勒索软件的 Linux 变体,它支持各种不同的命令行参数,会员可以使用这些参数来自定义执行。Linux 版本支持以下参数:


参数
描述
–detach
样本在后台执行并与终端分离
–log
出于调试目的,指定文件名后,Conti 会将操作写入日志文件
–path
Conti 需要这条路径来加密系统。使用选定的路径,勒索软件将递归加密整个文件夹结构
–prockiller
此标志允许勒索软件杀死那些具有选定文件进行加密的进程
–size
功能未实现
–vmlist
用于在加密过程中跳过虚拟机的标志
–vmkiller
它将终止 ESXi 生态系统的所有虚拟机
Conti 参数(Linux ESXi)

(2)BlackCat的跨平台功能

2021年12月开始,BlackCat在暗网上提供他们的服务。BlackCat的Linux样本与Windows的样本非常相似。就功能而言,它的功能略多,因为它能够关闭机器并删除ESXi虚拟机。当然,典型的Windows功能(例如,通过cmd.exe执行命令)被替换为Linux的对应功能,因此,该勒索软件在其运行的不同平台上仍然拥有相同的功能。

(3)Deadbolt的跨平台功能

Deadbolt是用跨平台语言编写的勒索软件,目前只针对一个目标——QNAP NAS系统。它也是Bash、HTML和Golang的一个有趣组合。Deadbolt本身是用Golang编写的,赎金条是一个HTML文件,取代了QNAP NAS使用的标准索引文件,而Bash脚本是用来启动解密过程的。该勒索软件还有一个奇特之处:它不需要与攻击者进行任何互动,因为解密密钥是在比特币交易OP_RETURN字段中提供的。Bash文件显示如下。

#!/bin/sh


echo"Content-Type: text/html"

echo""


get_value(){

     echo"$1"|awk-F"${2}="'{ print $2 }'|awk-F'&''{ print $1 }'

}


not_running(){echo'{"status":"not_running"}';exit;}


PID_FILENAME=/tmp/deadbolt.pid

STATUS_FILENAME=/tmp/deadbolt.status

FINISH_FILENAME=/tmp/deadbolt.finish

TOOL=/mnt/HDA_ROOT/722

CRYPTDIR=/share


if["$REQUEST_METHOD"="POST"];then

    DATA=`dd count=$CONTENT_LENGTH bs=12/dev/null`'&'

    ACTION=$(get_value"$DATA""action")

    if["$ACTION"="decrypt"];then

        KEY=$(get_value"$DATA""key")

          if["${#KEY}"!=32];then     

            echo"invalid key len"     

            exit        

        fi

        K=/tmp/k-$RANDOM     

        echo-n > $K

        foriin`seq0230`;do

            printf"x"${KEY:$i:2} >> $K

          done

       

        SUM=$(sha256sum$K|awk'{ print $1 }')     

        rm$K


        if["$SUM"="915767a56cb58349b1e34c765b82be6b117db7e784c3efb801f327ff00355d15"];then

            echo"correct key"

              exec >&-     

            exec 2>&-

            ${TOOL} -d "$KEY" "$CRYPTDIR"      

        elif [ "$SUM" = "93f21756aeeb5a9547cc62dea8d58581b0da4f23286f14d10559e6f89b078052" ];then

              echo"correct master key"

              exec >&-

              exec 2>&-

              ${TOOL} -d "$KEY" "$CRYPTDIR"

          else

              echo "wrong key."

          fi

    elif [ "$ACTION" = "status" ];then

        if[-f"$FINISH_FILENAME"];then

            echo'{"status":"finished"}'

              exit

          fi

        if[-f"$PID_FILENAME"];then     

            PID=$(cat"$PID_FILENAME")

            if["$PID"=""];then

                not_running     

            fi

            if[!-d"/proc/$PID"];then     

                not_running     

            fi

        fi

        if[-f"$STATUS_FILENAME"];then

              COUNT=$(cat"$STATUS_FILENAME")

              echo'{"status":"running","count":"'${COUNT}'"}'

        else

            not_running

        fi

    else

        echo"invalid action"

    fi

else

    echo

2. 勒索软件的生态系统在不断发展,变得更加 "工业化"




就像合法的软件公司一样,网络犯罪集团也在不断为自己和客户开发他们的工具包。例如,使数据外传的过程更加快速和容易。威胁者有时采取的另一个伎俩是重塑他们的勒索软件,在这个过程中改变微小的内容。
下面让我们深入了解一下勒索软件团伙最近采用的新工具和 "商业 "策略。

(1)Lockbit 的演变,自 2019 年以来最成功的 RaaS 之一

Lockbit 始于 2019 年,并在 2020 年宣布了其附属计划。随着时间的推移,该集团一直在积极发展,如图1所示:
2022勒索软件新趋势
图1:Lockbit发展演变
起初,该组织在开始进行恶意活动时,没有任何泄密行为,没有进行双重勒索,也没有数据加密前的数据泄露。
随着时间的推移,基础设施也得到了改善。与其他勒索软件系列一样,Lockbit 的基础设施遭受了多次攻击,迫使该组织实施一些对策来保护其资产。这些攻击包括对 Lockbit 管理面板的攻击和 DDOS 攻击,以迫使该组织关闭其活动。
Lockbit 开发人员添加的最新安全功能是“等待页面”,可将用户重定向到可用镜像之一。

(2)StealBIT:Lockbit 勒索软件使用的自定义数据泄露工具

恶意组织实施双重勒索时,可以通过许多不同的方式进行数据泄露。最初,网络犯罪分子使用诸如 Filezilla 等公开可用的工具,后来用他们自己的自定义工具(如 StealBIT)取而代之,这有几个原因:
  • 公开可用的工具并不总是以其速度而闻名。对于勒索软件运营商来说,速度很重要,因为泄露数据所需的时间越长,勒索软件运营商被抓获的可能性就越大
  • 灵活性是另一个原因。标准工具的设计并未考虑勒索软件运营商的要求。例如,使用大多数工具,仅能将数据上传到一台主机。如果该主机已关闭,则必须手动指定另一台主机。犯罪基础设施总是有可能被拆除或落入 LEA 手中。为了提供更大的灵活性并克服这些限制,StealBIT 有一个硬编码主机列表。如果第一个主机由于某种原因关闭,则尝试第二个主机。
  • 勒索软件运营商的要求是公开可用的工具无法满足的。其中一项要求是不泄露所有数据,而只泄露有利益的数据。在 StealBIT 中,这是通过硬编码应提取的文件列表来实现的。另一个功能是在上传数据时发送附加ID。
在下图中,将StealBIT的数据泄露与其他工具的数据泄露进行了比较:
2022勒索软件新趋势
图2:StealBIT对比

(3)SoftShade 部署 Fendr 渗透客户端

Fendr,也称为 Exmatter,是一种恶意数据泄露工具,被 BlackMatter、Conti 和 BlackCat 等多个勒索软件组织使用。据观察,目前没有在BlackMatter 和 Conti 事件中看到 Fendr,但在与 BlackCat 相关的事件中发现了它们的踪迹。因此,可认定Fendr正在被犯罪软件组织所使用。
在内部,SoftShade 开发人员将其称为“file_sender”和“sender2”。该恶意软件是用 C# .Net 编写的,并且经常与 BlackMatter 和 Conti 恶意软件一起部署为打包的 .Net 可执行文件,但其他与 Conti 和 BlackCat 勒索软件一起部署的大多数样本都没有打包(2021 年 11 月的一次 Conti 事件除外)。它旨在有效管理受害系统上的大量选择性文件收集和上传活动,然后将其从系统中删除。Fendr 由多个开源库构建而成,其设计显然是勒索软件领域成熟、专业化经验的结果,可跨各种 Windows 系统和网络处理任意大文件量。
同样有趣的是 Fendr 及其选择的勒索软件的部署和打包。在所有相关的事件中(除了一次 Conti 事件),勒索软件和 Fendr (程序)都以“v2.exe”和“v2c.exe”,或“v2.exe”和“sender2.exe”名称通过网络同时传送到多个系统”。这种同步推送优先考虑协调和效率,而不是提高检测风险。在与 Conti 相关的异常事件中,似乎是将Fendr 变体 以“\hostname$tempsender2.exe”名称通过网络推送到许多系统。
3. 勒索软件团伙在地缘政治冲突中偏袒一方




网络犯罪分子利用新闻头条来实现他们的恶意目标。在全球 Covid-19 大流行的初始阶段,与 Covid-19 相关的垃圾邮件和网络钓鱼电子邮件激增。同样的,在2022年乌克兰的地缘政治冲突中也是如此。
然而,二者不同的是,新冠大流行是一长串假期、事件中的一个话题。而在俄乌冲突的情况下,威胁行为者决定选择立场,这使得这个话题更加个人化.
通常在这样的地缘政治冲突中,人们会将网络攻击的来源与国家支持的威胁行为者联系起来。但这并不总是正确的,在这场冲突中出现了一种新型的参与方式:网络犯罪论坛和勒索软件团体对冲突情况做出反应并采取行动。
这种参与方式已经产生了一些影响:例如,Conti相关信息的披露。在最近于乌克兰或俄罗斯发现的特定恶意软件变体中,可以看出参与者的立场,选择反对乌克兰或反对俄罗斯。
接下来,让我们看看围绕冲突过程中,几个最引人注目的勒索软件团伙活动。

(1)Conti勒索软件团伙有意偏袒

Conti 勒索软件组织反应最为强烈。2月25日,Conti 在其新闻网站上发布了一条消息,声明如果俄罗斯成为网络攻击的目标,它将以全部能力对任何“敌人”的关键基础设施进行报复。这可能是网络犯罪集团公开支持民族国家的罕见例子。后续一名据称是乌克兰人的Conti成员在网上分享了该组织的内部聊天和其他相关信息。
2022勒索软件新趋势
图3:Conti 勒索软件组织在其新闻网站上发布警告消息
另一方面,例如匿名者、乌克兰 IT 军队和白俄罗斯网络游击队等社区则表示公开支持乌克兰。
下表突出了冲突开始期间几个团体和论坛的立场。
公开支持乌克兰
公开支持俄罗斯
中立
RaidForums
Conti
Lockbit
Anonymous collective
CoomingProject

IT Army of Ukraine
Stormous

Belarusian Cyber Partisans


(2)Freeud:具有擦除功能的全新勒索软件

卡巴斯基最近发现了支持乌克兰的全新勒索软件变种 Freeud。该软件的赎金信直白说:俄罗斯军队应该离开乌克兰。单词的选择和笔记的书写方式表明它的作者是俄语为母语的人。根据分析,作者不是以英语为母语。例如,多次将“landing”误用为“lending”。
恶意软件作者的政治观点不仅通过赎金信表达,还通过恶意软件功能表达。其中之一是擦除功能,即会在恶意代码内嵌入文件列表,并选择将它们从受害者系统中清除掉,而不是本应该采用的加密的方式。
另一个突出的特点,这类恶意软件的攻击水平相对较高,通常采用高质量的加密方法和多线程的方式。

(3)Elections GoRansom (HermeticRansom) 掩盖破坏性活动

GoRansom 于 2 月底在乌克兰被发现,同时进行了 HermeticWiper 攻击。GoRansom 所做的一些事情与其他勒索软件变体不同:
  • 它会创建数百个自身的副本并运行它们。
  • 函数命名方案参考美国总统选举。
  • 没有混淆,它具有非常简单的功能。
2022勒索软件新趋势
图4:由 HermeticRansom 制作的自我复制
出于这些原因,它的创建可能是为了提高乌克兰网络行动的效率。

(4)Stormous勒索软件通过 PHP 恶意软件加入乌克兰危机

我们很少遇到用 PHP 编写的恶意软件。大多数情况下,当我们分析 PHP 代码时,它要么是 webshell,要么是一些僵尸网络面板代码。Stormous则是少数例外之一,除了作为后门之外,它还包含勒索软件功能。攻击者会寻找支持 PHP 技术的 Web 服务器和易受 Web 应用程序攻击的漏洞。
对恶意软件的分析表明,威胁行为者来自北非的阿拉伯语地区,在俄乌冲突中站在俄罗斯一方。
2022勒索软件新趋势
图5:Stormous声明
PHP 脚本提供了一个通过 HTTP 进行远程交互的 Web 界面,其中提供了几个加密选项:“OpenSSL”、“Mcrypt”和“Xor”。很有可能是由于考虑到了目标服务器的外部因素,比如运行在服务器上的PHP,从一个版本到下一个版本,有些扩展被弃用或不可用,所以开发脚本中包含了这三个扩展。 

(5)针对乌克兰的DoubleZeroc擦除器

DoubleZero 擦除器最初由乌克兰 CERT 于 3 月 22 日曝光。它是用 C# 编写的全新擦除器,与任何其他已知的擦除器都不相似,并且仅针对乌克兰。二进制文件本身被未知的 C# 混淆器严重混淆,类和方法名是随机生成的。
2022勒索软件新趋势
图6:混淆
控制流是使用一种功能扁平化机制来组织的,该机制旨在减缓对恶意代码的分析。
2022勒索软件新趋势
图7:混淆的反编译代码
当所有的准备工作都结束后,恶意软件开始它的擦除操作。首先,它通过将文件夹名称与硬编码列表进行比较来检查用户(非系统文件),并使用 NtFsControlFile API开始擦除它们。
2022勒索软件新趋势
图8:硬编码的文件夹列表
2022勒索软件新趋势
图9:文件擦除
NtFsControlFile例程将控制代码直接发送到指定的文件系统或文件系统过滤器驱动程序,使相应的驱动程序执行指定的操作。如截图所示,控制代码的值为 622792(16进制的0x980C8),对应FCSTL结构的FSCTL_SET_ZERO_DATA控制代码。文件中的数据将被intPtr2变量指向的零值覆盖。如果函数失败,wiper 将执行标准的.Net FileStream.Write函数用于相同目的,然后恶意软件擦除找到的系统文件。
然后,恶意软件会删除 HKU、HKLM 中的 Windows 注册表树子项,并杀死“lsass”进程以重新启动受感染的机器。
4. 结论


俗话说,未雨绸缪,这同样适用于网络安全。近年来,勒索软件团伙从零散的团伙发展成为具有鲜明产业特征的企业。因此,攻击变得更加复杂和更有针对性,使受害者面临更多威胁。监控勒索软件组织的活动及其发展为我们提供了威胁情报,可以更好地防御。
我们见证了用 Rust 和 Golang 编写的跨平台勒索软件成为“新一代”勒索软件群体的武器。由于该软件的灵活性,攻击可以更大规模跨平台进行。这种灵活性使勒索软件团伙能够在实施攻击时快速调整其策略,使其目标多样化并影响更多受害者。
其次,我们见证了勒索软件团体如何重建其内部流程以促进其活动越来越类似于合法软件开发人员的重大发展。虽然他们在品牌塑造方面的努力并不新颖,但他们“业务”的细分以及新渗透工具的创建 使“勒索软件即服务行业得以成熟,在这个行业中,勒索软件所有者尽可能地简化了勒索运营商的工作。
最后,勒索软件集团介入俄罗斯和乌克兰冲突,开创了网络犯罪在地缘政治方面的运作方式的先例。 虽然人们普遍认为,高级持续威胁(APT)行为者通常是那些为国家利益承担执行高级攻击任务的人,但我们现在看到,勒索软件行为者也自愿参与此类活动,并导致了相当破坏性的后果。 

END
参考链接:https://securelist.com/new-ransomware-trends-in-2022/106457/

编辑|商上

审校|何双泽、金矢

本文为CNTIC编译整理,不代表本公众号观点,转载请保留出处与链接。联系信息进入公众号后点击“关于我们”可见。

2022勒索软件新趋势

原文始发于微信公众号(国家网络威胁情报共享开放平台):2022勒索软件新趋势

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月26日02:25:03
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   2022勒索软件新趋势https://cn-sec.com/archives/1050485.html

发表评论

匿名网友 填写信息