近日，深信服安全团队发现一针对Linux服务器，并实现Windows跨平台攻击的新型勒索病毒，该勒索病毒加密后缀为.lucky，其传播模块复用了Satan的传播方式，实现了Linux下的自动化传播，深信服将其命名为lucky勒索病毒。

ft32是病毒母体，conn32是传播模块，cry32是lucky勒索模块。

整体攻击流程为：

• ft32病毒自复制成.loop并添加自启动项。

• .loop从黑客服务器上下载传播模块conn32和勒索模块cry32并运行。

• cry32对系统中的文件进行加密，加密后缀名为.lucky。

• conn32对内网主机进行扫描，并利用多个流行漏洞，传播病毒母体。

该程序在启动时会根据启动参数argv[1]来判断是否进行install, 使用argv[0]本身程序名来检测是否以LTMP或者.loop启动。LTMP启动方式目前没有什么动作，直接返回。

其中，执行ft32，不带任何参数，将会复制自身到.loop程序中，并且以.loop创建一个进程。

当ft32结束之后，.loop运行中，会根据自身进程名是否为.loop来创建.hash, 下载.conn, .crypt，LTMP, RTMP等恶意程序。

且执行.conn和.crypt， .conn为传播组件，.crypt为加密组件：

除了下载恶意组件来完成目的，.loop还会通过计划任务，开机自启动等来实现持久性：

 

lucky勒索加密体

 

      传播模块

• conn与Satan的传播模块一致，跟Windows版本一样，主要利用以下漏洞进行攻击:
• JBoss反序列化漏洞(CVE-2013-4810)
• JBoss默认配置漏洞(CVE-2010-0738)
• Tomcat任意文件上传漏洞（CVE-2017-12615）
• Tomcat web管理后台弱口令爆破
• Weblogic WLS 组件漏洞（CVE-2017-10271）
• Windows SMB远程代码执行漏洞MS17-010
• Apache Struts2远程代码执行漏洞S2-045
• Apache Struts2远程代码执行漏洞S2-057

值得注意的是，在该Linux样本中发现了大量.exe的字样，最终确定该样本是个跨平台样本，通过Web应用漏洞对Windows、Linux进行无差别攻击。

传播模块核心函数为：

主要利用的漏洞：

深信服提醒广大用户尽快做好病毒检测与防御措施，防范此次lucky勒索攻击。

• 隔离感染主机：已中毒计算机尽快隔离，关闭所有网络连接，禁用网卡。

• 切断传播途径：关闭潜在终端的SMB 445等网络共享端口，关闭异常的外联访问。深信服下一代防火墙用户，可开启IPS和僵尸网络功能，进行封堵。

• 查找攻击源：手工抓包分析或借助深信服安全感知平台。

• 查杀病毒：推荐使用深信服EDR产品进行查杀。

• 修补漏洞：打上以下漏洞相关补丁，漏洞包括“永恒之蓝”漏洞，JBoss反序列化漏洞(CVE-2013-4810)、JBoss默认配置漏洞(CVE-2010-0738)、Tomcat任意文件上传漏洞（CVE-2017-12615）、Weblogic WLS 组件漏洞（CVE-2017-10271）、apache Struts2远程代码执行漏洞S2-045、Apache Struts2远程代码执行漏洞S2-057。

您可以通过以下方式联系我们，获取关于lucky勒索病毒的免费咨询及支持服务：

• 拨打电话400-630-6430转6号线（已开通勒索软件专线）

• 关注【深信服技术服务】微信公众号，选择“智能服务”菜单，进行咨询

• PC端访问深信服区 bbs.sangfor.com.cn，选择右侧智能客服，进行咨询