freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

瞄准各行企业及政府组织,LockBit勒索入侵加密无得解
2021-07-22 16:14:48

背景概述

Lockbit勒索病毒最初于2019年9月被发现,当时称之为“ABCD病毒”,该别名是参考了当时被加密文件的后缀。利用此勒索病毒进行攻击的黑客团伙以针对企业及政府组织而出名,主要目标为中国,印度,印度尼西亚,乌克兰;对英国,法国,德国等欧洲国家也有过数次攻击。

Lockbit勒索病毒主要会将终端文件进行加密并将后缀修改为.lockbit,生成Restore-My-Files.txt的勒索信息,并修改桌面背景,这个勒索病毒家族目前没有公开的解密工具,用户一旦中招只能提交大量的赎金才可以解密。

主要特征

Lockbit的特征主要是以下几点:

1、独特的解密记号:在LockBit的勒索信中Tor URL的16字节分别对应了每个加密文件后的字节以及公共注册表项的前8个字节,从而可以让该团伙在解密的过程中,更容易定位及匹配密钥信息。

2、存在不加害对象列表:LockBit似乎对部分国家存在“善心”,病毒文件会获取本机系统语言信息,遇到以下列表的国家或系统语言则不会进行勒索加密。

排除国家和语言列表

3、独有的桌面壁纸:LockBit除了和其他勒索病毒家族一样留下勒索信之外,还会修改当前的桌面背景,它将独有的桌面背景图片储存在路径Appdata\Local\Temp下,修改注册表wallpaper项将其设置为桌面背景。

样本分析

LockBit勒索病毒大量使用了英特尔的SSE指令集和特定于体系结构的功能,以提高其性能,并将这些字符串变量通过异或进行解密;

解密前:

解密后:

LockBit使用互斥信号量来防止多个勒索病毒在该系统上运行;

修改注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Run让恶意的软件随着开机启动;

LockBit含有包含多个防病毒软件的服务列表,一旦检测到相关的防病毒软件服务则进行干预并停止防病毒软件,以避免自身被查杀;

相关的防病毒软件服务列表为:wrapper, DefWatch, ccEvtMgr, ccSetMgr, SavRoam, Sqlservr, sqlagent, sqladhlp, Culserver, RTVscan, sqlbrowser, SQLADHLP, QBIDService, Intuit.QuickBooks.FCS, QBCFMonitorService, sqlwriter, msmdsrv, tomcat6, zhudongfangyu, vmware-usbarbitator64, vmware-converter, dbsrv12, dbeng8, MSSQL$MICROSOFT##WID, MSSQL$VEEAMSQL2012, SQLAgent$VEEAMSQL2012, SQLBrowser, SQLWriter, FishbowlMySQL, MySQL57, MSSQL$KAVCSADMINKIT, MSSQLServerADHelper100, SQLAgent$KAVCSADMINKIT, msftesql-Exchange, MSSQL$MICROSOFT##SSEE, MSSQL$SBSMONITORING, MSSQL$SHAREPOINT, MSSQLFDLauncher$SBSMONITORING, MSSQLFDLauncher$SHAREPOINT, SQLAgent$SBSMONITORING, SQLAgent$SHAREPOINT, QBFCService, QBVSS, YooBackup, YooIT, vss, sql, svc$, MSSQL, MSSQL$, memtas, mepocs, sophos, veeam, backup, bedbg, PDVF$Service, BackupExecVSSProvider, BackupExecAgentAccelerator, BackupExecAgentBrowser, BackupExecDiveciMediaService, BackupExecJobEngine, BackupExecManagementService, BackupExecRPCService, MVArmor, MVarmor64, stcrawagent, VSNAPVSS, VeeamTransportSvc, VeeamDeploymentService, VeeamNFSSvc, AcronisAgent, ARSM, AcrSch2Svc, CASAD2DWebSvc, WSBExchange, MSExchange

在确保“自身安全”后,LockBit将会获取主机中的文件后缀进行比对并加密;

加密文件后缀列表:

.386, .cmd, .exe, .ani, .adv, .theme, .msi, .msp, .com, .diagpkg, .nls, .diagcab, .lock, .ocx, .mpa, .cpl, .mod, .hta, .icns, .prf, .rtp, .diagcfg, .msstyles, .bin, .hlp, .shs, .drv, .wpx, .bat, .rom, .msc, .spl, .ps1, .msu, .ics, .key, .mp3, .reg, .dll, .ini, .idx, .sys, .ico, .Lnk, .rdp

为了防止加密某些系统文件导致操作系统异常,LockBit“很贴心”地将一些特定的系统文件排除到加密范围,使得用户可以正常打开系统;

不加密文件列表:

$windows.~bt, intel, msocache, $recycle.bin, $windows.~ws, tor browser, boot, system volume information, perflogs, google, appliction data, windows, windows.old, appdata

加密过程

遍历主机中的文件夹与文件;

遍历结束后,加密文件并将.lockbit加到后缀名;

生成RSA的公钥 ;

完成了加密会话后,RSA的完整加密会话的公钥会存储在注册表的full与public中(模数和指数,分别为 0x100 和 0x3 字节)。

使用AES算法加密

为了可以加密更多的主机,LockBit在加密后会通过枚举驱动号,来确定是否为网络共享的盘;

获取名称后,会调用共享的所有文件夹和文件,从而加密更多的文件,达到不可挽回的后果。

通过异或来解密出勒索文件信息内容,文件内容如下:

加固建议

1.日常生活工作中的重要的数据文件资料设置相应的访问权限,关闭不必要的文件共享功能并且定期进行非本地备份;

2.使用高强度的主机密码,并避免多台设备使用相同密码,不要对外网直接映射3389等端口,防止暴力破解;

3.避免打开来历不明的邮件、链接和网址附件等,尽量不要在非官方渠道下载非正版的应用软件,发现文件类型与图标不相符时应先使用安全软件对文件进行查杀;

4.定期检测系统漏洞并且及时进行补丁修复。

# 系统安全 # 勒索病毒 # lockbit
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录