点击蓝字 关注我们
……或者说是“脚本小子”（Script Kiddies）
“无聊总是伟大创造力的前奏。” — 罗伯特·M·皮尔西格
事情的起因
事情的结果
Jinn勒索软件生成器在社交媒体上的出现
（翻译后的意思为：
这个内容涉及到一个威胁行为者 "HeapCrash" 出售名为 Jinn Ransomware v1.0 的勒索软件构建工具的网络安全警报。该工具具有高度自定义且难以检测的特性，构成了显著的网络安全威胁。具体功能包括：
-
C2 回调：支持远程命令与控制通信。 -
多语言支持：兼容 PowerShell、C# 和 Python，适用于多种环境。 -
完全可配置：用户可以根据需求调整勒索软件。 -
服务端/客户端架构：实现受感染设备与指挥服务器的高效通信。 -
AES 加密：使用强加密锁定受害者的数据。 -
无检测：声称可以绕过现有的所有检测机制。
这意味着网络安全威胁的态势在不断演变，组织必须保持警惕，及时更新安全协议，以应对这些先进工具带来的风险。）
（翻译后的意思为：
新勒索软件警报：Jinn Ransomware v1.0
一种名为 Jinn Ransomware 的新勒索软件已被检测到，并正在引起关注。其 V1.0 版本于4月13日首次出现，具备以下特征：
-
与指挥控制（C2）服务器的回调功能。 -
支持多种语言的植入，兼容 PowerShell、C# 和 Python。 -
完全可配置，提高了其适应性。 -
服务端/客户端架构，支持协调攻击。 -
采用 AES 加密，使数据不可访问。 -
无检测记录，对现有安全系统构成挑战。）
“Jinn Ransomware”原本应该是什么？
一个能够构建完全自定义勒索软件的生成器，具有以下功能：
-
C2 回调 -
多语言支持（PowerShell/C#/Python） -
AES 加密与解密 -
无检测
它实际上是什么？
Jinn Ransomware Builder 实际上是一个蜜罐，但其中提到的一些功能是真实存在的。
让我们详细说明一下这些功能：
1. C2 回调——后门和硬编码：
TcpClient() 函数需要两个参数：主机和目标端口。
如你所见，主机参数是通过 Substring() 函数构造的，该函数从一个长字符串中提取出 IP 地址。
Process _Tiger = new Process();
用于在内存中启动一个新进程。
_Tiger.StartInfo.Filename = GetFileName();
记下这个函数，我们将在下面进行解释。
GetFileName()函数使用与TcpClient()函数相同的Substring()函数来构建阶段器名称。
结果：CmD.eXE
结论：我们的代码用于启动远程连接，并打开服务器上托管的名为“CmD.eXE”的可执行文件。
2. 多语言支持（PowerShell/C#/Python）——理论上是的：
……但实际上，这只是一个提示框而已。
用户本应从命令行创建勒索软件植入程序的配置，包括填写C2服务器信息、选择植入程序的编写语言（PowerShell、C#、Python）、持久性模式（无、计划任务、新账户创建）、解密密码以及需要加密的文件扩展名列表。
最终，构建器会生成两个可执行文件——一个用于加密，另一个用于解密。
这些只是为了让功能列表看起来更吸引人。
3. AES加密与解密——但这些功能并未完全实现。
这些功能被加入到构建器中是为了：
-
使其看起来像一个合法的勒索软件生成器 -
将硬编码的后门隐藏在显眼的地方
实际上，从程序的主函数开始进行基本的源代码分析，就会发现：
第一个被调用的方法是 me()，它是用于建立后门连接的方法。
定义如下所示。
me() 方法4. 无检测——这一点无需多言😏。
经验教训
始终分析从互联网获取的漏洞样本和黑客工具中的代码
-
检查IP地址和端口 -
检查打开新连接的函数 -
检查尝试运行系统命令的函数 -
如果在VirusTotal上没有任何检测，这并不意味着它是无害的
核实您在社交媒体上或向客户传播的威胁情报的质量
法律免责声明
所有活动均在模拟环境中完成。未进行任何非法黑客行为，我严厉反对任何此类行为。
文章来源
https://corneacristian.medium.com/how-i-hacked-100-hackers-5c3c313e8a1a
以下是solar安全团队近期处理过的常见勒索病毒后缀：
勒索攻击作为成熟的攻击手段，很多勒索家族已经形成了一套完整的商业体系，并且分支了很多团伙组织，导致勒索病毒迭代了多个版本。而每个家族擅用的攻击手法皆有不同，TellYouThePass勒索软件家族常常利用系统漏洞进行攻击；Phobos勒索软件家族通过RDP暴力破解进行勒索；Mallox勒索软件家族利用数据库及暴力破解进行加密，攻击手法极多防不胜防。
而最好的预防方法就是针对自身业务进行定期的基线加固、补丁更新及数据备份，在其基础上加强公司安全人员意识。
如果您想了解有关勒索病毒的最新发展情况，或者需要获取相关帮助，请关注“solar专业应急响应团队”。
原文始发于微信公众号（solar专业应急响应团队）：【文章转载】如何反制并成功入侵100名黑客
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论