freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

揭秘勒索界“海王”是如何横扫中国的
2018-12-20 09:00:46

前言

2018年是一个勒索病毒高发的年度,可谓百(can)花(bu)争(ren)艳(du),勒索家族变种、传播方式层出不穷,所谓你方唱罢我登台,直接把CHINA当作了屠宰场,年初宰到了年尾,明年估计形势会更不乐观。但大家是否会好奇,勒索病毒这么多,到底哪一家“强”呢?

一、谁是勒索界当之无愧的海王?

深信服EDR安全团队,综合了2018年一整年的数据(感染案例,实际数据会更多),得出这位最终的勒索届年度海王为:GandCrab勒索病毒,中文外号咸水国巨蟹。下图,是这只巨蟹横行过的区域,包括新疆、广东、安徽、青海、江西、福建、浙江、山西、吉林、贵州、天津、北京、上海、河北、山东、辽宁、江苏、四川等,基本覆盖大半个中国,以东部沿海最为严重。

GandCrab勒索病毒是2018年勒索病毒家族中最活跃的家族,该勒索病毒首次出现于2018年1月,在将近一年的时候内,经历了五个大版本的更新迭代,此勒索病毒的传播感染方式多种多样,使用的技术也不断升级,勒索病毒采用高强度加密算法,导致加密后的文件,大部分无法解密。

深信服EDR安全团队,跟踪分析此勒索病毒将近一年的时间内,发现该勒索病毒主要的传播方式,如下:

(1) RDP爆破

(2) 发送垃圾邮件,附加恶意链接或邮件附件,通过Word宏等加载PowerShell下载

(3) 感染相关网站,下载捆绑有恶意程序的更新程序或正常软件

(4) 利用RigEK、GrandSoft、FalloutExploit等漏洞利用工具包,通过无文件方式PowerShell、JS、VBS等脚本释放加载

(5) 通过恶意下载器下载勒索病毒

(6) 通过U盘感染

二、海王的继承人和新生儿

同时是海王又是蟹王的GandCrab,可谓子孙繁多,其中GandCrab5.0.4最为勇猛,喜欢横行霸道,绝大多数“城堡”都是这位王子打下的,已经成为GandCrab勒索家族的事实上的代表和继承人。

近日,GandCrab这只巨蟹又生了一个娃,叫GandCrab5.0.9,他的上个哥哥是GandCrab5.0.5,上上个哥哥是GandCrab5.0.4,上上上个哥哥是GandCrab5.0.3。

深信服EDR安全团队,作为国内第一家发现并“吃蟹”的团队,始终在第一时间进行了深入报道,参考如下:

下面,重点介绍下新生儿GandCrab5.0.9:病毒在运行之后,会弹出对话框,如下所示:

加密文件之后,桌面显示,如下所示:

加密后的文件,是随机10个字母的后缀名,如下所示:

相应的勒索信息,如下所示:

TOR勒索站点的信息,如下所示:

可以看到TOR勒索站点作者在右侧还提供了一个聊天窗体,可以跟黑客进行聊天通信。

通过分析发现它与之前的GandCrab5.0.5基本无差异,如下所示:

入口函数,对比如下:

主功能函数,对比如下:

主功能函数代码段中,GandCrab5.0.5第一个功能函数是空的,如下所示:

在GandCrab5.0.9版本中,作者编写了弹框信息代码,如下所示:

弹出对话框,如下所示:

点击确认之后,执行后面的加密勒索流程,与之前的GandCrab5.0.5的流程一样,如下所示:

同时相应的版本号也发生了变化,对比如下:

此勒索病毒的作者在发布GandCrab5.0.9之后弹出了一个对话框,提示“他们”会很快回来的......

三、海王的家族变异史和传播方式

深信服EDR安全团队一直在研究跟进此勒索病毒,通过跟踪发现此勒索病毒,从2018年1月,在一年的时候内主要经历了五次大的版本变种,如下所示:

版本 V1 V2 V3 V4 V5
首次发现时间 2018年1月 2018年3月 2018年5月 2018年7月 2018年9月
传播特征 Seamless恶意
广告软件和RIG
GrandSoft漏洞利用工具包
邮件传播 邮件恶意附件、WORD宏加载VBS脚本、利用CVE漏洞等 邮件恶意附件、垃圾网站挂马、利用CVE漏洞等 邮件恶意附件、垃圾网站挂马、PowerShell、VBS、JS脚本等
勒索货币 达世币 达世币 未知 使用TOR支付站点 使用TOR支付站点
加密后缀 GDCB CRAB CRAB KRAB 随机字符串

其中各大的版本之间又出现过些小的版本更新,比如V2.1版本,V4.3版等,特别是V5版之后,连续出现多个小版本的迭代,这些小版本的功能代码基本类似,例如V5.0.1、V5.0.2、V5.0.3、V5.0.4、V5.0.5,以及这次出现最新版本V5.0.9,可以相信未来黑客还会变种......

勒索界海王的主要的传播方式,如下:

(1) RDP爆破

(2) 发送垃圾邮件,附加恶意链接或邮件附件,通过Word宏等加载PowerShell下载

(3) 感染相关网站,下载捆绑有恶意程序的更新程序或正常软件

(4) 利用RigEK、GrandSoft、FalloutExploit等漏洞利用工具包,通过无文件方式PowerShell、JS、VBS等脚本释放加载

(5) 通过恶意下载器下载勒索病毒

(6) 通过U盘感染

但最为经典,使用面最广的,也是最为简单粗暴的,是RDP爆破,其经典传播模型:

1、RDP爆破入侵

黑客首先RDP爆破其中一台主机,成功获取到该主机的控制权后,上传黑客一整套工具,包括:进程管理工具、内网扫描工具、密码抓取工具、暴力破解工具以及勒索病毒体。由于其中某些工具容易被杀软查杀,因此黑客对其进行了加密压缩处理,压缩密码为“123”。

2、结束杀软进程

上传完工具后,黑客就开始“干活”了。首先是要解决掉杀毒软件,用进程管理工具“ProcessHacker”结束杀软进程。

3、内网扫描

然后,黑客试图“扩大战果”,控制更多的内网主机。使用内网扫描工具“KPortScan”、“nasp”、“NetworkShare”来发现更多潜在目标。

4、抓取密码

同时,使用“mimikatz”抓取本机密码,“WebBrowserPassView”抓取浏览器密码。由于内网中普遍存在密码相同的情况,因此抓到的密码很有可能能够直接登陆其他主机。

5、暴力破解

接下来就是使用“DUBrute”对内网主机进行RDP爆破。

6、运行勒索病毒

HW包含了勒索病毒体HW.5.0.2.exe以及一个文本文件HW.txt,HW.txt记录了用于无文件勒索的powershell命令。黑客可直接运行勒索病毒体或者执行powershell命令进行勒索。

四、如何防御和狙击海王?

针对已经出现勒索现象的用户,由于暂时没有解密工具,建议尽快对感染主机进行断网隔离。

深信服提醒广大用户尽快做好病毒检测与防御措施,防范此次勒索攻击。

病毒检测查杀

深信服为广大用户免费提供查杀工具,可下载如下工具,进行检测查杀:

http://edr.sangfor.com.cn/tool/SfabAntiBot.zip

病毒防御

1、及时给主机打补丁,修复漏洞,升级最新病毒库。

2、对重要的数据文件定期进行非本地备份。

3、更改账户密码,设置强密码,避免使用统一的密码,因为统一的密码会导致一台被攻破,多台遭殃。

4、GandCrab勒索软件会利用RDP(远程桌面协议),如果业务上无需使用RDP的,建议关闭RDP。当出现此类事件时,推荐使用深信服防火墙,或者终端检测响应平台(EDR)的微隔离功能对3389等端口进行封堵,防止扩散!

5、深信服防火墙、终端检测响应平台(EDR)均有防爆破功能,防火墙开启此功能并启用11080051、11080027、11080016规则,EDR开启防爆破功能可进行防御。

6、不明邮件不要随意点开,防止被钓鱼攻击。

7、不要从网上随意下载不明软件,此类软件极可能隐藏病毒。

8、U盘管控需做好,避免通过U盘进行交叉感染。

最后,建议企业对全网进行一次安全检查和杀毒扫描,加强防护工作。

*本文作者:千里目安全实验室,转载请注明来自FreeBuf.COM

# 勒索软件 # GandCrab
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者