-
-
[原创]勒索病毒变InfoStealer，Ryuk又双叒叕有新瓜可以吃了？
-
发表于: 2019-10-11 15:07
-
背景介绍
Ryuk勒索病毒最早于2018年8月由国外某安全公司进行报道，短短两周内净赚超过64万美元的比特币。2018年12月29号，美国多家报社的报纸印刷和发货中断。据内部消息人士称，这起事件是由Ryuk勒索软件网络攻击活动导致。
图 1
cfcK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2K6k6h3y4#2M7X3W2@1P5i4N6W2k6h3E0Q4x3X3g2U0L8$3#2Q4x3V1k6J5P5i4g2C8i4K6u0V1M7X3q4F1M7$3!0E0N6$3q4J5k6g2)9J5k6s2y4#2M7%4m8W2j5%4c8W2k6q4)9J5k6s2g2K6i4K6u0V1L8X3g2%4M7%4m8S2M7r3g2J5i4K6u0V1j5i4c8@1j5h3y4C8
自问世以来，Ryuk不断的出现更新，各个安全厂商发现了多个版本。同时跟踪发现它与HERMES勒索病毒有关联，此外也有消息称HERMES勒索病毒与朝鲜黑客组织Lazarus有关联。2018年8月20日，checkpoint发表了一篇关于ryuk勒索软件的文章，里面提到了ryuk勒索也许属于朝鲜的言论。checkpoint的分析人员因为Ryuk和Hermes的代码相似而得出此结论。
图 2
图 3
420K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6J5k6i4y4W2j5i4u0U0K9q4)9J5k6h3y4Z5k6h3y4C8M7r3!0A6L8Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6J5P5i4g2C8i4K6u0V1M7X3q4F1M7$3!0E0N6$3q4J5k6g2)9J5k6s2c8S2M7X3N6W2N6r3g2V1i4K6u0V1j5$3q4E0M7r3q4A6k6$3&6Q4x3X3c8T1M7X3g2S2K9#2)9J5c8R3`.`.
但最终crowdstrike的安全研究人员确定，Ryuk勒索病毒由一个名为GRIM SPIDER的犯罪集团运营。
图 4
4d0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2U0M7X3!0%4k6s2y4@1M7X3W2C8k6g2)9J5k6h3y4G2L8g2)9J5c8X3u0D9L8$3N6Q4x3V1k6T1K9h3N6Q4x3X3c8Y4j5h3#2W2i4K6u0V1K9s2g2F1N6r3W2F1k6#2)9J5k6s2N6A6N6r3S2Q4x3X3c8J5P5i4g2C8i4K6u0V1j5h3&6G2N6r3S2W2M7W2)9J5k6r3I4#2j5%4u0S2N6r3W2$3k6g2)9J5k6s2c8S2M7X3N6W2N6r3g2V1i4K6u0V1M7X3q4F1M7$3!0E0N6$3q4J5k6g2)9J5c8R3`.`.
在今年早些时候，Ryuk勒索病毒不断变换攻击方式，扩大攻击范围。最初深信服安全团队发现了使用垃圾邮件和漏洞利用工具包传播的32位Ryuk勒索病毒，专门用于自定义攻击。感染和传播过程都是由攻击者手动执行的，被加密的文件以.RYK后缀结尾。接着又发现了64位版本。
图 5
图 6
ebdK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9K6c8W2)9#2k6W2)9#2k6X3u0A6P5W2)9K6c8p5#2*7d9e0c8z5K9V1f1J5e0X3A6Y4P5p5#2c8i4K6y4p5i4K6y4p5i4K6t1$3j5h3#2H3i4K6y4n7L8h3W2V1i4K6y4p5x3U0j5#2x3o6t1K6y4U0j5K6y4#2)9J5y4X3q4E0M7q4)9K6b7X3W2V1P5q4)9K6c8o6q4Q4x3U0k6S2L8i4m8Q4x3@1u0K6L8W2)9K6c8o6R3&6z5h3g2W2z5e0b7@1k6X3q4U0x3K6t1#2k6r3t1%4x3U0M7H3k6e0l9@1x3K6j5%4y4r3p5H3y4h3t1&6i4K6t1$3j5h3#2H3i4K6y4n7j5$3S2C8M7$3#2Q4x3@1c8X3x3$3f1J5k6r3y4S2z5h3x3@1z5e0f1#2y4h3u0X3k6U0t1$3z5h3x3@1x3o6M7#2k6o6M7&6x3$3q4X3x3r3t1H3y4o6q4U0x3h3c8T1y4o6f1J5y4e0q4U0x3$3j5I4z5e0R3$3k6X3q4U0y4o6b7&6x3K6b7^5k6U0S2W2y4U0c8S2x3o6l9%4k6U0k6X3y4K6j5H3i4K6t1$3j5h3#2H3i4K6y4n7M7$3y4W2L8X3g2Q4x3@1b7K6z5q4)9J5x3%4N6W2j5$3S2S2N6q4)9#2k6Y4u0W2k6r3W2J5k6h3y4@1
d50K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9K6c8W2)9#2k6W2)9#2k6X3u0A6P5W2)9K6c8p5#2*7d9e0c8z5K9V1f1J5e0X3A6Y4P5p5#2c8i4K6y4p5i4K6y4p5i4K6t1$3j5h3#2H3i4K6y4n7L8h3W2V1i4K6y4p5x3U0j5#2x3o6t1K6y4U0R3&6y4W2)9J5y4X3q4E0M7q4)9K6b7X3W2V1P5q4)9K6c8o6q4Q4x3U0k6S2L8i4m8Q4x3@1u0K6L8W2)9K6c8r3q4X3x3X3f1#2x3U0g2W2k6h3x3$3x3K6W2S2y4r3x3I4y4K6p5$3k6X3j5@1z5o6k6W2z5r3g2U0y4o6R3H3i4K6t1$3j5h3#2H3i4K6y4n7j5$3S2C8M7$3#2Q4x3@1c8X3x3$3f1J5k6r3b7&6y4r3x3@1z5e0f1#2y4o6R3J5y4e0y4V1k6h3k6X3z5o6N6U0j5$3y4T1x3e0V1%4y4U0l9I4j5h3j5J5x3e0l9&6x3$3c8V1k6U0N6S2k6X3f1J5j5U0y4U0x3$3k6V1j5K6b7I4z5o6k6X3k6U0W2S2z5e0m8V1y4o6R3H3j5X3x3J5k6o6j5H3i4K6t1$3j5h3#2H3i4K6y4n7M7$3y4W2L8X3g2Q4x3@1b7K6z5q4)9J5x3%4N6W2j5$3S2S2N6q4)9#2k6Y4u0W2k6r3W2J5k6h3y4@1
7月份，深信服安全团队又捕获到一起利用Trickbot下发Ryuk勒索病毒的攻击事件。虽然TrickBot被称为银行木马，但其银行业务能力仅仅是其众多能力之一。它能够利用共享和MS17-010漏洞进行内网传播，并且与C2服务器通信以收集敏感数据和接收命令。一旦攻击者利用其下发Ryuk勒索软件，所有受到感染的设备文件都将被加密，造成不可估量的损害。
图 7
4dbK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9K6c8W2)9#2k6W2)9#2k6X3u0A6P5W2)9K6c8p5#2*7d9e0c8z5K9V1f1J5e0X3A6Y4P5p5#2c8i4K6y4p5i4K6y4p5i4K6t1$3j5h3#2H3i4K6y4n7L8h3W2V1i4K6y4p5x3U0j5#2x3o6t1K6z5o6M7&6z5g2)9J5y4X3q4E0M7q4)9K6b7X3W2V1P5q4)9K6c8o6q4Q4x3U0k6S2L8i4m8Q4x3@1u0K6L8W2)9K6c8r3g2W2k6e0t1$3y4K6N6X3j5e0t1K6z5e0q4V1x3K6t1H3y4o6t1%4x3X3k6V1k6e0l9I4x3$3f1^5y4e0t1H3i4K6t1$3j5h3#2H3i4K6y4n7j5$3S2C8M7$3#2Q4x3@1c8X3x3$3f1J5k6o6f1K6j5X3x3@1z5e0f1#2j5K6u0V1y4e0q4T1x3r3j5J5k6r3k6X3y4e0j5@1y4r3x3^5y4X3p5I4y4e0S2V1k6o6V1K6x3U0p5^5x3$3q4S2z5e0x3J5j5K6f1J5k6o6b7J5z5e0g2W2z5o6V1I4z5h3u0X3z5o6u0S2y4K6b7$3j5e0b7&6x3e0f1K6i4K6t1$3j5h3#2H3i4K6y4n7M7$3y4W2L8X3g2Q4x3@1b7K6z5q4)9J5x3%4N6W2j5$3S2S2N6q4)9#2k6Y4u0W2k6r3W2J5k6h3y4@1
最近，Ryuk勒索病毒又被发现疑似变种。之所以是疑似，是因为该病毒的部分代码结构与之前的Ryuk勒索病毒类似，代码中还有创建后缀名为.Ryk文件的行为，但未执行真正的加密操作。且功能从勒索变成了文件窃取，会在受害者电脑中搜索.docx和.xlsx为后缀的文件，上传到FTP服务器。目前尚无法确定这一次又是Ryuk的开发者改变了攻击方式，还是其他黑客修改了Ryuk的代码以用作他图。
图 8
图 9
二、样本分析
1、此次发现的样本跟之前一样会有反调试功能，但取消了之前注入系统进程的代码。
图 10
2、之后病毒直接开始遍历磁盘上的文件。
图 11
3、跳过一些指定的文件夹或文件。
图 12
4、指定要“加密”的文件后缀，但其后并未有加密文件的操作。
图 13
5、搜索.docx和.xlsx后缀的文件。
图 14
6、判断是否为word或Excel文件，
图 15
图 16
7、继续将验证通过的文件名与以下字符串进行比较，如果比较通过，就将其上传到FTP服务器。
personal
securityN-CSR10-SBEDGAR spy radaragentnewswire
marketwired
10-Q
fraud
hack
defence
attack
military
tank
secret
balance
statement
checking
saving
routing
finance
agreement
SWIFT
IBAN
license
Compilation
report
secret
confident
hidden
clandestine
illegal
compromate
privacy
private
contract
concealed
backdoorundercover
clandestine
investigation
federal
bureau
government
security
unclassified
seed
personal
confident
letter
Passport
Important
marketwired10-Q10Q8KfraudhackNSAFBI
Newswire
scans
Emma
Liam
Olivia
Noah
William
Isabella
James
Sophia
Logan
CSI
8、FTP地址为66.42.76.46，账号密码硬编码在样本中，账号：anonymous，密码：anonymous。
图 17
图 18
9、获取ARP表，在网络中搜索可用的文件。
图 19
三、解决方案
病毒检测查杀
1、深信服EDR产品、下一代防火墙及安全感知平台等安全产品均具备病毒检测能力，部署相关产品用户可进行病毒检测。
2、深信服为广大用户免费提供查杀工具，可下载如下工具，进行检测查杀。
64位系统下载链接：
386K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3g2V1M7W2)9J5k6i4y4S2L8X3N6X3L8%4u0Q4x3X3g2U0L8$3#2Q4x3X3g2U0L8W2)9J5c8Y4c8G2L8$3I4Q4x3V1k6e0k6X3q4T1b7h3&6@1K9f1u0G2N6q4)9#2k6W2R3$3y4q4)9J5k6e0N6*7
32位系统下载链接：
34aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3g2V1M7W2)9J5k6i4y4S2L8X3N6X3L8%4u0Q4x3X3g2U0L8$3#2Q4x3X3g2U0L8W2)9J5c8Y4c8G2L8$3I4Q4x3V1k6e0k6X3q4T1b7h3&6@1K9f1u0G2N6q4)9#2k6W2R3^5y4W2)9J5k6e0N6*7
病毒防御
深信服安全团队再次提醒广大用户，勒索病毒以防为主，目前大部分勒索病毒加密后的文件都无法解密，注意日常防范措施：
1、及时给电脑打补丁，修复漏洞。
2、对重要的数据文件定期进行非本地备份。
3、不要点击来源不明的邮件附件，不从不明网站下载软件。
4、尽量关闭不必要的文件共享权限。
5、更改账户密码，设置强密码，避免使用统一的密码，因为统一的密码会导致一台被攻破，多台遭殃。
6、如果业务上无需使用RDP的，建议关闭RDP。当出现此类事件时，推荐使用深信服防火墙，或者终端检测响应平台（EDR）的微隔离功能对3389等端口进行封堵，防止扩散！
7、深信服防火墙、终端检测响应平台（EDR）均有防爆破功能，防火墙开启此功能并启用11080051、11080027、11080016规则，EDR开启防爆破功能可进行防御。
8、深信服防火墙客户，建议升级到AF805版本，并开启人工智能引擎Save，以达到最好的防御效果。
9、使用深信服安全产品，接入安全云脑，使用云查服务可以即时检测防御新威胁。
最后，建议企业对全网进行一次安全检查和杀毒扫描，加强防护工作。推荐使用深信服安全感知+防火墙+EDR，对内网进行感知、查杀和防护。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
