返回顶部
隐藏或显示

新闻动态

News

揭秘!勒索界“海王”如何横扫中国?

/ 2018-12-17


谁是勒索界当之无愧的“海王”?

2018年是一个勒索病毒高发的年度,可谓百(can)花(bu)争(ren)艳(du),勒索家族变种、传播方式层出不穷,明年估计形势会更不乐观。

但大家是否会好奇,勒索病毒这么多,到底哪一家“强”呢?

深信服安全团队,综合了2018年1月至今的数据,最终确定勒索界年度“海王”为:GandCrab勒索病毒,中文外号“咸水国巨蟹”。下图是这只巨蟹横行过的区域,包括广东、安徽、青海、江西、福建、浙江、山西、吉林、贵州、天津、北京、上海、河北、山东、辽宁、江苏、四川等,基本覆盖大半个中国,以东部沿海最为严重。

海王GandCrab巨蟹横行图

GandCrab勒索病毒是2018年勒索病毒家族中最活跃的家族,该勒索病毒首次出现于2018年1月,在将近一年的时候内,经历了五个大版本的更新迭代,此勒索病毒的传播感染方式多种多样,使用的技术也不断升级,勒索病毒采用高强度加密算法,导致加密后的文件,大部分无法解密。

GandCrab勒索病毒

深信服安全团队,跟踪分析此勒索病毒将近一年的时间内,发现该勒索病毒主要的传播方式如下:

1、RDP爆破

2、发送垃圾邮件,附加恶意链接或邮件附件,通过Word宏等加载PowerShell下载

3、感染相关网站,下载捆绑有恶意程序的更新程序或正常软件

4、利用RigEK、GrandSoft、Fallout Exploit等漏洞利用工具包,通过无文件方式PowerShell、JS、VBS等脚本释放加载

5、通过恶意下载器下载勒索病毒

6、通过U盘感染

“海王”的继承人和新生儿

“海王”GandCrab,可谓子孙繁多,其中GandCrab5.0.4最为勇猛,喜欢横行霸道,绝大多数“城堡”都是其打下的,已经成为GandCrab勒索家族的事实上的代表和继承人。

近日,GandCrab这只巨蟹又有了新的变种,深信服在第一时间进行了深入研究,参考如下:

GandCrab新变种

下面,重点介绍下新变种GandCrab5.0.9。

病毒在运行之后,会弹出对话框,如下所示:

新变种GandCrab5.0.9运行图

加密文件之后,桌面显示,如下所示:

新变种GandCrab5.0.9加密文件后效果

加密后的文件,是随机10个字母的后缀名:

新变种GandCrab5.0.9加密文件的后缀

相应的勒索信息,如下所示:

新变种GandCrab5.0.9勒索信息

TOR勒索站点的信息为:

TOR勒索站点信息

可以看到TOR勒索站点作者在右侧还提供了一个聊天窗体,可以跟黑客进行聊天通信。通过分析发现它与之前的GandCrab5.0.5基本无差异。

TOR勒索站点右侧聊天窗体

入口函数,对比如下:

TOR勒索站点入口函数

主功能函数,对比如下:

TOR勒索站点主功能函数

其中主功能函数代码段,GandCrab5.0.5第一个功能函数是空的:

GandCrab5.0.5第一个功能函数

而GandCrab5.0.9版本中,作者编写了弹框信息代码:

GandCrab5.0.9弹框信息代码

弹出对话框,如下所示:

GandCrab5.0.9弹框示例

点击确认之后,执行后面的加密勒索流程,与之前的GandCrab5.0.5的流程一样,如下所示:

GandCrab5.0.9加密勒索流程

同时相应的版本号也发生了变化,对比如下:

GandCrab5.0.9版本号变化

此勒索病毒的作者在发布GandCrab5.0.9之后弹出了一个对话框,提示“他们”会很快回来的......

“海王”的家族变异史和传播方式

深信服安全团队一直在研究跟进此勒索病毒,通过跟踪发现此勒索病毒,从2018年1月开始,在一年内主要经历了五次大的版本变种,如下所示:

“海王”家族变异史和传播方式

其中各大版本之间又出现过小的版本更新,比如V2.1版本,V4.3版等,特别是V5版之后,连续出现多个小版本的迭代,这些小版本的功能代码基本类似,例如V5.0.1、V5.0.2、V5.0.3、V5.0.4、V5.0.5,以及这次出现最新版本V5.0.9,可以相信未来还会不断有新的变种......

勒索界“海王”的主要的传播方式如下:

1、RDP爆破

2、发送垃圾邮件,附加恶意链接或邮件附件,通过Word宏等加载PowerShell下载

3、感染相关网站,下载捆绑有恶意程序的更新程序或正常软件

4、利用RigEK、GrandSoft、Fallout Exploit等漏洞利用工具包,通过无文件方式PowerShell、JS、VBS等脚本释放加载

5、通过恶意下载器下载勒索病毒

6、通过U盘感染

但最为经典、使用面最广的、也是最为简单粗暴的是RDP爆破,其经典传播模型:

RDP爆破传播模型

1、RDP爆破入侵

黑客首先RDP爆破其中一台主机,成功获取到该主机的控制权后,上传黑客一整套工具,包括:进程管理工具、内网扫描工具、密码抓取工具、暴力破解工具以及勒索病毒体。由于其中某些工具容易被杀软查杀,因此黑客对其进行了加密压缩处理,压缩密码为“123”。

暴利破解工具加密压缩


2、结束杀软进程

上传完工具后,黑客就开始“干活”了。首先是要解决掉杀毒软件,用进程管理工具“ProcessHacker”结束杀软进程。

3、内网扫描

紧接着,黑客试图“扩大战果”,控制更多的内网主机。使用内网扫描工具“KPortScan”、“nasp”、

“NetworkShare”来发现更多潜在目标。

4、抓取密码

使用“mimikatz”抓取本机密码,“WebBrowserPassView”抓取浏览器密码。由于内网中普遍存在密码相同的情况,因此抓到的密码很有可能能够直接登陆其他主机。

5、暴力破解

使用“DUBrute”对内网主机进行RDP爆破。

6、运行勒索病毒

HW包含了勒索病毒体HW.5.0.2.exe以及一个文本文件HW.txt,HW.txt记录了用于无文件勒索的PowerShell命令。黑客可直接运行勒索病毒体或者执行PowerShell命令进行勒索。

HW.txt记录PowerShell命令

如何防御和狙击海王?

针对已经出现勒索现象的用户,由于暂时没有解密工具,建议尽快对感染主机进行断网隔离。

深信服提醒广大用户尽快做好病毒检测与防御措施,防范此次勒索攻击。

病毒检测查杀

1、深信服为广大用户免费提供查杀工具,可下载如下工具,进行检测查杀 http://edr.sangfor.com.cn/tool/SfabAntiBot.zip

2、深信服EDR产品及下一代防火墙等安全产品均具备病毒检测能力,部署相关产品用户可进行病毒检测。

病毒防御

1、及时给主机打补丁,修复漏洞,升级最新病毒库。

2、对重要的数据文件定期进行非本地备份。

3、更改账户密码,设置强密码,避免使用统一的密码,因为统一的密码会导致一台被攻破,多台遭殃。

4、GandCrab勒索软件会利用RDP(远程桌面协议),如果业务上无需使用RDP的,建议关闭RDP。当出现此类事件时,推荐使用深信服防火墙,或者终端检测响应平台(EDR)的微隔离功能对3389等端口进行封堵,防止扩散!

5、深信服下一代防火墙、终端检测响应平台(EDR)均有防爆破功能,防火墙开启此功能并启用11080051、11080027、11080016规则,EDR开启防爆破功能可进行防御。

6、不明邮件不要随意点开,防止被钓鱼攻击。

7、不要从网上随意下载不明软件,此类软件极可能隐藏病毒。

8、U盘管控需做好,避免通过U盘进行交叉感染。

最后,建议企业级用户对全网进行一次安全检查和杀毒扫描,加强防护工作。推荐使用深信服安全感知+下一代防火墙+EDR,对内网进行感知、查杀和防护。

深信服终端检测响应平台

©2000-2019    深信服科技股份有限公司    版权所有    粤ICP备08126214号-5

粤公网安备

粤公网安备44030502002384号